Управление доступом

В этом разделе вы узнаете:

• на какие ресурсы можно назначить роль;
• какие роли действуют в сервисе;
• какие роли необходимы для того или иного действия.

Об управлении доступом

Все операции в Яндекс.Облаке проверяются в сервисе Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Яндекс.Облаке.

Назначать роли на ресурс могут те, у кого есть роль admin или resource-manager.clouds.owner на этот ресурс.

На какие ресурсы можно назначить роль

Вы можете назначить роль на облако, каталог или реестр. Эти роли будут действовать и на вложенные ресурсы.

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Роли, действующие в сервисе:

• Сервисные роли:

  • container-registry.images.puller — позволяет скачивать Docker-образы, а также просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).

  • container-registry.images.pusher — позволяет управлять Docker-образами и просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).

  • resource-manager.clouds.owner — дает полный доступ к облаку и ресурсам в нем. Можно назначить только на облако.

  • resource-manager.clouds.member — роль, необходимая для доступа к ресурсам в облаке всем, кроме владельцев облака и сервисных аккаунтов.

• Примитивные роли:

  • viewer — позволяет только просматривать информацию о ресурсах.

  • editor — позволяет управлять ресурсами (создавать, изменять и удалять их).

  • admin — позволяет управлять ресурсами и доступом к ним.

Какие роли мне необходимы

В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor вместо viewer.

Действие	Методы	Необходимые роли
Просмотр информации
Получение списка реестров	list	container-registry.images.puller на каталог
Получение информации о реестрах, Docker-образах и репозиториях	get, list	container-registry.images.puller на реестр с указанным ресурсом
Скачивание Docker-образа	—	container-registry.images.puller на указанный реестр или репозиторий
Управление ресурсами
Создание реестров в каталоге	create	editor на каталог
Изменение и удаление реестров	update, delete	editor на указанный реестр
Создание Docker-образов c использованием базовых Docker-образов из реестра	—	container-registry.images.puller на указанный реестр или репозиторий
Создание Docker-образов без использования базовых Docker-образов из реестра	—	Не требует ролей
Загрузка Docker-образов в реестр	—	container-registry.images.pusher на указанный реестр или репозиторий
Удаление Docker-образов	delete	editor на реестр или репозиторий с Docker-образом
Управление доступом к ресурсам
Назначение роли, отзыв роли и просмотр назначенных ролей на каталог, облако или реестр	setAccessBindings, updateAccessBindings, listAccessBindings	admin на этот ресурс

Что дальше

• Как назначить роль.
• Как отозвать роль.
• Подробнее об управлении доступом в Яндекс.Облаке.
• Подробнее о наследовании ролей.