Управление доступом в Data Transfer
В этом разделе вы узнаете:
- на какие ресурсы можно назначить роль;
- какие роли действуют в сервисе;
- какие роли необходимы для того или иного действия.
Для использования сервиса необходимо авторизоваться в консоли управления с аккаунтом на Яндексе или с федеративным аккаунтом.
Об управлении доступом
Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.
Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.
Назначать роли на ресурс могут те, у кого есть роль admin
, resource-manager.clouds.owner
или organization-manager.organizations.owner
на этот ресурс.
На какие ресурсы можно назначить роль
Роль можно назначить на облако или каталог. Роли на облако действуют и на вложенные каталоги.
Какие роли действуют в сервисе
На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor
входят все разрешения viewer
. После диаграммы дано описание каждой роли.
Сервисные роли
data-transfer.auditor
Роль data-transfer.auditor
позволяет просматривать метаданные сервиса, в том числе информацию о каталоге, эндпоинтах и трансферах, а также о квотах сервиса Data Transfer.
Сейчас эту роль можно назначить только на каталог или облако.
data-transfer.viewer
Роль data-transfer.viewer
позволяет просматривать информацию о каталоге, эндпоинтах и трансферах, а также о квотах сервиса Data Transfer.
Включает разрешения, предоставляемые ролью data-transfer.auditor
.
Сейчас эту роль можно назначить только на каталог или облако.
data-transfer.privateAdmin
Роль data-transfer.privateAdmin
позволяет управлять эндпоинтами и трансферами с передачей данных только в сетях Yandex Cloud, а также просматривать информацию о каталоге и квотах сервиса Data Transfer.
Пользователи с этой ролью могут:
- просматривать информацию о трансферах, а также создавать, изменять, удалять, активировать, использовать и деактивировать трансферы с передачей данных в сетях Yandex Cloud;
- просматривать информацию об эндпоинтах, а также создавать, изменять и удалять эндпоинты в Yandex Cloud;
- просматривать информацию о каталоге;
- просматривать информацию о квотах сервиса Data Transfer.
Включает разрешения, предоставляемые ролью data-transfer.viewer
.
Сейчас эту роль можно назначить только на каталог или облако.
data-transfer.admin
Роль data-transfer.admin
позволяет управлять эндпоинтами и трансферами с передачей данных в сетях Yandex Cloud и через интернет, а также просматривать информацию о каталоге и квотах сервиса Data Transfer.
Пользователи с этой ролью могут:
- просматривать информацию о трансферах, а также создавать, изменять, удалять, активировать, использовать и деактивировать трансферы с передачей данных как в сетях Yandex Cloud, так и через интернет;
- просматривать информацию об эндпоинтах, а также создавать, изменять и удалять эндпоинты как в Yandex Cloud, так и за его пределами;
- просматривать информацию о каталоге;
- просматривать информацию о квотах сервиса Data Transfer.
Включает разрешения, предоставляемые ролью data-transfer.privateAdmin
.
Сейчас эту роль можно назначить только на каталог или облако.
Примитивные роли
viewer
Роль viewer
дает разрешения на чтение к ресурсам.
Роль viewer
включает все разрешения, которые дает роль auditor
. В отличие от роли auditor
, роль viewer
предоставляет возможность доступа к данным сервиса в режиме чтения.
Например, роль viewer
позволяет выполнять следующие операции:
- Просмотр информации о ресурсе.
- Получение списка вложенных ресурсов, например списка виртуальных машин в каталоге.
- Просмотр списка операций с ресурсом.
editor
Роль editor
дает разрешения на все операции для управления ресурсом, кроме назначения ролей другим пользователям. Роль editor
включает все разрешения, которые дает роль viewer
.
Например, роль editor
позволяет выполнять следующие операции:
- Создание ресурса.
- Обновление ресурса.
- Удаление ресурса.
admin
Роль admin
дает все разрешения для управления ресурсом, включая назначение ролей другим пользователям. Можно назначать любые роли за исключением resource-manager.clouds.owner
.
Роль admin
включает все разрешения, которые дает роль editor
.
Например, роль admin
позволяет выполнять следующие операции:
- Установить права доступа к ресурсу.
- Изменить права доступа к ресурсу.
Какие роли необходимы
Чтобы пользоваться сервисом, необходима роль editor
или выше на каталог, в котором создаются проекты. Роль viewer
позволит только просматривать список проектов и содержимое файлов, которые были загружены.
Для создания или редактирования эндпоинта управляемой базы данных вам потребуется сервисная или примитивная роль viewer
, выданная на каталог кластера этой управляемой базы данных.
Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить admin
вместо editor
.