Настроить права доступа к группе виртуальных машин

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для назначения роли на группу ВМ:

   yc compute instance-group add-access-binding --help
   

2. Получите список групп виртуальных машин в каталоге по умолчанию:

   yc compute instance-group list
   

   Результат:

   +----------------------+----------------------+--------+------+
   |          ID          |          NAME        | STATUS | SIZE |
   +----------------------+----------------------+--------+------+
   | cl15b3mrkk88******** | first-instance-group | ACTIVE |    3 |
   +----------------------+----------------------+--------+------+
   

3. Посмотрите список ролей, которые уже назначены на ресурс:

   yc compute instance-group list-access-bindings <имя_или_идентификатор_группы_ВМ>
   

4. Назначьте роль с помощью команды:

   • Пользователю:

     yc compute instance-group add-access-binding <имя_или_идентификатор_группы_ВМ> \
       --user-account-id <идентификатор_пользователя> \
       --role <роль>
     

     Где:

     • --user-account-id — идентификатор пользователя.
     • --role — назначаемая роль.

   • Сервисному аккаунту:

     yc compute instance-group add-access-binding <имя_или_идентификатор_группы_ВМ> \
       --service-account-id <идентификатор_сервисного_аккаунта> \
       --role <роль>
     

     Где:

     • --service-account-id — идентификатор сервисного аккаунта.
     • --role — назначаемая роль.

Воспользуйтесь методом REST API updateAccessBindings для ресурса InstanceGroup или вызовом gRPC API InstanceGroupService/UpdateAccessBindings. В теле запроса в свойстве action укажите ADD, а в свойстве subject — тип и идентификатор пользователя.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Вы можете назначить несколько ролей с помощью команды set-access-bindings.

1. Убедитесь, что на ресурс не назначены роли, которые вы не хотите потерять:

   yc compute instance-group list-access-bindings <имя_или_идентификатор_группы_ВМ>
   

2. Посмотрите описание команды CLI для назначения ролей на группу ВМ:

   yc compute instance-group set-access-bindings --help
   

3. Назначьте роли:

   yc compute instance-group set-access-bindings <имя_или_идентификатор_группы_ВМ> \
     --access-binding role=<роль>,subject=<тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --access-binding — назначаемая роль:

     • role — идентификатор назначаемой роли.
     • subject — тип и идентификатор субъекта, которому назначается роль.

   Например, назначьте роли нескольким пользователям и сервисному аккаунту:

   yc compute instance-group set-access-bindings test-group \
     --access-binding role=editor,subject=userAccount:gfei8n54hmfh******** \
     --access-binding role=viewer,subject=userAccount:helj89sfj80a******** \
     --access-binding role=editor,subject=serviceAccount:ajel6l0jcb9s********
   

Воспользуйтесь методом REST API setAccessBindings для ресурса InstanceGroup или вызовом gRPC API InstanceGroupService/SetAccessBindings.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для отзыва роли на группу ВМ:

   yc compute instance-group remove-access-binding --help
   

2. Посмотрите, кому и какие роли назначены на ресурс:

   yc compute instance-group list-access-bindings <имя_или_идентификатор_группы_ВМ>
   

3. Чтобы отозвать права доступа, выполните команду:

   yc compute instance-group remove-access-binding <имя_или_идентификатор_группы_ВМ> \
     --role <идентификатор_роли> \
     --subject <тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --role — идентификатор роли, которую надо отозвать.
   • --subject — субъект, у которого отзывается роль.

   Например, чтобы отозвать роль viewer у пользователя с идентификатором ajel6l0jcb9s******** на группу ВМ:

   yc compute instance-group remove-access-binding test-group \
     --role viewer \
     --subject userAccount:ajel6l0jcb9s********
   

Воспользуйтесь методом REST API updateAccessBindings для ресурса InstanceGroup или вызовом gRPC API InstanceGroupService/UpdateAccessBindings. В теле запроса в свойстве action укажите REMOVE, а в свойстве subject — тип и идентификатор пользователя.