Настроить права доступа к секрету

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Получите идентификатор секрета (столбец ID в выводе команды):

   yc lockbox secret list
   

   Результат:

   +----------------------+-------------+------------+---------------------+----------------------+--------+
   |          ID          |    NAME     | KMS KEY ID |     CREATED AT      |  CURRENT VERSION ID  | STATUS |
   +----------------------+-------------+------------+---------------------+----------------------+--------+
   | e6qetpqfe8vvag9h7jkr | test-secret |            | 2023-12-06 15:12:13 | e6qdnt9t2qsdggusve4g | ACTIVE |
   +----------------------+-------------+------------+---------------------+----------------------+--------+
   

2. Чтобы назначить роль на секрет, выполните команду:

   yc lockbox secret add-access-binding \
     --id <идентификатор_секрета> \
     --role <роль> \
     --subject <тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --id — идентификатор секрета.

   • --role — назначаемая роль.

   • --subject — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите права доступа к секрету в конфигурационном файле Terraform:

   resource "yandex_lockbox_secret_iam_member" "secret-viewer" {
     secret_id = "<идентификатор_секрета>"
     role      = "<роль>"
     member    = "<тип_субъекта>:<идентификатор_субъекта>"
   }
   

   Где:

   • secret_id — идентификатор секрета.

   • role — назначаемая роль.

   • member — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

     Тип субъекта	Обозначение субъекта
     userAccount	userAccount:<идентификатор_пользователя>
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>
     federatedUser	federatedUser:<идентификатор_пользователя>
     group	group:<идентификатор_группы>
     system	system:allAuthenticatedUsers (группа All authenticated users)
     	system:allUsers (группа All users)
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

   Подробнее о параметрах ресурса yandex_lockbox_secret_iam_member в документации провайдера.

2. Создайте ресурсы

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Terraform создаст все требуемые ресурсы. Проверить появление ресурсов и их настройки можно в консоли управления или с помощью команды CLI:

   yc lockbox secret list-access-binding <идентификатор_секрета>
   

Чтобы настроить права доступа к секрету, воспользуйтесь методом REST API setAccessBindings для ресурса Secret или вызовом gRPC API SecretService/SetAccessBindings. В теле запроса в свойстве subject укажите тип и идентификатор субъекта.