По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Получите список кластеров в каталоге по умолчанию, выполнив команду:
```
yc managed-clickhouse cluster list
```
Получите список ролей, назначенных на кластер, выполнив команду:
```
yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>
```

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```

Воспользуйтесь методом Cluster.ListAccessBindings и выполните запрос, например, с помощью cURL:

curl \
  --request GET \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://mdb.api.yandexcloud.kz/managed-clickhouse/v1/clusters/<идентификатор_кластера>:listAccessBindings'

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```
Клонируйте репозиторий cloudapi:
```
cd ~/ && git clone --depth=1 https://github.com/yandex-cloud/cloudapi
```
Далее предполагается, что содержимое репозитория находится в директории ~/cloudapi/.

Воспользуйтесь вызовом ClusterService.ListAccessBindings и выполните запрос, например, с помощью gRPCurl:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/mdb/clickhouse/v1/cluster_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_кластера>"
      }' \
  mdb.api.yandexcloud.kz:443 \
  yandex.cloud.mdb.clickhouse.v1.ClusterService.ListAccessBindings

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Назначить роль

Консоль управления

CLI

Terraform

REST API

gRPC API

Перейдите в сервис Managed Service for ClickHouse.
Нажмите на имя нужного кластера.
Выберите вкладку Права доступа и нажмите кнопку Назначить роли.
Введите идентификатор аккаунта или электронную почту пользователя, к которой привязан аккаунт.
Нажмите кнопку Добавить роль и выберите нужную роль из списка или воспользуйтесь поиском.
Нажмите кнопку Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Посмотрите описание команды CLI для назначения роли на кластер:
```
yc managed-clickhouse cluster add-access-binding --help
```

Назначьте роль, выполнив команду:

yc managed-clickhouse cluster add-access-binding <имя_или_идентификатор_кластера> \
  --role <роль> \
  --subject <тип_субъекта>:<идентификатор_субъекта>

Где:

--role — назначаемая роль, например managed-clickhouse.editor.

--subject — обозначение субъекта, которому назначается роль.

Например:

serviceAccount:aje6p030************,
userAccount:aje8tj79************,
system:allAuthenticatedUsers.

Обозначения субъектов

Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
`userAccount`	`userAccount:<идентификатор_пользователя>`	`--user-account-id` или `--user-yandex-login`
`serviceAccount`	`serviceAccount:<идентификатор_сервисного_аккаунта>`	`--service-account-id` или `--service-account-name`
`federatedUser`	`federatedUser:<идентификатор_пользователя>`	`--user-account-id`
`group`	`group:<идентификатор_группы>`	`--group-members`
`system`	`system:allAuthenticatedUsers` (группа `All authenticated users`)	`--all-authenticated-users`
	`system:allUsers` (группа `All users`)	—
	`system:group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)	`--organization-users`
	`system:group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)	`--federation-users`
	`system:group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)	—

Проверьте список ролей, назначенных на кластер, выполнив команду:
```
yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>
```

Откройте актуальный конфигурационный файл с описанием кластера Managed Service for ClickHouse®.

Как создать такой файл, описано в разделе Создание кластера ClickHouse®.

Добавьте описание ресурса:

resource "yandex_mdb_clickhouse_cluster_iam_binding" "<локальное_имя_ресурса>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<роль>"
  members    = ["<тип_субъекта>:<идентификатор_субъекта>"]
}

Где:

cluster_id — идентификатор кластера.
role — назначаемая роль, например managed-clickhouse.editor.

members — список обозначений субъектов, которым назначается роль.

Например:

serviceAccount:${yandex_iam_service_account.mch_sa.id},
userAccount:ajerq94vab34********,
system:allAuthenticatedUsers.

Обозначения субъектов

Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

Тип субъекта	Обозначение субъекта
`userAccount`	`userAccount:<идентификатор_пользователя>`
`serviceAccount`	`serviceAccount:<идентификатор_сервисного_аккаунта>`
`federatedUser`	`federatedUser:<идентификатор_пользователя>`
`group`	`group:<идентификатор_группы>`
`system`	`system:allAuthenticatedUsers` (группа `All authenticated users`)
	`system:allUsers` (группа `All users`)
	`system:group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`system:group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`system:group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Проверьте корректность конфигурационных файлов.
1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.
2. Выполните команду:
```
terraform validate
```
  Если в файлах конфигурации есть ошибки, Terraform на них укажет.
Подтвердите изменение ресурсов.
1. Выполните команду для просмотра планируемых изменений:
```
terraform plan
```
  Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.
2. Если вас устраивают планируемые изменения, внесите их:
  1. Выполните команду:
```
terraform apply
```
  2. Подтвердите изменение ресурсов.
  3. Дождитесь завершения операции.
Подробнее в документации провайдера Terraform.
Проверьте список ролей, назначенных на кластер, выполнив команду CLI:
```
yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>
```

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```

Воспользуйтесь методом Cluster.UpdateAccessBindings и выполните запрос, например, с помощью cURL:

curl \
  --request PATCH \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://mdb.api.yandexcloud.kz/managed-clickhouse/v1/clusters/<идентификатор_кластера>:updateAccessBindings' \
  --data '{
            "accessBindingDeltas": [
              {
                "action": "ADD",
                "accessBinding": {
                  "roleId": "<роль>",
                  "subject": {
                    "id": "<идентификатор_субъекта>",
                    "type": "<тип_субъекта>"
                  }
                }
              }
            ]
          }'

Где:

accessBindingDeltas.roleId — назначаемая роль, например managed-clickhouse.editor.
accessBindingDeltas.subject.id — идентификатор субъекта, которому назначается роль.

accessBindingDeltas.subject.type — тип субъекта, которому назначается роль.

Обозначения субъектов

Для обозначения субъекта используется комбинация типа и уникального идентификатора в полях запроса subject.type и subject.id. Возможные комбинации:

subject.type	subject.id
`userAccount`	`<идентификатор_пользователя>`
`serviceAccount`	`<идентификатор_сервисного_аккаунта>`
`federatedUser`	`<идентификатор_пользователя>`
`group`	`<идентификатор_группы>`
`system`	`allAuthenticatedUsers` (группа `All authenticated users`)
	`allUsers` (группа `All users`)
	`group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```
Клонируйте репозиторий cloudapi:
```
cd ~/ && git clone --depth=1 https://github.com/yandex-cloud/cloudapi
```
Далее предполагается, что содержимое репозитория находится в директории ~/cloudapi/.

Воспользуйтесь вызовом ClusterService.UpdateAccessBindings и выполните запрос, например, с помощью gRPCurl:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/mdb/clickhouse/v1/cluster_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_кластера>",
        "access_binding_deltas": [
          {
            "action": "ADD",
            "access_binding": {
              "role_id": "<роль>",
              "subject": {
                "id": "<идентификатор_субъекта>",
                "type": "<тип_субъекта>"
              }
            }
          }
        ]
      }' \
  mdb.api.yandexcloud.kz:443 \
  yandex.cloud.mdb.clickhouse.v1.ClusterService.UpdateAccessBindings

Где:

resource_id — идентификатор кластера.
access_binding_deltas.roleId — назначаемая роль, например managed-clickhouse.editor.
access_binding_deltas.subject.id — идентификатор субъекта, которому назначается роль.

access_binding_deltas.subject.type — тип субъекта, которому назначается роль.

Обозначения субъектов

subject.type	subject.id
`userAccount`	`<идентификатор_пользователя>`
`serviceAccount`	`<идентификатор_сервисного_аккаунта>`
`federatedUser`	`<идентификатор_пользователя>`
`group`	`<идентификатор_группы>`
`system`	`allAuthenticatedUsers` (группа `All authenticated users`)
	`allUsers` (группа `All users`)
	`group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Назначить несколько ролей

Консоль управления

CLI

Terraform

REST API

gRPC API

Перейдите в сервис Managed Service for ClickHouse.
Нажмите на имя нужного кластера.
Выберите вкладку Права доступа и нажмите кнопку Назначить роли.
Введите идентификатор аккаунта или электронную почту пользователя, к которой привязан аккаунт.
Нажмите кнопку Добавить роль и выберите нужную роль из списка или воспользуйтесь поиском.
Повторите действие для других ролей.
Нажмите кнопку Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Внимание

Команда set-access-bindings удаляет все назначенные на кластер роли и задает новые.

Посмотрите список ролей, назначенных на кластер, выполнив команду:
```
yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>
```
Посмотрите описание команды CLI для назначения ролей на кластер:
```
yc managed-clickhouse cluster set-access-bindings --help
```

Назначьте роли, выполнив команду:

yc managed-clickhouse cluster set-access-bindings <имя_или_идентификатор_кластера> \
  --access-binding role=<роль>,subject=<тип_субъекта>:<идентификатор_субъекта_1> \
  --access-binding role=<роль>,subject=<тип_субъекта>:<идентификатор_субъекта_2>

Где --access-binding — назначает роль субъекту. Вы можете назначить несколько ролей одновременно, описав каждую в отдельном параметре --access-binding.

role — назначаемая роль, например managed-clickhouse.editor. Если вы хотите настроить подключение к кластеру через сервисный аккаунт, дополнительно назначьте роль iam.serviceAccounts.user.

subject — обозначение субъекта, которому назначается роль.

Например:

serviceAccount:aje6p030************,
userAccount:aje8tj79************,
system:allAuthenticatedUsers.

Обозначения субъектов

Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
`userAccount`	`userAccount:<идентификатор_пользователя>`	`--user-account-id` или `--user-yandex-login`
`serviceAccount`	`serviceAccount:<идентификатор_сервисного_аккаунта>`	`--service-account-id` или `--service-account-name`
`federatedUser`	`federatedUser:<идентификатор_пользователя>`	`--user-account-id`
`group`	`group:<идентификатор_группы>`	`--group-members`
`system`	`system:allAuthenticatedUsers` (группа `All authenticated users`)	`--all-authenticated-users`
	`system:allUsers` (группа `All users`)	—
	`system:group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)	`--organization-users`
	`system:group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)	`--federation-users`
	`system:group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)	—

Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

Как создать такой файл, описано в разделе Создание кластера.

Добавьте описание ресурсов:

resource "yandex_mdb_clickhouse_cluster_iam_binding" "<локальное_имя_ресурса_1>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<роль_1>"
  members    = ["<тип_субъекта>:<идентификатор_субъекта>"]
}

resource "yandex_mdb_clickhouse_cluster_iam_binding" "<локальное_имя_ресурса_2>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<роль_2>"
  members    = ["<тип_субъекта>:<идентификатор_субъекта>"]
}

Где:

cluster_id — идентификатор кластера.
role — назначаемая роль, например managed-clickhouse.editor. Если вы хотите настроить подключение к кластеру через сервисный аккаунт, дополнительно назначьте роль iam.serviceAccounts.user.

members — список обозначений субъектов, которым назначается роль.

Например:

serviceAccount:${yandex_iam_service_account.mch_sa.id},
userAccount:ajerq94vab34********,
system:allAuthenticatedUsers.

Обозначения субъектов

Тип субъекта	Обозначение субъекта
`userAccount`	`userAccount:<идентификатор_пользователя>`
`serviceAccount`	`serviceAccount:<идентификатор_сервисного_аккаунта>`
`federatedUser`	`federatedUser:<идентификатор_пользователя>`
`group`	`group:<идентификатор_группы>`
`system`	`system:allAuthenticatedUsers` (группа `All authenticated users`)
	`system:allUsers` (группа `All users`)
	`system:group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`system:group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`system:group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Проверьте корректность конфигурационных файлов.
1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.
2. Выполните команду:
```
terraform validate
```
  Если в файлах конфигурации есть ошибки, Terraform на них укажет.
Подтвердите изменение ресурсов.
1. Выполните команду для просмотра планируемых изменений:
```
terraform plan
```
  Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.
2. Если вас устраивают планируемые изменения, внесите их:
  1. Выполните команду:
```
terraform apply
```
  2. Подтвердите изменение ресурсов.
  3. Дождитесь завершения операции.
Подробнее в документации провайдера Terraform.
Проверьте список ролей, назначенных на кластер, выполнив команду CLI:
```
yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>
```

Внимание

Метод setAccessBindings перезаписывает права доступа к ресурсу. Все текущие роли на ресурс будут удалены.

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```

Воспользуйтесь методом Cluster.SetAccessBindings и выполните запрос, например, с помощью cURL:

curl \
  --request POST \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://mdb.api.yandexcloud.kz/managed-clickhouse/v1/clusters/<идентификатор_кластера>:setAccessBindings' \
  --data '{
            "accessBindings": [
              {
                "roleId": "<роль>",
                "subject": {
                  "id": "<идентификатор_субъекта_1>",
                  "type": "<тип_субъекта>"
                }
              },
              {
                "roleId": "<роль>",
                "subject": {
                  "id": "<идентификатор_субъекта_2>",
                  "type": "<тип_субъекта>"
                }
              },
              ...
              {
                "roleId": "<роль>",
                "subject": {
                  "id": "<идентификатор_субъекта_N>",
                  "type": "<тип_субъекта>"
                }
              }
            ]
          }'

Где:

accessBindings.roleId — назначаемая роль, например managed-clickhouse.editor.
accessBindings.subject.id — идентификатор субъекта, которому назначается роль.

accessBindings.subject.type — тип субъекта, которому назначается роль.

Обозначения субъектов

subject.type	subject.id
`userAccount`	`<идентификатор_пользователя>`
`serviceAccount`	`<идентификатор_сервисного_аккаунта>`
`federatedUser`	`<идентификатор_пользователя>`
`group`	`<идентификатор_группы>`
`system`	`allAuthenticatedUsers` (группа `All authenticated users`)
	`allUsers` (группа `All users`)
	`group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Внимание

Вызов ClusterService.SetAccessBindings полностью перезаписывает права доступа к ресурсу. Все текущие роли на ресурс будут удалены.

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```
Клонируйте репозиторий cloudapi:
```
cd ~/ && git clone --depth=1 https://github.com/yandex-cloud/cloudapi
```
Далее предполагается, что содержимое репозитория находится в директории ~/cloudapi/.

Воспользуйтесь вызовом ClusterService.SetAccessBindings и выполните запрос, например, с помощью gRPCurl:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/mdb/clickhouse/v1/cluster_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_кластера>",
        "accessBindings": [
          {
            "roleId": "<роль>",
            "subject": {
              "id": "<идентификатор_субъекта_1>",
              "type": "<тип_субъекта>"
            }
          },
          {
            "roleId": "<роль>",
            "subject": {
              "id": "<идентификатор_субъекта_2>",
              "type": "<тип_субъекта>"
            }
          },
          ...
          {
            "roleId": "<роль>",
            "subject": {
              "id": "<идентификатор_субъекта_N>",
              "type": "<тип_субъекта>"
            }
          }
        ]
      }' \
  mdb.api.yandexcloud.kz:443 \
  yandex.cloud.mdb.clickhouse.v1.ClusterService.SetAccessBindings

Где:

resource_id — идентификатор кластера.
accessBindings.roleId — назначаемая роль, например managed-clickhouse.editor.
accessBindings.subject.id — идентификатор субъекта, которому назначается роль.

accessBindings.subject.type — тип субъекта, которому назначается роль.

Обозначения субъектов

subject.type	subject.id
`userAccount`	`<идентификатор_пользователя>`
`serviceAccount`	`<идентификатор_сервисного_аккаунта>`
`federatedUser`	`<идентификатор_пользователя>`
`group`	`<идентификатор_группы>`
`system`	`allAuthenticatedUsers` (группа `All authenticated users`)
	`allUsers` (группа `All users`)
	`group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Отозвать роль

Консоль управления

CLI

Terraform

REST API

gRPC API

Перейдите в сервис Managed Service for ClickHouse.
Нажмите на имя нужного кластера.
Выберите вкладку Права доступа.
В строке с нужным аккаунтом нажмите на значок и выберите Изменить роли.
В списке ролей нажмите на значок рядом с ролью, которую вы хотите отозвать.
Нажмите кнопку Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Посмотрите список ролей, назначенных на кластер, выполнив команду:
```
yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>
```
Посмотрите описание команды CLI для отзыва роли на кластер:
```
yc managed-clickhouse cluster remove-access-binding --help
```

Отзовите роль, выполнив команду:

yc managed-clickhouse cluster remove-access-binding <имя_или_идентификатор_кластера> \
  --role <роль> \
  --subject <тип_субъекта>:<идентификатор_субъекта>

Где:

--role — отзываемая роль, например managed-clickhouse.editor.

--subject — обозначение субъекта, у которого отзывается роль.

Например:

serviceAccount:aje6p030************,
userAccount:aje8tj79************,
system:allAuthenticatedUsers.

Обозначения субъектов

Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
`userAccount`	`userAccount:<идентификатор_пользователя>`	`--user-account-id` или `--user-yandex-login`
`serviceAccount`	`serviceAccount:<идентификатор_сервисного_аккаунта>`	`--service-account-id` или `--service-account-name`
`federatedUser`	`federatedUser:<идентификатор_пользователя>`	`--user-account-id`
`group`	`group:<идентификатор_группы>`	`--group-members`
`system`	`system:allAuthenticatedUsers` (группа `All authenticated users`)	`--all-authenticated-users`
	`system:allUsers` (группа `All users`)	—
	`system:group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)	`--organization-users`
	`system:group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)	`--federation-users`
	`system:group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)	—

Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

Как создать такой файл, описано в разделе Создание кластера.

Найдите описание ресурса с ролью, которую вы хотите отозвать, и удалите его:

resource "yandex_mdb_clickhouse_cluster_iam_binding" "<локальное_имя_ресурса>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<роль>"
  members    = ["<тип_субъекта>:<идентификатор_субъекта>"]
}

Проверьте корректность конфигурационных файлов.
1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.
2. Выполните команду:
```
terraform validate
```
  Если в файлах конфигурации есть ошибки, Terraform на них укажет.
Подтвердите изменение ресурсов.
1. Выполните команду для просмотра планируемых изменений:
```
terraform plan
```
  Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.
2. Если вас устраивают планируемые изменения, внесите их:
  1. Выполните команду:
```
terraform apply
```
  2. Подтвердите изменение ресурсов.
  3. Дождитесь завершения операции.
Подробнее в документации провайдера Terraform.
Проверьте список ролей, назначенных на кластер, выполнив команду CLI:
```
yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>
```

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```

Воспользуйтесь методом Cluster.UpdateAccessBindings и выполните запрос, например, с помощью cURL:

curl \
  --request PATCH \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://mdb.api.yandexcloud.kz/managed-clickhouse/v1/clusters/<идентификатор_кластера>:updateAccessBindings' \
  --data '{
            "accessBindingDeltas": [
              {
                "action": "REMOVE",
                "accessBinding": {
                  "roleId": "<роль>",
                  "subject": {
                    "id": "<идентификатор_субъекта>",
                    "type": "<тип_субъекта>"
                  }
                }
              }
            ]
          }'

Где:

accessBindingDeltas.roleId — отзываемая роль, например managed-clickhouse.editor.
accessBindingDeltas.subject.id — идентификатор субъекта, у которого отзывается роль.

accessBindingDeltas.subject.type — тип субъекта, у которого отзывается роль.

Обозначения субъектов

subject.type	subject.id
`userAccount`	`<идентификатор_пользователя>`
`serviceAccount`	`<идентификатор_сервисного_аккаунта>`
`federatedUser`	`<идентификатор_пользователя>`
`group`	`<идентификатор_группы>`
`system`	`allAuthenticatedUsers` (группа `All authenticated users`)
	`allUsers` (группа `All users`)
	`group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```
Клонируйте репозиторий cloudapi:
```
cd ~/ && git clone --depth=1 https://github.com/yandex-cloud/cloudapi
```
Далее предполагается, что содержимое репозитория находится в директории ~/cloudapi/.

Воспользуйтесь вызовом ClusterService.UpdateAccessBindings и выполните запрос, например, с помощью gRPCurl:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/mdb/clickhouse/v1/cluster_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_кластера>",
        "access_binding_deltas": [
          {
            "action": "REMOVE",
            "access_binding": {
              "role_id": "<роль>",
              "subject": {
                "id": "<идентификатор_субъекта>",
                "type": "<тип_субъекта>"
              }
            }
          }
        ]
      }' \
  mdb.api.yandexcloud.kz:443 \
  yandex.cloud.mdb.clickhouse.v1.ClusterService.UpdateAccessBindings

Где:

resource_id — идентификатор кластера.
access_binding_deltas.roleId — отзываемая роль, например managed-clickhouse.editor.
access_binding_deltas.subject.id — идентификатор субъекта, у которого отзывается роль.

access_binding_deltas.subject.type — тип субъекта, у которого отзывается роль.

Обозначения субъектов

subject.type	subject.id
`userAccount`	`<идентификатор_пользователя>`
`serviceAccount`	`<идентификатор_сервисного_аккаунта>`
`federatedUser`	`<идентификатор_пользователя>`
`group`	`<идентификатор_группы>`
`system`	`allAuthenticatedUsers` (группа `All authenticated users`)
	`allUsers` (группа `All users`)
	`group:organization:<идентификатор_организации>:users` (группа `All users in organization X`)
	`group:federation:<идентификатор_федерации>:users` (группа `All users in federation N`)
	`group:userpool:<идентификатор_пула>:users` (группа `All users in userpool P`)

Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Примеры

Добавить сервисному аккаунту доступ к управлению кластером

Чтобы сервисный аккаунт мог просматривать информацию обо всех кластерах Managed Service for ClickHouse® в каталоге, но изменять ресурсы только конкретного кластера, выдайте ему роль managed-clickhouse.viewer на каталог и роль managed-clickhouse.editor на этот кластер:

Консоль управления

CLI

Terraform

REST API

gRPC API

Перейдите на вкладку Права доступа.
Нажмите кнопку Настроить доступ.
В открывшемся окне выберите раздел Пользовательские аккаунты.
Выберите пользователя из списка или воспользуйтесь поиском по пользователям.
Нажмите кнопку Добавить роль и выберите роль managed-clickhouse.viewer.
Нажмите кнопку Сохранить.
Перейдите в сервис Managed Service for ClickHouse.
Нажмите на имя нужного кластера.
Выберите вкладку Права доступа и нажмите кнопку Назначить роли.
Введите идентификатор сервисного аккаунта.
Нажмите кнопку Добавить роль и выберите роль managed-clickhouse.editor.
Нажмите кнопку Сохранить.

Назначьте роль на каталог:

yc resource-manager folder add-access-binding <имя_или_идентификатор_каталога> \
  --role managed-clickhouse.viewer \
  --subject=serviceAccount:<идентификатор_сервисного_аккаунта>

Назначьте роли на кластер:

yc managed-clickhouse cluster add-access-binding <имя_или_идентификатор_кластера> \
  --access-binding role=managed-clickhouse.editor,subject=serviceAccount:<идентификатор_сервисного_аккаунта>

Проверьте список ролей, назначенных на кластер:

yc managed-clickhouse cluster list-access-bindings <имя_или_идентификатор_кластера>

Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

Как создать такой файл, описано в разделе Создание кластера.

Добавьте описание ресурсов:

resource "yandex_resourcemanager_folder_iam_member" "mch-viewer-account-iam" {
  folder_id   = "<идентификатор_каталога>"
  role        = "managed-clickhouse.viewer"
  member      = "serviceAccount:<идентификатор_сервисного_аккаунта>"
}

resource "yandex_mdb_clickhouse_cluster_iam_binding" "mch-cluster-api-editor" {
  cluster_id = "<идентификатор_кластера>"
  role       = "managed-clickhouse.editor"
  members    = ["serviceAccount:<идентификатор_сервисного_аккаунта>"]
}

Проверьте корректность конфигурационных файлов.
1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.
2. Выполните команду:
```
terraform validate
```
  Если в файлах конфигурации есть ошибки, Terraform на них укажет.
Подтвердите изменение ресурсов.
1. Выполните команду для просмотра планируемых изменений:
```
terraform plan
```
  Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.
2. Если вас устраивают планируемые изменения, внесите их:
  1. Выполните команду:
```
terraform apply
```
  2. Подтвердите изменение ресурсов.
  3. Дождитесь завершения операции.

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```

Назначьте роль на каталог:

curl \
  --request POST \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://resource-manager.api.yandexcloud.kz/resource-manager/v1/folders/<идентификатор_каталога>:updateAccessBindings' \
  --data '{
            "accessBindingDeltas": [
              {
                "action": "ADD",
                "accessBinding": {
                  "roleId": "managed-clickhouse.viewer",
                  "subject": {
                    "id": "<идентификатор_сервисного_аккаунта>",
                    "type": "serviceAccount"
                  }
                }
              }
            ]
          }'

Где accessBindingDeltas.subject.id — идентификатор сервисного аккаунта, которому назначается роль.

Воспользуйтесь методом Cluster.UpdateAccessBindings и выполните запрос, например, с помощью cURL:

curl \
  --request PATCH \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://mdb.api.yandexcloud.kz/managed-clickhouse/v1/clusters/<идентификатор_кластера>:updateAccessBindings' \
  --data '{
            "accessBindingDeltas": [
              {
                "action": "ADD",
                "accessBinding": {
                  "roleId": "managed-clickhouse.editor",
                  "subject": {
                    "id": "<идентификатор_сервисного_аккаунта>",
                    "type": "serviceAccount"
                  }
                }
              }
            ]
          }'

Где accessBindingDeltas.subject.id — идентификатор сервисного аккаунта, которому назначается роль.

Проверьте список ролей, назначенных на каталог:

curl \
  --request GET \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://resource-manager.api.yandexcloud.kz/resource-manager/v1/folders/<идентификатор_каталога>:listAccessBindings'

Проверьте список ролей, назначенных на кластер:

curl \
  --request GET \
  --header "Authorization: Bearer $IAM_TOKEN" \
  --header "Content-Type: application/json" \
  --url 'https://mdb.api.yandexcloud.kz/managed-clickhouse/v1/clusters/<идентификатор_кластера>:listAccessBindings'

Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:
```
export IAM_TOKEN="<IAM-токен>"
```
Клонируйте репозиторий cloudapi:
```
cd ~/ && git clone --depth=1 https://github.com/yandex-cloud/cloudapi
```
Далее предполагается, что содержимое репозитория находится в директории ~/cloudapi/.

Назначьте роль на каталог:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/resourcemanager/v1/folder_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_каталога>",
        "access_binding_deltas": [
          {
            "action": "ADD",
            "access_binding": {
              "role_id": "managed-clickhouse.viewer",
              "subject": {
                "id": "<идентификатор_сервисного_аккаунта>",
                "type": "serviceAccount"
              }
            }
          }
        ]
      }' \
  resource-manager.api.yandexcloud.kz:443 \
  yandex.cloud.resourcemanager.v1.FolderService.UpdateAccessBindings

Где access_binding_deltas.subject.id — идентификатор сервисного аккаунта, которому назначается роль.

Назначьте роль на кластер:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/mdb/clickhouse/v1/cluster_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_кластера>",
        "access_binding_deltas": [
          {
            "action": "ADD",
            "access_binding": {
              "role_id": "managed-clickhouse.editor",
              "subject": {
                "id": "<идентификатор_сервисного_аккаунта>",
                "type": "serviceAccount"
              }
            }
          }
        ]
      }' \
  mdb.api.yandexcloud.kz:443 \
  yandex.cloud.mdb.clickhouse.v1.ClusterService.UpdateAccessBindings

Где access_binding_deltas.subject.id — идентификатор сервисного аккаунта, которому назначается роль.

Проверьте список ролей, назначенных на каталог:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/resourcemanager/v1/folder_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_каталога>"
      }' \
  resource-manager.api.yandexcloud.kz:443 \
  yandex.cloud.resourcemanager.v1.FolderService.ListAccessBindings

Проверьте список ролей, назначенных на кластер:

grpcurl \
  -format json \
  -import-path ~/cloudapi/ \
  -import-path ~/cloudapi/third_party/googleapis/ \
  -proto ~/cloudapi/yandex/cloud/mdb/clickhouse/v1/cluster_service.proto \
  -rpc-header "Authorization: Bearer $IAM_TOKEN" \
  -d '{
        "resource_id": "<идентификатор_кластера>"
      }' \
  mdb.api.yandexcloud.kz:443 \
  yandex.cloud.mdb.clickhouse.v1.ClusterService.ListAccessBindings

Управление доступом к кластеру Managed Service for ClickHouse®

Получить список ролей, назначенных на кластерПолучить список ролей, назначенных на кластер

Назначить рольНазначить роль

Назначить несколько ролейНазначить несколько ролей

Отозвать рольОтозвать роль

ПримерыПримеры

Добавить сервисному аккаунту доступ к управлению кластеромДобавить сервисному аккаунту доступ к управлению кластером

Была ли статья полезна?

Получить список ролей, назначенных на кластер

Назначить роль

Назначить несколько ролей

Отозвать роль

Примеры

Добавить сервисному аккаунту доступ к управлению кластером