Управление доступом в Managed Service for Apache Airflow™
В этом разделе вы узнаете:
Об управлении доступом
Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.
Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.
Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль managed-airflow.admin или одна из следующих ролей:
admin;resource-manager.admin;organization-manager.admin;resource-manager.clouds.owner;organization-manager.organizations.owner.
На какие ресурсы можно назначить роль
Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.
Чтобы разрешить доступ к ресурсам сервиса Managed Service for Apache Airflow™, назначьте пользователю нужные роли на каталог, облако или организацию, в которых содержатся эти ресурсы.
Какие роли действуют в сервисе
Сервисные роли
Ниже перечислены все роли, которые учитываются при проверке прав доступа в сервисе.
managed-airflow.auditor
Роль managed-airflow.auditor позволяет просматривать информацию о кластерах Apache Airflow™.
managed-airflow.viewer
Роль managed-airflow.viewer позволяет просматривать информацию о кластерах Apache Airflow™.
Включает разрешения, предоставляемые ролью managed-airflow.auditor.
managed-airflow.user
Роль managed-airflow.user позволяет выполнять базовые операции с кластерами Apache Airflow™.
Пользователи с этой ролью могут:
- просматривать информацию о кластерах Apache Airflow™;
- использовать веб-интерфейс Apache Airflow™;
- отправлять запросы к API Apache Airflow™.
Включает разрешения, предоставляемые ролью managed-airflow.viewer.
managed-airflow.editor
Роль managed-airflow.editor позволяет управлять кластерами Apache Airflow™, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- просматривать информацию о кластерах Apache Airflow™, а также создавать, изменять и удалять их;
- использовать веб-интерфейс Apache Airflow™;
- отправлять запросы к API Apache Airflow™.
Включает разрешения, предоставляемые ролью managed-airflow.user.
Для создания кластеров Apache Airflow™ дополнительно необходима роль vpc.user.
managed-airflow.admin
Роль managed-airflow.admin позволяет управлять кластерами Apache Airflow™, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- управлять доступом к кластерам Apache Airflow™;
- просматривать информацию о кластерах Apache Airflow™, а также создавать, изменять и удалять их;
- использовать веб-интерфейс Apache Airflow™;
- отправлять запросы к API Apache Airflow™.
Включает разрешения, предоставляемые ролью managed-airflow.editor.
Для создания кластеров Apache Airflow™ дополнительно необходима роль vpc.user.
managed-airflow.integrationProvider
Роль managed-airflow.integrationProvider позволяет кластеру Apache Airflow™ взаимодействовать от имени сервисного аккаунта с пользовательскими ресурсами, необходимыми для работы кластера. Роль назначается сервисному аккаунту, привязанному к кластеру Apache Airflow™.
Сервисные аккаунты с этой ролью могут:
- добавлять записи в лог-группы;
- просматривать информацию о лог-группах;
- просматривать информацию о приемниках логов;
- просматривать информацию о назначенных правах доступа к ресурсам сервиса Cloud Logging;
- просматривать информацию о выгрузках логов;
- просматривать информацию о метриках Monitoring и их метках, а также загружать и выгружать метрики;
- просматривать список дашбордов и виджетов Monitoring и информацию о них, а также создавать, изменять и удалять дашборды и виджеты;
- просматривать историю уведомлений Monitoring;
- просматривать список бакетов и информацию о них, в том числе о регионе размещения, версионировании, шифровании, конфигурации CORS, конфигурации хостинга статических сайтов, конфигурации HTTPS, настройках логирования, назначенных правах доступа, публичном доступе и классе хранилища по умолчанию;
- просматривать списки объектов в бакетах и информацию об объектах, в том числе о конфигурации жизненных циклов объектов, назначенных правах доступа к объектам, текущих составных загрузках, версиях объектов c их метаданными, временных и бессрочных блокировках версий объектов;
- просматривать метки бакетов, объектов и версий объектов, а также статистику сервиса Object Storage;
- просматривать информацию о секретах Yandex Lockbox и назначенных правах доступа к ним;
- просматривать информацию о квотах сервисов Object Storage, Monitoring и Yandex Lockbox;
- просматривать информацию об облаке и каталоге.
Включает разрешения, предоставляемые ролями logging.writer, monitoring.editor, storage.viewer и lockbox.viewer.
Роль не разрешает доступ к содержимому секретов Yandex Lockbox. Для того чтобы кластер Apache Airflow™ имел доступ к содержимому секретов в Yandex Lockbox, выдайте сервисному аккаунту дополнительную роль lockbox.payloadViewer на каталог или на определенные секреты.
Примитивные роли
viewer
Роль viewer позволяет просматривать информацию о кластерах Managed Service for Apache Airflow™ и логах их работы.
editor
Пользователь с ролью editor может управлять любыми ресурсами, например создать кластер, создать или удалить подкластер в кластере.
Включает в себя роль viewer.
admin
Пользователь с ролью admin может управлять правами доступа к ресурсам, например разрешить другим пользователям создавать кластеры Managed Service for Apache Airflow™ или просматривать информацию о правах пользователей.
Включает в себя роль editor.
Какие роли необходимы
Чтобы пользоваться сервисом, необходима роль managed-airflow.editor или выше на каталог, в котором создается кластер. Роль managed-airflow.viewer позволит только просматривать список кластеров.
Чтобы создать кластер Managed Service for Apache Airflow™, нужна роль vpc.user и роль managed-airflow.editor или выше.
Вы всегда можете назначить роль, которая дает более широкие разрешения. Например, назначить managed-airflow.admin вместо managed-airflow.editor.