Список управления доступом (ACL)
В Yandex Cloud Desktop управление доступом реализовано с помощью разграничения ролей Yandex Identity and Access Management.
ACL Cloud Desktop — список разрешений для конкретной группы рабочих столов.
По умолчанию для каждой новой группы рабочих столов создается пустой ACL. Пользователь, обладающий ролью vdi.admin, может отредактировать ACL.
С помощью ACL можно выдать доступ к группе рабочих столов следующим получателям разрешений:
- Пользователь Yandex Cloud
- Сервисный аккаунт
- Группа пользователей Yandex Identity Hub
- Публичная группа
- Системная группа
За каждым конкретным рабочим столом закрепляется отдельный пользователь Yandex Cloud.
Чтобы подключиться к рабочему столу пользователь получает уникальный RDP-файл, в который интегрирован IAM-токен. Таким образом, рабочий стол доступен только определенному пользователю.
Время жизни IAM-токена — 12 часов. После истечения этого срока RDP-файл становится недействительным. Чтобы подключиться к рабочему столу, пользователю нужно повторно запросить RDP-файл.
Есть получатель RDP-файла по каким-то причинам был удален из списка пользователей Yandex Cloud, например при ротации в другое подразделение или при подозрении на несанкционированную активность, то его RDP-файл становится недействительным независимо от времени выпуска.
Пример использования механизмов доступа в Cloud Desktop
-
Администратор организации (пользователь с ролью
organization-manager.adminна облако) создает группу пользователей Yandex Identity Hub, для которой будет развернута группа рабочих столов. -
Администратор Cloud Desktop (пользователь с ролью
vdi.adminна каталог) создает группу рабочих столов и выдает к ней доступ для группы пользователей.Также у администратора есть возможность подготовить собственный образ для группы рабочих столов.
-
Для каждого участника группы пользователей администратор Cloud Desktop создает собственный рабочий стол.
-
Участник группы пользователей аутентифицируется с помощью Яндекс ID или через систему единого входа (SSO) на странице Витрина пользовательских рабочих столов. На витрине отображаются рабочие столы, доступные конкретному пользователю.
-
На витрине участник группы пользователей скачивает RDP-файл к конкретному рабочему столу и подключается к нему.