Подключиться
Войти
Yandex Container Registry

Управление доступом

В этом разделе вы узнаете:

Об управлении доступом

Все операции в Яндекс.Облаке проверяются в сервисе Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Яндекс.Облаке.

На какие ресурсы можно назначить роль

Вы можете назначить роль на облако, каталог или реестр. Эти роли будут действовать и на вложенные ресурсы.

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

image

Роли, действующие в сервисе:

  • Сервисные роли:

    • container-registry.images.puller — позволяет скачивать Docker-образы, а также просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).

    • container-registry.images.pusher — позволяет управлять Docker-образами и просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).

    • resource-manager.clouds.owner — дает полный доступ к облаку и ресурсам в нем. Можно назначить только на облако.

    • resource-manager.clouds.member — роль необходимая для выполнения любых операций в облаке от имени аккаунта на Яндексе. Назначается автоматически при добавлении пользователя в облако. Можно назначить только на облако.

  • Примитивные роли:

    • viewer — позволяет только просматривать информацию о ресурсах.

    • editor — позволяет управлять ресурсами (создавать, изменять и удалять их).

    • admin — позволяет управлять ресурсами и доступом к ним.

Какие роли мне необходимы

В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor вместо viewer.

Действие Методы Необходимые роли
Просмотр информации
Получение списка реестров list container-registry.images.puller на каталог
Получение информации о реестрах, Docker-образах и репозиториях get, list container-registry.images.puller на реестр с указанным ресурсом
Скачивание Docker-образа из реестра — container-registry.images.puller
на указанный реестр
Управление ресурсами
Создание реестров в каталоге create editor на каталог
Изменение и удаление реестров update, delete editor на указанный реестр
Создание Docker-образов c использованием базовых Docker-образов из реестра — container-registry.images.puller
на указанный реестр
Создание Docker-образов без использования базовых Docker-образов из реестра — Не требует ролей
Загрузка Docker-образов в реестр — container-registry.images.pusher
на указанный реестр
Удаление Docker-образов delete editor на реестр с Docker-образом
Управление доступом к ресурсам
Назначение роли, отзыв роли и просмотр назначенных ролей на каталог, облако или реестр setAccessBindings, updateAccessBindings, listAccessBindings admin на этот ресурс

Что дальше