Управление доступом

В этом разделе вы узнаете:

Об управлении доступом

Все операции в Яндекс.Облаке проверяются в сервисе Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Яндекс.Облаке.

На какие ресурсы можно назначить роль

Как и в других сервисах, роль можно назначить на облако, каталог или сервисный аккаунт. Роли, назначенные на облако или каталог, действуют и на вложенные ресурсы.

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

image

Роли, действующие в сервисе:

  • Сервисные роли:
    • resource-manager.clouds.owner — дает полный доступ к облаку и ресурсам в нем. Можно назначить только на облако.

    • resource-manager.clouds.member — роль необходимая для выполнения любых операций в облаке от имени аккаунта на Яндексе. Назначается автоматически при добавлении пользователя в облако. Можно назначить только на облако.

  • Примитивные роли:
    • viewer — позволяет только просматривать информацию о ресурсах.

    • editor — позволяет управлять ресурсами (создавать, изменять и удалять их).

    • admin — позволяет управлять ресурсами и доступом к ним.

Какие роли мне необходимы

В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor вместо viewer.

Действие Методы Необходимые роли
Просмотр информации
Просмотр информации о любом ресурсе get, list, listOperations viewer на этот ресурс
Управление балансировщиками
Создание балансировщиков в каталоге create editor на каталог и на указанные целевые группы
Изменение и удаление балансировщиков update, delete editor на балансировщик и на указанные целевые группы
Присоединение и отсоединение целевых групп attachTargetGroup, detachTargetGroup editor на балансировщик и на указанные целевые группы
Получение состояний целевых групп getTargetStates viewer на балансировщик и на указанные целевые группы
Добавление, удаление обработчиков addListener, removeListener editor на балансировщик
Остановка и запуск балансировщика stop, start editor на балансировщик
Управление целевыми группами
Создание целевых групп в каталоге create editor на каталог и на указанные подсети
Изменение и удаление целевых групп update, delete editor на целевую группу, балансировщик и на указанные подсети
Добавление и удаление ресурсов в целевой группе addTargets, removeTargets editor на целевую группу, балансировщик и на указанные подсети
Управление доступом к ресурсам
Назначение роли, отзыв роли и просмотр назначенных ролей на ресурс setAccessBindings, updateAccessBindings, listAccessBindings admin на этот ресурс

Что дальше