Управление доступом в Yandex MPP Analytics for PostgreSQL

В этом разделе вы узнаете:

• на какие ресурсы можно назначить роль;
• какие роли действуют в сервисе;
• какие роли необходимы для того или иного действия.

Об управлении доступомОб управлении доступом

Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, локальному пользователю, федеративному пользователю, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.

Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль mdb.admin, managed-greenplum.admin или одна из следующих ролей:

• admin;
• resource-manager.admin;
• organization-manager.admin;
• resource-manager.clouds.owner;
• organization-manager.organizations.owner.

На какие ресурсы можно назначить рольНа какие ресурсы можно назначить роль

Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.

Какие роли действуют в сервисеКакие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные ролиСервисные роли

managed-greenplum.auditormanaged-greenplum.auditor

Роль managed-greenplum.auditor позволяет просматривать информацию о кластерах и хостах Greenplum®, а также о квотах и операциях с ресурсами сервиса Yandex MPP Analytics for PostgreSQL.

managed-greenplum.viewermanaged-greenplum.viewer

Роль managed-greenplum.viewer позволяет просматривать информацию о кластерах и хостах Greenplum®, логи их работы, а также данные о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• просматривать информацию о кластерах Greenplum®;
• просматривать информацию о хостах кластеров Greenplum®;
• просматривать информацию о резервных копиях кластеров Greenplum®;
• просматривать логи работы кластеров Greenplum®;
• просматривать информацию о результатах диагностики производительности кластеров Greenplum®;
• просматривать информацию о квотах сервиса Yandex MPP Analytics for PostgreSQL;
• просматривать информацию об операциях с ресурсами сервиса Yandex MPP Analytics for PostgreSQL.

Включает разрешения, предоставляемые ролью managed-greenplum.auditor.

managed-greenplum.restorermanaged-greenplum.restorer

Роль managed-greenplum.restorer позволяет восстанавливать кластеры Greenplum® из резервных копий, просматривать информацию о кластерах и хостах Greenplum®, логи их работы, а также данные о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• просматривать информацию о резервных копиях кластеров Greenplum® и восстанавливать кластеры из резервных копий;
• просматривать информацию о кластерах Greenplum®;
• просматривать информацию о хостах кластеров Greenplum®;
• просматривать логи работы кластеров Greenplum®;
• просматривать информацию о результатах диагностики производительности кластеров Greenplum®;
• просматривать информацию о квотах сервиса Yandex MPP Analytics for PostgreSQL;
• просматривать информацию об операциях с ресурсами сервиса Yandex MPP Analytics for PostgreSQL.

Включает разрешения, предоставляемые ролью managed-greenplum.viewer.

managed-greenplum.editormanaged-greenplum.editor

Роль managed-greenplum.editor позволяет управлять кластерами Greenplum® и просматривать логи их работы, а также получать информацию о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• просматривать информацию о кластерах Greenplum®, а также создавать, изменять, удалять, запускать и останавливать их;
• просматривать информацию о хостах кластеров Greenplum®, а также создавать, изменять и удалять их;
• просматривать информацию о резервных копиях кластеров Greenplum®, создавать и удалять резервные копии кластеров, а также восстанавливать кластеры из резервных копий;
• просматривать логи работы кластеров Greenplum®;
• просматривать информацию о результатах диагностики производительности кластеров Greenplum®;
• просматривать информацию о квотах сервиса Yandex MPP Analytics for PostgreSQL;
• просматривать информацию об операциях с ресурсами сервиса Yandex MPP Analytics for PostgreSQL.

Включает разрешения, предоставляемые ролями managed-greenplum.viewer и managed-greenplum.restorer.

Для создания кластеров Greenplum® дополнительно необходима роль vpc.user.

managed-greenplum.adminmanaged-greenplum.admin

Роль managed-greenplum.admin позволяет управлять кластерами Greenplum® и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• управлять доступом к кластерам Greenplum®;
• просматривать информацию о кластерах Greenplum®, а также создавать, изменять, удалять, запускать и останавливать их;
• просматривать информацию о хостах кластеров Greenplum®, а также создавать, изменять и удалять их;
• просматривать информацию о резервных копиях кластеров Greenplum®, создавать и удалять резервные копии кластеров, а также восстанавливать кластеры из резервных копий;
• просматривать логи работы кластеров Greenplum®;
• просматривать информацию о результатах диагностики производительности кластеров Greenplum®;
• просматривать информацию о квотах сервиса Yandex MPP Analytics for PostgreSQL;
• просматривать информацию об операциях с ресурсами сервиса Yandex MPP Analytics for PostgreSQL.

Включает разрешения, предоставляемые ролью managed-greenplum.editor.

Для создания кластеров Greenplum® дополнительно необходима роль vpc.user.

mdb.auditormdb.auditor

Роль mdb.auditor предоставляет минимально необходимые разрешения для просмотра информации о кластерах управляемых баз данных (без доступа к данным и логам работы).

Пользователи с этой ролью могут просматривать информацию о кластерах управляемых баз данных, квотах и каталогах.

Включает разрешения, предоставляемые ролями managed-opensearch.auditor, managed-kafka.auditor, managed-mysql.auditor, managed-sqlserver.auditor, managed-postgresql.auditor, managed-greenplum.auditor, managed-clickhouse.auditor, managed-redis.auditor и managed-mongodb.auditor.

mdb.viewermdb.viewer

Роль mdb.viewer предоставляет доступ к чтению информации из кластеров управляемых баз данных и к логам работы кластеров.

Пользователи с этой ролью могут читать информацию из баз данных и просматривать логи кластеров управляемых баз данных, а также просматривать информацию о кластерах, квотах и каталогах.

Включает разрешения, предоставляемые ролями mdb.auditor, managed-opensearch.viewer, managed-kafka.viewer, managed-mysql.viewer, managed-sqlserver.viewer, managed-postgresql.viewer, managed-greenplum.viewer, managed-clickhouse.viewer, managed-redis.viewer, managed-mongodb.viewer и dataproc.viewer.

mdb.adminmdb.admin

Роль mdb.admin предоставляет полный доступ к кластерам управляемых баз данных.

Пользователи с этой ролью могут могут создавать, изменять, удалять, запускать и останавливать кластеры управляемых баз данных, управлять доступом к кластерам, создавать резервные копии кластеров и восстанавливать кластеры из резервных копий, читать и сохранять информацию в базах данных, а также просматривать информацию о кластерах, логах их работы, квотах и каталогах.

Включает разрешения, предоставляемые ролями mdb.viewer, vpc.user, managed-opensearch.admin, managed-kafka.admin, managed-mysql.admin, managed-sqlserver.admin, managed-postgresql.admin, managed-greenplum.admin, managed-clickhouse.admin, managed-redis.admin, managed-mongodb.admin и dataproc.admin.

mdb.restorermdb.restorer

Роль mdb.restorer позволяет восстанавливать кластеры управляемых баз данных из резервных копий, а также предоставляет доступ к чтению информации из кластеров и к логам их работы.

Пользователи с этой ролью могут восстанавливать кластеры управляемых баз данных из резервных копий, читать информацию из баз данных и просматривать логи кластеров, а также просматривать информацию о кластерах, квотах и каталогах.

Включает разрешения, предоставляемые ролями mdb.viewer, managed-elasticsearch.restorer, managed-opensearch.restorer, managed-kafka.restorer, managed-mysql.restorer, managed-sqlserver.restorer, managed-postgresql.restorer, managed-spqr.restorer, managed-greenplum.restorer, managed-clickhouse.restorer, managed-redis.restorer и managed-mongodb.restorer.

При создании кластера Greenplum® вместе с ним автоматически создается пользователь-администратор с ролью mdb_admin. Эта роль заменяет суперпользователя при работе с БД и не является аналогом роли mdb.admin в Yandex Cloud. Подробнее читайте в разделе Пользователи и роли в Yandex MPP Analytics for PostgreSQL.

vpc.publicAdminvpc.publicAdmin

Роль vpc.publicAdmin позволяет управлять NAT-шлюзами, публичными IP-адресами и внешней сетевой связностью, а также просматривать информацию о квотах, ресурсах и операциях с ресурсами сервиса. Роль предоставляет права администратора мультиинтерфейсных ВМ, обеспечивающих связность между несколькими сетями.

Пользователи с этой ролью могут:

• просматривать список облачных сетей и информацию о них, а также настраивать внешний доступ к облачным сетям;
• управлять связностью нескольких облачных сетей;
• управлять мультиинтерфейсными ВМ, обеспечивающими связность между несколькими сетями;
• просматривать список подсетей и информацию о них, а также изменять подсети;
• просматривать информацию о NAT-шлюзах, а также создавать, изменять и удалять их;
• просматривать список адресов облачных ресурсов и информацию о них, а также создавать, изменять и удалять публичные IP-адреса;
• просматривать список таблиц маршрутизации и информацию о них, а также привязывать таблицы маршрутизации к подсетям;
• просматривать список групп безопасности и информацию о них;
• просматривать информацию об использованных IP-адресах в подсетях;
• просматривать информацию о квотах сервиса Virtual Private Cloud;
• просматривать информацию об операциях с ресурсами сервиса Virtual Private Cloud;
• просматривать информацию об операциях с ресурсами сервиса Compute Cloud;
• просматривать информацию об облаке;
• просматривать информацию о каталоге.

Включает разрешения, предоставляемые ролью vpc.viewer.

Роль можно назначить на облако или каталог.

Примитивные ролиПримитивные роли

Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.

auditorauditor

Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.

Например, пользователи с этой ролью могут:

• просматривать информацию о ресурсе;
• просматривать метаданные ресурса;
• просматривать список операций с ресурсом.

Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.

viewerviewer

Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.

Включает разрешения, предоставляемые ролью auditor.

В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.

editoreditor

Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.

Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.

Включает разрешения, предоставляемые ролью viewer.

adminadmin

Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.

Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.

Включает разрешения, предоставляемые ролью editor.

Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.

Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.

Какие роли необходимыКакие роли необходимы

Чтобы пользоваться сервисом, необходима роль managed-greenplum.editor или выше на каталог, в котором создается кластер. Роль managed-greenplum.viewer позволит только просматривать список кластеров.

Чтобы создать кластер Greenplum®, нужна роль vpc.user и роль managed-greenplum.editor или выше.

Вы всегда можете назначить роль, которая дает более широкие разрешения. Например, назначить managed-greenplum.admin вместо managed-greenplum.editor.

Что дальшеЧто дальше

• Как назначить роль.
• Как отозвать роль.
• Подробнее об управлении доступом в Yandex Cloud.
• Подробнее о наследовании ролей.

Greenplum® и Greenplum Database® являются зарегистрированными товарными знаками или товарными знаками Broadcom Inc в США и/или других странах.