Google Distributed Cloud (GDC) 實體隔離方案中的 Identity and Access Management (IAM) 角色，可控管整個組織和專案的監控與記錄服務存取權。預先定義的角色可讓您授予最小權限，以便設定觀測能力管道、管理警告規則，以及查詢指標或記錄。
指派組織層級角色，管理全域 API 伺服器上所有專案的可觀測性資源，或指派專案層級角色，將存取權限範圍限定在單一專案。如果是平台管理員 (PA)，請在全域 API 伺服器的 platform-obs 命名空間中，為觀測能力資源建立角色繫結。
組織層級的預先定義角色
向 IAM 機構組織管理員要求適當權限，以便在組織中設定記錄和監控功能，並管理使用觀測能力服務的專案生命週期。
如要授予團隊成員全組織資源存取權，請使用全域 API 伺服器的 kubeconfig 檔案建立角色繫結，藉此指派角色。如要授予權限，或在組織層級取得資源的角色存取權，請參閱「授予及撤銷存取權」。
監控資源
下表詳細說明指派給各個預先定義角色的權限，可用於監控資源：
| 角色名稱 | Kubernetes 資源名稱 | 權限說明 |
|---|---|---|
| 資訊主頁 PA 建立者 | dashboard-pa-creator |
建立 Dashboard 個自訂資源。 |
| 資訊主頁 PA 編輯者 | dashboard-pa-editor |
編輯或修改 Dashboard 個自訂資源。 |
| 資訊主頁 PA 檢視者 | dashboard-pa-viewer |
查看 Dashboard 項自訂資源。 |
| MonitoringRule PA 建立者 | monitoringrule-pa-creator |
建立 MonitoringRule 個自訂資源。 |
| MonitoringRule PA 編輯者 | monitoringrule-pa-editor |
編輯或修改 MonitoringRule 個自訂資源。 |
| MonitoringRule PA 檢視者 | monitoringrule-pa-viewer |
查看 MonitoringRule 項自訂資源。 |
| MonitoringTarget PA 建立者 | monitoringtarget-pa-creator |
建立 MonitoringTarget 個自訂資源。 |
| MonitoringTarget PA 編輯者 | monitoringtarget-pa-editor |
編輯或修改 MonitoringTarget 個自訂資源。 |
| MonitoringTarget PA 檢視者 | monitoringtarget-pa-viewer |
查看 MonitoringTarget 項自訂資源。 |
| ObservabilityPipeline PA 建立者 | observabilitypipeline-pa-creator |
建立 ObservabilityPipeline 個自訂資源。 |
| ObservabilityPipeline PA 編輯者 | observabilitypipeline-pa-editor |
編輯或修改 ObservabilityPipeline 個自訂資源。 |
| ObservabilityPipeline PA 檢視者 | observabilitypipeline-pa-viewer |
查看 ObservabilityPipeline 項自訂資源。 |
| 組織 Grafana 檢視者 | organization-grafana-viewer |
在 Grafana 監控執行個體的資訊主頁上，以圖表呈現組織相關可觀測的資料。 |
記錄資源
下表詳細說明指派給各個預先定義角色的記錄資源權限：
| 角色名稱 | Kubernetes 資源名稱 | 權限說明 |
|---|---|---|
| LoggingRule PA 建立者 | loggingrule-pa-creator |
建立 LoggingRule 個自訂資源。 |
| LoggingRule PA 編輯者 | loggingrule-pa-editor |
編輯或修改 LoggingRule 個自訂資源。 |
| LoggingRule PA 檢視者 | loggingrule-pa-viewer |
查看 LoggingRule 項自訂資源。 |
| LoggingTarget PA 建立者 | loggingtarget-pa-creator |
建立 LoggingTarget 個自訂資源。 |
| LoggingTarget PA 編輯者 | loggingtarget-pa-editor |
編輯或修改 LoggingTarget 個自訂資源。 |
| LoggingTarget PA 檢視者 | loggingtarget-pa-viewer |
查看 LoggingTarget 項自訂資源。 |
專案層級的預先定義角色
請向 IAM 專案管理員要求適當權限，以便在專案中使用記錄和監控服務。所有角色都必須繫結至您使用服務的專案命名空間。
如要授予團隊成員專案層級的資源存取權，請使用全域 API 伺服器的 kubeconfig 檔案，在該伺服器上建立角色繫結，藉此指派角色。如要授予權限或取得專案層級資源的角色存取權，請參閱「授予及撤銷存取權」。
監控資源
下表詳細說明指派給各個預先定義角色的權限，可用於監控資源：
| 角色名稱 | Kubernetes 資源名稱 | 權限說明 |
|---|---|---|
| ConfigMap 建立者 | configmap-creator |
在專案命名空間中建立 ConfigMap 物件。 |
| 資訊主頁編輯器 | dashboard-editor |
編輯或修改專案命名空間中的 Dashboard 自訂資源。 |
| 資訊主頁檢視者 | dashboard-viewer |
查看專案命名空間中的 Dashboard 自訂資源。 |
| MonitoringRule 編輯者 | monitoringrule-editor |
編輯或修改專案命名空間中的 MonitoringRule 自訂資源。 |
| MonitoringRule 檢視者 | monitoringrule-viewer |
查看專案命名空間中的 MonitoringRule 自訂資源。 |
| MonitoringTarget 編輯者 | monitoringtarget-editor |
編輯或修改專案命名空間中的 MonitoringTarget 自訂資源。 |
| MonitoringTarget 檢視者 | monitoringtarget-viewer |
查看專案命名空間中的 MonitoringTarget 自訂資源。 |
| ObservabilityPipeline 編輯者 | observabilitypipeline-editor |
編輯或修改專案命名空間中的 ObservabilityPipeline 自訂資源。 |
| ObservabilityPipeline 檢視者 | observabilitypipeline-viewer |
查看專案命名空間中的 ObservabilityPipeline 自訂資源。 |
| Project Cortex Alertmanager 編輯者 | project-cortex-alertmanager-editor |
在專案命名空間中編輯 Cortex Alertmanager 執行個體。 |
| Project Cortex Alertmanager 檢視者 | project-cortex-alertmanager-viewer |
存取專案命名空間中的 Cortex Alertmanager 執行個體。 |
| Project Cortex Prometheus 檢視者 | project-cortex-prometheus-viewer |
存取專案命名空間中的 Cortex Prometheus 執行個體。 |
| 專案 Grafana 檢視者 | project-grafana-viewer |
在 Grafana 監控執行個體的資訊主頁上，以視覺化方式呈現專案相關可觀測的資料。 |
記錄資源
下表詳細說明指派給各個預先定義角色的記錄資源權限：
| 角色名稱 | Kubernetes 資源名稱 | 權限說明 |
|---|---|---|
| 稽核記錄平台還原 bucket 建立者 | audit-logs-platform-restore-bucket-creator |
建立備份 bucket，用於還原平台稽核記錄。 |
| 稽核記錄平台 bucket 檢視者 | audit-logs-platform-bucket-viewer |
查看平台稽核記錄的備份 bucket。 |
| 稽核記錄目標監控 | auditloggingtarget-monitor |
正在偵錯 AuditLoggingTarget 自訂資源。 |
| LoggingRule 建立者 | loggingrule-creator |
在專案命名空間中建立 LoggingRule 自訂資源。 |
| LoggingRule 編輯者 | loggingrule-editor |
編輯或修改專案命名空間中的 LoggingRule 自訂資源。 |
| LoggingRule 檢視者 | loggingrule-viewer |
查看專案命名空間中的 LoggingRule 自訂資源。 |
| LoggingTarget 建立者 | loggingtarget-creator |
在專案命名空間中建立 LoggingTarget 自訂資源。 |
| LoggingTarget 編輯者 | loggingtarget-editor |
編輯或修改專案命名空間中的 LoggingTarget 自訂資源。 |
| LoggingTarget 檢視者 | loggingtarget-viewer |
查看專案命名空間中的 LoggingTarget 自訂資源。 |
| 記錄查詢 API 查詢者 | log-query-api-querier |
存取 Log Query API 來查詢記錄。 |
| SIEM 匯出組織建立者 | siemexport-org-creator |
在專案命名空間中建立 SIEMOrgForwarder 自訂資源。 |
| SIEM 匯出組織編輯者 | siemexport-org-editor |
編輯或修改專案命名空間中的 SIEMOrgForwarder 自訂資源。 |
| SIEM 匯出機構檢視者 | siemexport-org-viewer |
查看專案命名空間中的 SIEMOrgForwarder 自訂資源。 |