Управление доступом в Container Registry

Статья создана

Yandex.Cloud

улучшена

amatol

Об управлении доступом
На какие ресурсы можно назначить роль
Какие роли действуют в сервисе
- Сервисные роли
- Примитивные роли
Какие роли мне необходимы

В этом разделе вы узнаете:

на какие ресурсы можно назначить роль;
какие роли действуют в сервисе;
какие роли необходимы для того или иного действия.

Об управлении доступом

Все операции в Yandex.Cloud проверяются в сервисе Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex.Cloud.

Назначать роли на ресурс могут те, у кого есть роль admin или resource-manager.clouds.owner на этот ресурс.

На какие ресурсы можно назначить роль

Вы можете назначить роль на облако, каталог, реестр или репозиторий. Эти роли будут действовать и на вложенные ресурсы.

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные роли

Роль	Разрешения
`container-registry.admin`	Разрешает создавать, изменять и удалять реестры.
`container-registry.images.puller`	Позволяет скачивать Docker-образы, а также просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).
`container-registry.images.pusher`	Позволяет управлять Docker-образами и просматривать информацию о ресурсах сервиса (реестрах, Docker-образах, репозиториях).
`resource-manager.clouds.member`	Роль, необходимая для доступа к ресурсам в облаке всем, кроме владельцев облака и сервисных аккаунтов.
`resource-manager.clouds.owner`	Дает полный доступ к облаку и ресурсам в нем. Можно назначить только на облако.

Более подробную информацию о сервисных ролях читайте на странице Роли в документации сервиса Yandex Identity and Access Management.

Примитивные роли

Роль	Разрешения
`admin`	Позволяет управлять ресурсами и доступом к ним.
`editor`	Позволяет управлять ресурсами (создавать, изменять и удалять их).
`viewer`	Позволяет только просматривать информацию о ресурсах.

Какие роли мне необходимы

В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor вместо viewer.

Действие	Методы	Необходимые роли
Просмотр информации
Получение списка реестров.	`list`	`container-registry.images.puller` на каталог.
Получение информации о реестрах, Docker-образах и репозиториях.	`get`, `list`	`container-registry.images.puller` на реестр с указанным ресурсом.
Скачивание Docker-образа.	—	`container-registry.images.puller` на указанный реестр или репозиторий.
Получение информации о политиках удаления и результатах их тестовых запусков.	`get`, `list`, `getDryRunResult`, `listDryRunResults`	`viewer` на реестр или репозиторий, для которого создана политика удаления.
Управление ресурсами
Создание реестров в каталоге.	`create`	`editor` на каталог.
Изменение и удаление реестров.	`update`, `delete`	`editor` на указанный реестр.
Создание Docker-образов c использованием базовых Docker-образов из реестра.	—	`container-registry.images.puller` на указанный реестр или репозиторий.
Создание Docker-образов без использования базовых Docker-образов из реестра.	—	Не требует ролей.
Загрузка Docker-образов в реестр.	—	`container-registry.images.pusher` на указанный реестр или репозиторий.
Удаление Docker-образов.	`delete`	`editor` на реестр или репозиторий с Docker-образом.
Создание, изменение, удаление и тестовый запуск политики удаления.	`create`, `update`, `delete`, `dryRun`	`editor` на реестр или репозиторий, для которого создана политика удаления.
Управление доступом к ресурсам
Назначение роли, отзыв роли и просмотр назначенных ролей на каталог, облако или реестр.	`setAccessBindings`, `updateAccessBindings`, `listAccessBindings`	`admin` на этот ресурс.
Сканирование на наличие уязвимостей
Запуск сканирования Docker-образа.	`scan`	`editor` на реестр или репозиторий с Docker-образом.
Получение результатов сканирования Docker-образа.	`get`, `getLast`, `list`, `listVulnerabilities`	`viewer` на реестр или репозиторий с Docker-образом.