Управление доступом Cloud Logging
В этом разделе вы узнаете:
Об управлении доступом
Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.
Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.
Назначать роли на ресурс могут те, у кого есть роль admin или resource-manager.clouds.owner на этот ресурс.
На какие ресурсы можно назначить роль
Роль можно назначить на облако, каталог и пользовательскую лог-группу. Роли, назначенные на облако или каталог, действуют и на лог-группы, которые находятся в них.
Какие роли действуют в сервисе
Ниже перечислены все роли, которые учитываются при проверке прав доступа в сервисе Cloud Logging.
resource-manager.clouds.member
При добавлении нового пользователя в облако, которое не принадлежит организации, ему автоматически назначается роль участника облака — resource-manager.clouds.member.
Роль актуальна только для облака, которое не принадлежит организации.
Эта роль необходима для доступа к ресурсам в облаке всем, кроме владельцев облака и сервисных аккаунтов.
Сама по себе эта роль не дает права выполнять какие-либо операции и используется только в сочетании с другими ролями, например, с admin, editor или viewer.
resource-manager.clouds.owner
Роль resource-manager.clouds.owner назначается на облако и делает пользователя владельцем облака. Владелец может выполнять любые операции с облаком и ресурсами в нем.
Только владелец облака может назначать и удалять у пользователей роль resource-manager.clouds.owner.
У облака должен быть хотя бы один владелец. Пользователь, который создал облако, автоматически становится его владельцем. Единственный владелец облака не сможет отнять эту роль у себя.
resource-manager.admin
Роль resource-manager.admin назначается на организацию, облако или каталог. Дает право управлять доступом к облаку или каталогу.
Роль включает все разрешения, которые дают роли resource-manager.viewer и resource-manager.editor.
resource-manager.editor
Роль resource-manager.editor назначается на организацию, облако или каталог.
Дает право создавать, редактировать и удалять облака или каталоги.
Роль включает все разрешения, которые дает роль resource-manager.viewer.
resource-manager.viewer
Роль resource-manager.viewer назначается на организацию, облако или каталог.
Дает право читать информацию об облаке или каталоге, а также читать список прав доступа, которые назначены на облако или каталог.
logging.viewer
Роль logging.viewer дает право смотреть список лог-групп и информацию о них.
О том, как назначить данную роль, читайте в разделе Управление правами доступа к лог-группе.
logging.editor
Роль logging.editor дает право обновлять все настройки лог-группы, кроме прав доступа.
Роль logging.editor включает все разрешения, которые дает роль logging.viewer.
О том, как назначить данную роль, читайте в разделе Управление правами доступа к лог-группе.
logging.reader
Роль logging.reader дает право смотреть записи в лог-группе.
Роль logging.reader включает все разрешения, которые дает роль logging.viewer.
О том, как назначить данную роль, читайте в разделе Управление правами доступа к лог-группе.
logging.writer
Роль logging.writer дает право добавлять записи в лог-группу.
Роль logging.writer включает все разрешения, которые дает роль logging.viewer.
О том, как назначить данную роль, читайте в разделе Управление правами доступа к лог-группе.
logging.admin
Роль logging.admin дает все разрешения для управления лог-группой, включая назначение ролей на лог-группу другим пользователям.
Роль logging.admin включает все разрешения, которые дают роли logging.editor, logging.reader и logging.writer.
О том, как назначить данную роль, читайте в разделе Управление правами доступа к лог-группе.
viewer
Пользователь с ролью viewer может просматривать информацию о ресурсах, например, посмотреть список лог-групп или записей в них.
editor
Пользователь с ролью editor может управлять лог-группами, например, создать лог-группу, добавить в нее записи или обновить ее настройки.
Помимо этого роль editor включает в себя все разрешения роли viewer.
admin
Пользователь с ролью admin может управлять правами доступа к ресурсам, например, разрешить другим пользователям добавлять записи в лог-группы.
Помимо этого роль admin включает в себя все разрешения роли editor.