Назначить пользователя администратором организации

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

1. Получите идентификатор пользователя.

2. Назначьте роль с помощью команды:

   yc organization-manager organization add-access-binding <имя_или_идентификатор_организации> \
     --role <идентификатор_роли> \
     --user-account-id <идентификатор_пользователя>
   

   Где:

   • --role — идентификатор роли. Укажите роль organization-manager.admin.
   • --user-account-id — идентификатор пользователя. Также вы можете использовать параметр --user-yandex-login и указать логин пользователя вместо идентификатора.

   Например, назначьте роль администратора для организации с идентификатором bpf3crucp1v2********:

   yc organization-manager organization add-access-binding bpf3crucp1v2******** \
     --role organization-manager.admin \
     --user-account-id aje6o61dvog2********
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле параметры назначаемых ролей:

   resource "yandex_organizationmanager_organization_iam_binding" "org_admin_role" {
     organization_id = "<идентификатор_организации>"
     role            = "organization-manager.admin"
     member          = "userAccount:<идентификатор_пользователя>"
   }
   

   Где:

   • organization_id — идентификатор организации.

   • role — укажите роль organization-manager.admin. Для одной роли можно использовать только один ресурс yandex_organizationmanager_organization_iam_binding.

   • member — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

     Тип субъекта	Обозначение субъекта
     userAccount	userAccount:<идентификатор_пользователя>
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>
     federatedUser	federatedUser:<идентификатор_пользователя>
     group	group:<идентификатор_группы>
     system	system:allAuthenticatedUsers (группа All authenticated users)
     	system:allUsers (группа All users)
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

   Подробнее о параметрах ресурса yandex_organizationmanager_organization_iam_binding читайте в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

После этого указанному пользователю будет назначена роль администратора организации. Проверить назначение роли можно в интерфейсе Cloud Center.

Чтобы назначить пользователю роль администратора организации, воспользуйтесь методом REST API updateAccessBindings для ресурса Organization или вызовом gRPC API OrganizationService/UpdateAccessBindings и передайте в запросе:

• Значение ADD в параметре accessBindingDeltas[].action, чтобы добавить роль.

• Роль в параметре accessBindingDeltas[].accessBinding.roleId.

• Идентификатор субъекта, которому назначается роль, в параметре accessBindingDeltas[].accessBinding.subject.id.

• Тип субъекта, которому назначается роль, в параметре accessBindingDeltas[].accessBinding.subject.type.

  Обозначения субъектов

  Для обозначения субъекта используется комбинация типа и уникального идентификатора в полях запроса subject.type и subject.id. Возможные комбинации:

  subject.type	subject.id
  userAccount	<идентификатор_пользователя>
  serviceAccount	<идентификатор_сервисного_аккаунта>
  federatedUser	<идентификатор_пользователя>
  group	<идентификатор_группы>
  system	allAuthenticatedUsers (группа All authenticated users)
  	allUsers (группа All users)
  	group:organization:<идентификатор_организации>:users (группа All users in organization X)
  	group:federation:<идентификатор_федерации>:users (группа All users in federation N)
  	group:userpool:<идентификатор_пула>:users (группа All users in userpool P)