3.3. 権限とテナントの設定

手順

1. 任意の値を指定した tenantName および tenantId パラメーターを TempoStack カスタムリソース (CR) に追加して、テナントを定義します。

   TempoStack CR のテナントの例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: redmetrics
   spec:
   # ...
     tenants:
       mode: openshift
       authentication:
         - tenantName: dev 

   1

   
           tenantId: "1610b0c3-c509-4592-a256-a1871353dbfa" 

   2

   
   # ...

   1

   ユーザーが選択した tenantName 値。

   2

   ユーザーが選択した tenantId 値。

2. トレースを読み取るための読み取り (get) 権限を持つクラスターロールにテナントを追加します。

   ClusterRole リソースの RBAC 設定の例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: tempostack-traces-reader
   rules:
     - apiGroups:
         - 'tempo.grafana.com'
       resources: 

   1

   
         - dev
         - prod
       resourceNames:
         - traces
       verbs:
         - 'get' 

   2

   1

   この例では、前のステップで tenantName パラメーターを使用して定義したテナント (dev および prod) をリストします。

   2

   リストしたテナントの読み取り操作を有効にします。

3. 上記ステップのクラスターロールのクラスターロールバインディングを定義して、認証されたユーザーにトレースデータの読み取り権限を付与します。

   ClusterRoleBinding リソースの RBAC 設定の例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: tempostack-traces-reader
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: tempostack-traces-reader
   subjects:
     - kind: Group
       apiGroup: rbac.authorization.k8s.io
       name: system:authenticated 

   1

   1

   認証されたユーザー全員に、トレースデータの読み取り権限を付与します。

手順

1. OpenTelemetry Collector で使用するためのサービスアカウントを作成します。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: otel-collector
     namespace: <project_of_opentelemetry_collector_instance>

2. トレースを書き込むための書き込み (create) 権限を持つクラスターロールにテナントを追加します。

   ClusterRole リソースの RBAC 設定の例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: tempostack-traces-write
   rules:
     - apiGroups:
         - 'tempo.grafana.com'
       resources: 

   1

   
         - dev
       resourceNames:
         - traces
       verbs:
         - 'create' 

   2

   1

   テナントをリスト表示します。

   2

   書き込み操作を有効にします。

3. OpenTelemetry Collector のサービスアカウントを割り当てるためのクラスターロールバインディングを定義して、OpenTelemetry Collector に書き込み権限を付与します。

   ClusterRoleBinding リソースの RBAC 設定の例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: tempostack-traces
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: tempostack-traces-write
   subjects:
     - kind: ServiceAccount
       name: otel-collector 

   1

   
       namespace: otel

   1

   前のステップで作成したサービスアカウント。これは、クライアントがトレースデータをエクスポートするときに使用されます。

4. OpenTelemetryCollector カスタムリソースを次のように設定します。

   • トレーシングパイプラインサービスに、bearertokenauth エクステンションと有効なトークンを追加します。
   • otlp/otlphttp エクスポーターにテナント名を X-Scope-OrgID ヘッダーとして追加します。

   • 有効な認証局ファイルを使用して TLS を有効にします。

     OpenTelemetry CR 設定のサンプル

     apiVersion: opentelemetry.io/v1beta1
     kind: OpenTelemetryCollector
     metadata:
       name: cluster-collector
       namespace: <project_of_tempostack_instance>
     spec:
       mode: deployment
       serviceAccount: otel-collector 

     1

     
       config: |
           extensions:
             bearertokenauth: 

     2

     
               filename: "/var/run/secrets/kubernetes.io/serviceaccount/token" 

     3

     
           exporters:
             otlp/dev: 

     4

     
               endpoint: sample-gateway.tempo.svc.cluster.local:8090
               tls:
                 insecure: false
                 ca_file: "/var/run/secrets/kubernetes.io/serviceaccount/service-ca.crt" 

     5

     
               auth:
                 authenticator: bearertokenauth
               headers:
                 X-Scope-OrgID: "dev" 

     6

     
             otlphttp/dev: 

     7

     
               endpoint: https://sample-gateway.<project_of_tempostack_instance>.svc.cluster.local:8080/api/traces/v1/dev
               tls:
                 insecure: false
                 ca_file: "/var/run/secrets/kubernetes.io/serviceaccount/service-ca.crt"
               auth:
                 authenticator: bearertokenauth
               headers:
                 X-Scope-OrgID: "dev"
           service:
             extensions: [bearertokenauth]
             pipelines:
               traces:
                 exporters: [otlp/dev] 

     8

     
     
     # ...

     1

     書き込み権限が設定されたサービスアカウント。

     2

     サービスアカウントトークンを使用するためのベアラートークンエクステンション。

     3

     サービスアカウントトークン。このトークンは、ベアラートークンヘッダーとして、クライアントによりトレーシングパイプラインサービスに送信されます。

     4

     OTLP gRPC Exporter (otlp/dev) または OTLP HTTP Exporter (otlphttp/dev) のいずれかを指定します。

     5

     有効なサービス CA ファイルを使用して TLS を有効にします。

     6

     テナント名を含むヘッダー。

     7

     OTLP gRPC Exporter (otlp/dev) または OTLP HTTP Exporter (otlphttp/dev) のいずれかを指定します。

     8

     CR の exporters セクションで指定したエクスポーター。