Подключиться
Войти
Yandex Identity and Access Management

Управление доступом

В этом разделе вы узнаете:

Об управлении доступом

Все операции в Яндекс.Облаке проверяются в сервисе Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Яндекс.Облаке.

На какие ресурсы можно назначить роль

Как и в других сервисах, роль можно назначить на облако, каталог или сервисный аккаунт. Роли, назначенные на облако или каталог, действуют и на вложенные ресурсы.

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

image

Роли, действующие в сервисе:

  • Сервисные роли:

    • iam.serviceAccounts.user — подтверждает права на использование сервисного аккаунта.

      В некоторых сервисах для выполнения операций необходим сервисный аккаунт, например в Instance Groups или Managed Service for Kubernetes. Если вы указали сервисный аккаунт в запросе, то IAM проверит, что у вас есть права на использование этого аккаунта.

    • resource-manager.clouds.owner — дает полный доступ к облаку и ресурсам в нем. Можно назначить только на облако.

    • resource-manager.clouds.member — роль необходимая для выполнения любых операций в облаке от имени аккаунта на Яндексе. Назначается автоматически при добавлении пользователя в облако. Можно назначить только на облако.

  • Примитивные роли:

    • viewer — позволяет только просматривать информацию о ресурсах.

    • editor — позволяет управлять ресурсами (создавать, изменять и удалять их).

    • admin — позволяет управлять ресурсами и доступом к ним.

Какие роли мне необходимы

В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor вместо viewer.

Действие Методы Необходимые роли
Просмотр информации
Получение IAM-токена create роли не требуются, только аутентификация
Просмотр информации о пользователе get, getByLogin роли не требуются, только аутентификация
Просмотр информации о сервисном аккаунте get, list, listOperations iam.serviceAccounts.user или viewer на сервисный аккаунт
Просмотр информации о любом ресурсе get, list viewer на этот ресурс
Управление ресурсами
Создание сервисных аккаунтов в каталоге create editor на каталог
Изменение, удаление сервисных аккаунтов update, delete editor на сервисный аккаунт
Создание и удаление ключей для сервисного аккаунта create, delete editor на сервисный аккаунт
Управление доступом к ресурсам
Добавление нового пользователя в облако setAccessBindings admin на облако
Сделать нового пользователя владельцем облака setAccessBindings, updateAccessBindings resource-manager.clouds.owner на это облако
Назначение роли, отзыв роли и просмотр назначенных ролей на ресурс setAccessBindings, updateAccessBindings, listAccessBindings admin на этот ресурс

Что дальше