Связаться с намиПодключиться

Управление доступом к кластеру Managed Service for Kubernetes

Статья создана
Улучшена
Обновлена 13 августа 2025 г.

Чтобы предоставить субъекту доступ к кластеру, назначьте ему роль на кластер.

Получить список ролей, назначенных на кластер

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

  1. Получите список кластеров в каталоге по умолчанию, выполнив команду:

    yc managed-kubernetes cluster list

  2. Получите список ролей, назначенных на кластер, выполнив команду:

    yc managed-kubernetes cluster list-access-bindings <имя_или_идентификатор_кластера>

Назначить роль

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

  1. Посмотрите описание команды CLI для назначения роли на кластер:

    yc managed-kubernetes cluster add-access-binding --help

  2. Назначьте роль, выполнив команду:

    yc managed-kubernetes cluster add-access-binding <имя_или_идентификатор_кластера> \
  --role <идентификатор_роли> \
  --subject <тип_субъекта>:<идентификатор_субъекта>

    Где:

  3. Проверьте список ролей, назначенных на кластер, выполнив команду:

    yc managed-kubernetes cluster list-access-bindings <имя_или_идентификатор_кластера>

Важно

Не используйте ресурс yandex_kubernetes_cluster_iam_member для назначения ролей, которые управляются ресурсом yandex_kubernetes_cluster_iam_binding.

  1. Откройте актуальный конфигурационный файл с описанием кластера Managed Service for Kubernetes.

    О том, как создать такой файл, см. в разделе Создание кластера Managed Service for Kubernetes.

  2. Добавьте описание ресурса:

    resource "yandex_kubernetes_cluster_iam_member" "<локальное_имя_ресурса>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<идентификатор_роли>"
  member     = "<тип_субъекта>:<идентификатор_субъекта>"
}

    Где:

  3. Проверьте корректность конфигурационных файлов.

    1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

    2. Выполните команду:

      terraform validate

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

  4. Подтвердите изменение ресурсов.

    1. Выполните команду для просмотра планируемых изменений:

      terraform plan

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

    2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

        terraform apply

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

    Подробнее см. в документации провайдера Terraform.

  5. Проверьте список ролей, назначенных на кластер, выполнив команду CLI:

    yc managed-kubernetes cluster list-access-bindings <имя_или_идентификатор_кластера>

Назначить несколько ролей

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Внимание

Команда set-access-bindings удаляет все назначенные на кластер роли и задает новые.

  1. Посмотрите список ролей, назначенных на кластер, выполнив команду:

    yc managed-kubernetes cluster list-access-bindings <имя_или_идентификатор_кластера>

  2. Посмотрите описание команды CLI для назначения ролей на кластер:

    yc managed-kubernetes cluster set-access-bindings --help

  3. Назначьте роли, выполнив команду:

    yc managed-kubernetes cluster set-access-bindings <имя_или_идентификатор_кластера> \
  --access-binding role=<идентификатор_роли_1>,subject=<тип_субъекта>:<идентификатор_субъекта_1> \
  --access-binding role=<идентификатор_роли_2>,subject=<тип_субъекта>:<идентификатор_субъекта_2>

    Где --access-binding — назначает роль субъекту. Вы можете назначить несколько ролей одновременно, описав каждую в отдельном параметре --access-binding.

Важно

Не используйте ресурс yandex_kubernetes_cluster_iam_member для назначения ролей, которые управляются ресурсом yandex_kubernetes_cluster_iam_binding.

  1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

    О том, как создать такой файл, см. в разделе Создание кластера.

  2. Добавьте описание ресурсов:

    resource "yandex_kubernetes_cluster_iam_member" "<локальное_имя_ресурса_1>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<идентификатор_роли_1>"
  member     = "<тип_субъекта>:<идентификатор_субъекта>"
}

resource "yandex_kubernetes_cluster_iam_member" "<локальное_имя_ресурса_2>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<идентификатор_роли_2>"
  member     = "<тип_субъекта>:<идентификатор_субъекта>"
}

    Где:

  3. Проверьте корректность конфигурационных файлов.

    1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

    2. Выполните команду:

      terraform validate

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

  4. Подтвердите изменение ресурсов.

    1. Выполните команду для просмотра планируемых изменений:

      terraform plan

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

    2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

        terraform apply

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

    Подробнее см. в документации провайдера Terraform.

  5. Проверьте список ролей, назначенных на кластер, выполнив команду CLI:

    yc managed-kubernetes cluster list-access-bindings <имя_или_идентификатор_кластера>

Отозвать роль

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

  1. Посмотрите список ролей, назначенных на кластер, выполнив команду:

    yc managed-kubernetes cluster list-access-bindings <имя_или_идентификатор_кластера>

  2. Посмотрите описание команды CLI для отзыва роли на кластер:

    yc managed-kubernetes cluster remove-access-binding --help

  3. Отзовите роль, выполнив команду:

    yc managed-kubernetes cluster remove-access-binding <имя_или_идентификатор_кластера> \
  --role <идентификатор_роли> \
  --subject <тип_субъекта>:<идентификатор_субъекта>

    Где:

Важно

Не используйте ресурс yandex_kubernetes_cluster_iam_member для назначения ролей, которые управляются ресурсом yandex_kubernetes_cluster_iam_binding.

  1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

    О том, как создать такой файл, см. в разделе Создание кластера.

  2. Найдите описание ресурса с ролью, которую вы хотите отозвать, и удалите его:

    resource "yandex_kubernetes_cluster_iam_member" "<локальное_имя_ресурса>" {
  cluster_id = "<идентификатор_кластера>"
  role       = "<идентификатор_роли>"
  member     = "<тип_субъекта>:<идентификатор_субъекта>"
}

  3. Проверьте корректность конфигурационных файлов.

    1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

    2. Выполните команду:

      terraform validate

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

  4. Подтвердите изменение ресурсов.

    1. Выполните команду для просмотра планируемых изменений:

      terraform plan

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

    2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

        terraform apply

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

    Подробнее см. в документации провайдера Terraform.

  5. Проверьте список ролей, назначенных на кластер, выполнив команду CLI:

    yc managed-kubernetes cluster list-access-bindings <имя_или_идентификатор_кластера>
Предыдущая
Создание пространства имен в кластере Kubernetes
Следующая
Мониторинг состояния кластера Kubernetes