Настроить права доступа к секрету

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Получите идентификатор секрета (столбец ID в выводе команды):

   yc lockbox secret list
   

   Результат:

   +----------------------+-------------+------------+---------------------+----------------------+--------+
   |          ID          |    NAME     | KMS KEY ID |     CREATED AT      |  CURRENT VERSION ID  | STATUS |
   +----------------------+-------------+------------+---------------------+----------------------+--------+
   | e6qetpqfe8vvag9h7jkr | test-secret |            | 2023-12-06 15:12:13 | e6qdnt9t2qsdggusve4g | ACTIVE |
   +----------------------+-------------+------------+---------------------+----------------------+--------+
   

2. Чтобы назначить роль на секрет:

   • Пользователю:

     yc lockbox secret add-access-binding \
       --id <идентификатор_секрета> \
       --user-account-id <идентификатор_пользователя> \
       --role <роль>
     

     Где:

     • --id — идентификатор секрета.
     • --user-account-id — идентификатор пользователя.
     • --role — назначаемая роль.

   • Сервисному аккаунту:

     yc lockbox secret add-access-binding \
       --id <идентификатор_секрета> \
       --service-account-id <идентификатор_сервисного_аккаунта> \
       --role <роль>
     

     Где:

     • --id — идентификатор секрета.
     • --service-account-id — идентификатор сервисного аккаунта.
     • --role — назначаемая роль.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Опишите права доступа к секрету в конфигурационном файле Terraform:

   resource "yandex_lockbox_secret_iam_member" "secret-viewer" {
     secret_id = "<идентификатор_секрета>"
     role      = "<роль>"
   
     members = [
       "serviceAccount:<идентификатор_сервисного_аккаунта_1>",
       "serviceAccount:<идентификатор_сервисного_аккаунта_2>"
     ]
   }
   

   Где:

   • secret_id — идентификатор секрета.
   • role — назначаемая роль.
   • members — список типов и идентификаторов субъектов, которым назначается роль. Указывается в формате userAccount:<идентификатор_пользователя> или serviceAccount:<идентификатор_сервисного_аккаунта>.

   Более подробную информацию о параметрах ресурса yandex_lockbox_secret_iam_member в Terraform, см. в документации провайдера.

2. Создайте ресурсы

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Terraform создаст все требуемые ресурсы. Проверить появление ресурсов и их настройки можно в консоли управления или с помощью команды CLI:

   yc lockbox secret list-access-binding <идентификатор_секрета>
   

Чтобы настроить права доступа к секрету, воспользуйтесь методом REST API setAccessBindings для ресурса Secret или вызовом gRPC API SecretService/SetAccessBindings.