Yandex.Cloud
  • Сервисы
  • Почему Yandex.Cloud
  • Сообщество
  • Решения
  • Тарифы
  • Документация
  • Связаться с нами
Подключиться
Yandex Container Registry
  • Начало работы
  • Пошаговые инструкции
    • Все инструкции
    • Аутентифицироваться в Container Registry
    • Управление Docker-образом
      • Получить информацию об имеющихся Docker-образах
      • Создать Docker-образ
      • Загрузить Docker-образ в реестр
      • Скачать Docker-образ из реестра
      • Удалить Docker-образ из реестра
    • Управление реестром
      • Получить информацию об имеющихся реестрах
      • Создать реестр
      • Изменить реестр
      • Удалить реестр
    • Управление репозиторием
      • Получить информацию об имеющихся репозиториях
    • Управление политиками автоматического удаления Docker-образов
      • Получить информацию об имеющихся политиках удаления
      • Создать политику удаления
      • Изменить политику удаления
      • Сделать тестовый запуск политики удаления
      • Удалить политику удаления
    • Сканирование на наличие уязвимостей
    • Работа с ролями
      • Назначить роль
      • Просмотреть назначенные роли
      • Отозвать роль
  • Yandex Container Solution
  • Сценарии использования
    • Все сценарии
    • Запуск Docker-образа на виртуальной машине
    • Создание триггера с помощью Yandex Cloud Functions
  • Концепции
    • Обзор
    • Docker-образ
    • Реестр
    • Репозиторий
    • Политика автоматического удаления Docker-образов
    • Триггер Yandex Cloud Functions
    • Сканер уязвимостей
    • Резервное копирование
    • Квоты и лимиты
  • Управление доступом
  • Правила тарификации
  • Справочник API
    • Аутентификация в API
    • gRPC
      • Обзор
      • ImageService
      • RegistryService
      • RepositoryService
      • OperationService
    • REST
      • Обзор
      • Image
        • Обзор
        • delete
        • get
        • list
      • Registry
        • Обзор
        • create
        • delete
        • get
        • list
        • update
      • Repository
        • Обзор
        • list
  • Решение проблем
  • Вопросы и ответы
  1. Управление доступом

Управление доступом

  • Об управлении доступом
  • На какие ресурсы можно назначить роль
  • Какие роли действуют в сервисе
    • Сервисные роли
    • Примитивные роли
  • Какие роли мне необходимы

В этом разделе вы узнаете:

  • на какие ресурсы можно назначить роль;
  • какие роли действуют в сервисе;
  • какие роли необходимы для того или иного действия.

Об управлении доступом

Все операции в Yandex.Cloud проверяются в сервисе Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex.Cloud.

Назначать роли на ресурс могут те, у кого есть роль admin или resource-manager.clouds.owner на этот ресурс.

На какие ресурсы можно назначить роль

Вы можете назначить роль на облако, каталог, реестр или репозиторий. Эти роли будут действовать и на вложенные ресурсы.

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные роли

Роль Разрешения
container-registry.admin Разрешает создавать, изменять и удалять реестры.
container-registry.images.puller Позволяет скачивать Docker-образы, а также просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).
container-registry.images.pusher Позволяет управлять Docker-образами и просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).
resource-manager.clouds.member Роль, необходимая для доступа к ресурсам в облаке всем, кроме владельцев облака и сервисных аккаунтов.
resource-manager.clouds.owner Дает полный доступ к облаку и ресурсам в нем. Можно назначить только на облако.

Более подробную информацию о сервисных ролях читайте на странице Роли в документации сервиса Yandex Identity and Access Management.

Примитивные роли

Роль Разрешения
admin Позволяет управлять ресурсами и доступом к ним.
editor Позволяет управлять ресурсами (создавать, изменять и удалять их).
viewer Позволяет только просматривать информацию о ресурсах.

Какие роли мне необходимы

В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor вместо viewer.

Действие Методы Необходимые роли
Просмотр информации
Получение списка реестров list container-registry.images.puller на каталог
Получение информации о реестрах, Docker-образах и репозиториях get, list container-registry.images.puller на реестр с указанным ресурсом
Скачивание Docker-образа — container-registry.images.puller
на указанный реестр или репозиторий
Получение информации о политиках удаления и результатах их тестовых запусков get, list, getDryRunResult, listDryRunResults viewer на реестр или репозиторий, для которого создана политика удаления
Управление ресурсами
Создание реестров в каталоге create editor на каталог
Изменение и удаление реестров update, delete editor на указанный реестр
Создание Docker-образов c использованием базовых Docker-образов из реестра — container-registry.images.puller
на указанный реестр или репозиторий
Создание Docker-образов без использования базовых Docker-образов из реестра — Не требует ролей
Загрузка Docker-образов в реестр — container-registry.images.pusher
на указанный реестр или репозиторий
Удаление Docker-образов delete editor на реестр или репозиторий с Docker-образом
Создание, изменение, удаление и тестовый запуск политики удаления create, update, delete, dryRun editor на реестр или репозиторий, для которого создана политика удаления
Управление доступом к ресурсам
Назначение роли, отзыв роли и просмотр назначенных ролей на каталог, облако или реестр setAccessBindings, updateAccessBindings, listAccessBindings admin на этот ресурс

Что дальше

  • Назначить роль.
  • Посмотреть назначенные роли.
  • Отозвать роль.
  • Подробнее об управлении доступом в Yandex.Cloud.
  • Подробнее о наследовании ролей.
В этой статье:
  • Об управлении доступом
  • На какие ресурсы можно назначить роль
  • Какие роли действуют в сервисе
  • Сервисные роли
  • Примитивные роли
  • Какие роли мне необходимы
Language / Region
Вакансии
Политика конфиденциальности
Условия использования
Брендбук
© 2021 ООО «Яндекс.Облако»