Google Distributed Cloud (GDC) 网闸隔离配置中的 Identity and Access Management (IAM) 角色可控制对整个组织和项目的监控和日志记录服务的访问权限。借助预定义角色，您可以授予最小权限，以便配置可观测性流水线、管理提醒规则以及查询指标或日志。
分配组织级角色，以管理全局 API 服务器上所有项目的可观测性资源；或分配项目级角色，以将访问权限限定在单个项目。对于平台管理员 (PA)，请在全局 API 服务器上的 platform-obs 命名空间中为可观测性资源创建角色绑定。
组织级层的预定义角色
向您的 IAM 组织管理员请求适当的权限，以便在组织中设置日志记录和监控，并管理使用可观测性服务的项目的生命周期。
如需向团队成员授予组织级资源访问权限，请使用全局 API 服务器的 kubeconfig 文件在全局 API 服务器上创建角色绑定，从而分配角色。 如需在组织级层授予权限或获得对资源的访问权限，请参阅授予和撤消访问权限。
监控资源
下表详细介绍了为每个预定义角色分配的监控资源权限：
| 角色名称 | Kubernetes 资源名称 | 权限说明 |
|---|---|---|
| 信息中心 PA 创建者 | dashboard-pa-creator |
创建 Dashboard 自定义资源。 |
| Dashboard PA Editor | dashboard-pa-editor |
修改或更改 Dashboard 自定义资源。 |
| Dashboard PA Viewer | dashboard-pa-viewer |
查看 Dashboard 自定义资源。 |
| MonitoringRule PA Creator | monitoringrule-pa-creator |
创建 MonitoringRule 自定义资源。 |
| MonitoringRule PA Editor | monitoringrule-pa-editor |
修改或更改 MonitoringRule 自定义资源。 |
| MonitoringRule PA Viewer | monitoringrule-pa-viewer |
查看 MonitoringRule 自定义资源。 |
| MonitoringTarget PA Creator | monitoringtarget-pa-creator |
创建 MonitoringTarget 自定义资源。 |
| MonitoringTarget PA Editor | monitoringtarget-pa-editor |
修改或更改 MonitoringTarget 自定义资源。 |
| MonitoringTarget PA Viewer | monitoringtarget-pa-viewer |
查看 MonitoringTarget 自定义资源。 |
| ObservabilityPipeline PA Creator | observabilitypipeline-pa-creator |
创建 ObservabilityPipeline 自定义资源。 |
| ObservabilityPipeline PA Editor | observabilitypipeline-pa-editor |
修改或更改 ObservabilityPipeline 自定义资源。 |
| ObservabilityPipeline PA Viewer | observabilitypipeline-pa-viewer |
查看 ObservabilityPipeline 自定义资源。 |
| Organization Grafana Viewer | organization-grafana-viewer |
在 Grafana 监控实例的信息中心内直观呈现与组织相关的可观测数据。 |
日志记录资源
下表详细介绍了为每个预定义角色分配的日志记录资源权限：
| 角色名称 | Kubernetes 资源名称 | 权限说明 |
|---|---|---|
| LoggingRule PA Creator | loggingrule-pa-creator |
创建 LoggingRule 自定义资源。 |
| LoggingRule PA Editor | loggingrule-pa-editor |
修改或更改 LoggingRule 自定义资源。 |
| LoggingRule PA Viewer | loggingrule-pa-viewer |
查看 LoggingRule 自定义资源。 |
| LoggingTarget PA Creator | loggingtarget-pa-creator |
创建 LoggingTarget 自定义资源。 |
| LoggingTarget PA Editor | loggingtarget-pa-editor |
修改或更改 LoggingTarget 自定义资源。 |
| LoggingTarget PA Viewer | loggingtarget-pa-viewer |
查看 LoggingTarget 自定义资源。 |
项目级层的预定义角色
向 IAM 项目管理员请求适当的权限，以便在项目中使用日志记录和监控服务。所有角色都必须绑定到您使用该服务的项目命名空间。
如需向团队成员授予项目级资源访问权限，请使用全局 API 服务器的 kubeconfig 文件在全局 API 服务器上创建角色绑定，从而分配角色。如需在项目级层授予权限或接收对资源的访问权限，请参阅授予和撤消访问权限。
监控资源
下表详细介绍了为每个预定义角色分配的监控资源权限：
| 角色名称 | Kubernetes 资源名称 | 权限说明 |
|---|---|---|
| ConfigMap Creator | configmap-creator |
在项目命名空间中创建 ConfigMap 对象。 |
| 信息中心编辑器 | dashboard-editor |
在项目命名空间中修改 Dashboard 自定义资源。 |
| Dashboard Viewer | dashboard-viewer |
查看项目命名空间中的 Dashboard 自定义资源。 |
| MonitoringRule Editor | monitoringrule-editor |
在项目命名空间中修改 MonitoringRule 自定义资源。 |
| MonitoringRule Viewer | monitoringrule-viewer |
查看项目命名空间中的 MonitoringRule 自定义资源。 |
| MonitoringTarget Editor | monitoringtarget-editor |
在项目命名空间中修改 MonitoringTarget 自定义资源。 |
| MonitoringTarget Viewer | monitoringtarget-viewer |
查看项目命名空间中的 MonitoringTarget 自定义资源。 |
| ObservabilityPipeline Editor | observabilitypipeline-editor |
在项目命名空间中修改 ObservabilityPipeline 自定义资源。 |
| ObservabilityPipeline Viewer | observabilitypipeline-viewer |
查看项目命名空间中的 ObservabilityPipeline 自定义资源。 |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
修改项目命名空间中的 Cortex Alertmanager 实例。 |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
访问项目命名空间中的 Cortex Alertmanager 实例。 |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
访问项目命名空间中的 Cortex Prometheus 实例。 |
| Project Grafana Viewer | project-grafana-viewer |
在 Grafana 监控实例的信息中心内直观呈现与项目相关的可观测数据。 |
日志记录资源
下表详细介绍了为每个预定义角色分配的日志记录资源权限：
| 角色名称 | Kubernetes 资源名称 | 权限说明 |
|---|---|---|
| Audit Logs Platform Restore Bucket Creator | audit-logs-platform-restore-bucket-creator |
创建备份存储桶以恢复平台审核日志。 |
| Audit Logs Platform Bucket Viewer | audit-logs-platform-bucket-viewer |
查看平台审核日志的备份存储桶。 |
| 审核日志记录目标监控器 | auditloggingtarget-monitor |
正在调试 AuditLoggingTarget 自定义资源。 |
| LoggingRule Creator | loggingrule-creator |
在项目命名空间中创建 LoggingRule 自定义资源。 |
| LoggingRule Editor | loggingrule-editor |
在项目命名空间中修改 LoggingRule 自定义资源。 |
| LoggingRule Viewer | loggingrule-viewer |
查看项目命名空间中的 LoggingRule 自定义资源。 |
| LoggingTarget Creator | loggingtarget-creator |
在项目命名空间中创建 LoggingTarget 自定义资源。 |
| LoggingTarget Editor | loggingtarget-editor |
在项目命名空间中修改 LoggingTarget 自定义资源。 |
| LoggingTarget Viewer | loggingtarget-viewer |
查看项目命名空间中的 LoggingTarget 自定义资源。 |
| Log Query API Querier | log-query-api-querier |
访问 Log Query API 以查询日志。 |
| SIEM Export Org Creator | siemexport-org-creator |
在项目命名空间中创建 SIEMOrgForwarder 自定义资源。 |
| SIEM Export Org Editor | siemexport-org-editor |
在项目命名空间中修改 SIEMOrgForwarder 自定义资源。 |
| SIEM Export Org Viewer | siemexport-org-viewer |
查看项目命名空间中的 SIEMOrgForwarder 自定义资源。 |