Управление доступом в Application Load Balancer
В этом разделе вы узнаете:
- на какие ресурсы можно назначить роль;
- какие роли действуют в сервисе;
- какие роли необходимы для того или иного действия.
Об управлении доступом
Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.
Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.
Назначать роли на ресурс могут те, у кого есть роль admin
, resource-manager.clouds.owner
или organization-manager.organizations.owner
на этот ресурс.
На какие ресурсы можно назначить роль
Как и в других сервисах, роль можно назначить на облако, каталог или сервисный аккаунт. Роли, назначенные на облако или каталог, действуют и на вложенные ресурсы.
Какие роли действуют в сервисе
На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor
входят все разрешения viewer
. После диаграммы дано описание каждой роли.
Сервисные роли
alb.auditor
Роль alb.auditor
предоставляет доступ к списку ресурсов Application Load Balancer и их метаданным.
Пользователи с этой ролью могут просматривать список L7-балансировщиков, HTTP-роутеров, групп бэкендов и целевых групп, а также их метаданные.
alb.viewer
Роль alb.viewer
позволяет просматривать список ресурсов Application Load Balancer и их метаданные.
Включает разрешения, предоставляемые ролью alb.auditor
.
alb.user
Роль alb.user
позволяет использовать ресурсы Application Load Balancer. Например, с помощью этой роли можно использовать в ресурсах Application Load Balancer одного каталога ресурсы Application Load Balancer другого каталога.
Включает разрешения, предоставляемые ролью alb.viewer
.
Роль можно назначить на каталог.
alb.editor
Роль alb.editor
позволяет просматривать, создавать, изменять и удалять объекты ресурсной модели.
Включает разрешения, предоставляемые ролью alb.user
.
alb.admin
Роль alb.admin
позволяет управлять сервисом Application Load Balancer: просматривать, создавать, изменять, удалять ресурсы, а также управлять доступом к ним (сейчас эта возможность не реализована).
Включает разрешения, предоставляемые ролью alb.editor
.
Примечание
Чтобы к новому или существующему L7-балансировщику можно было подключить публичный IP-адрес, помимо роли alb.editor
или alb.admin
также требуется роль vpc.publicAdmin
на сеть, в которой находится балансировщик.
Примитивные роли
auditor
Позволяет просматривать конфигурацию и метаданные сервиса без возможности доступа к данным.
viewer
Позволяет просматривать информацию о ресурсах.
editor
Позволяет управлять ресурсами, например создавать, изменять и удалять их.
admin
Позволяет управлять ресурсами и доступом к ним.
Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.
Какие роли мне необходимы
В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor
вместо viewer
.
Действие | Методы | Необходимые роли |
---|---|---|
Просмотр информации | ||
Просмотр информации о любом ресурсе | get , list , listOperations |
alb.viewer на этот ресурс |
Управление L7-балансировщиками | ||
Создание и изменение L7-балансировщиков с публичным IP-адресом | create |
alb.editor и vpc.publicAdmin на сеть, в которой находится балансировщик |
Создание и изменение L7-балансировщиков без публичного IP-адреса | create |
alb.editor |
Удаление L7-балансировщиков | update , delete |
alb.editor |
Получение состояний целевых групп | getTargetStates |
alb.viewer |
Добавление, изменение и удаление обработчиков | addListener , updateListener , removeListener |
alb.editor |
Добавление, изменение и удаление SNI-обработчиков | addSniMatch , updateSniMatch , removeSniMatch |
alb.editor |
Получение сертификатов для обработчиков с TLS-шифрованием | addListener , updateListener |
certificate-manager.certificates.downloader |
Остановка и запуск L7-балансировщика | stop , start |
alb.editor |
Управление HTTP-роутерами | ||
Создание HTTP-роутера | create |
alb.editor |
Изменение HTTP-роутера | update |
alb.editor |
Удаление HTTP-роутера | delete |
alb.editor |
Управление группами бэкендов | ||
Создание и изменение групп бэкендов | create , update , updateBackend |
alb.editor |
Удаление групп бэкендов | delete |
alb.editor |
Добавление ресурсов в группе бэкендов | addBackend |
alb.editor |
Удаление ресурсов в группе бэкендов | removeBackend |
alb.editor |
Управление целевыми группами | ||
Создание и изменение целевых групп в каталоге | create , update |
alb.editor |
Удаление целевых групп | delete |
alb.editor |
Добавление ресурсов в целевой группе | addTargets |
alb.editor |
Удаление ресурсов в целевой группе | removeTargets |
alb.editor |
Управление доступом к ресурсам | ||
Назначение роли, отзыв роли и просмотр назначенных ролей на ресурс | setAccessBindings , updateAccessBindings , listAccessBindings |
admin на этот ресурс |