2.4. Red Hat 管理 Google Cloud リソース

Red Hat は、以下の IAM Google Cloud Platform (GCP) リソースを作成し、管理します。

重要

IAM サービスアカウントおよびロール、および IAM グループおよびロール のトピックは、サービスアカウント認証タイプを使用して作成されたクラスターにのみ適用されます。

osd-managed-admin IAM サービスアカウントは、お客様が指定する GCP アカウントを制御した直後に作成されます。これは、OpenShift Dedicated クラスターのインストールを実行するユーザーです。

以下のロールがサービスアカウントに割り当てられます。

Expand

表2.4 osd-managed-admin の IAM ロール
ロール	コンソールロール名	説明
Compute Admin	`roles/compute.admin`	すべての Compute Engine リソースを完全に制御します。
DNS Administrator	`roles/dns.admin`	すべての Cloud DNS リソースに読み取り/書き込みアクセスを提供します。
Security Admin	`roles/iam.securityAdmin`	IAM ポリシーを取得し、設定するためのパーミッションを持つセキュリティー管理者ロール。
Storage Admin	`roles/storage.admin`	オブジェクトおよびバケットを完全に制御します。個別のバケットに適用される場合、制御はバケット内の指定されたバケットおよびオブジェクトにのみ適用されます。
Service Account Admin	`roles/iam.serviceAccountAdmin`	サービスアカウントを作成および管理します。
Service Account Key Admin	`roles/iam.serviceAccountKeyAdmin`	サービスアカウントキーを作成して管理 (ローテーション) します。
Service Account User	`roles/iam.serviceAccountUser`	サービスアカウントとして操作を実行します。
Role Administrator	`roles/iam.roleAdmin`	プロジェクトのすべてのカスタムロールへのアクセスを提供します。

sd-sre-platform-gcp-access Google グループに、緊急トラブルシューティングの目的で Red Hat のサイトリライアビリティーエンジニアリング (SRE) のコンソールへのアクセスが許可されるため、GCP プロジェクトへのアクセスが付与されます。

注記

Workload Identity Federation (WIF) 認証タイプを使用する場合に作成されるクラスターに固有の sd-sre-platform-gcp-access グループ内のロールに関する詳細は、managed-cluster-config を参照してください。
Workload Identity Federation 認証タイプを使用してクラスターを作成する方法は、関連情報 を参照してください。

以下のロールがグループに割り当てられます。

Expand

表2.5 sd-sre-platform-gcp-access の IAM ロール
ロール	コンソールロール名	説明
Compute Admin	`roles/compute.admin`	すべての Compute Engine リソースを完全に制御します。
Editor	`roles/editor`	すべてのビューアーパーミッション、および状態を変更するアクションのパーミッションを提供します。
Organization Policy Viewer	`roles/orgpolicy.policyViewer`	リソースに対する組織ポリシーの表示アクセスを提供します。
Project IAM Admin	`roles/resourcemanager.projectIamAdmin`	プロジェクトの IAM ポリシーを管理するためのパーミッションを提供します。
Quota Administrator	`roles/servicemanagement.quotaAdmin`	サービスクォータを管理するアクセスを提供します。
Role Administrator	`roles/iam.roleAdmin`	プロジェクトのすべてのカスタムロールへのアクセスを提供します。
Service Account Admin	`roles/iam.serviceAccountAdmin`	サービスアカウントを作成および管理します。
Service Usage Admin	`roles/serviceusage.serviceUsageAdmin`	サービス状態の有効化、無効化、および検査を行い、操作を検査し、コンシューマープロジェクトのクォータおよび請求書を使用する機能。
Tech Support Editor	`roles/cloudsupport.techSupportEditor`	テクニカルサポートケースへの完全読み取り/書き込みアクセスを提供します。

トップに戻る