Управлять политиками авторизации организации

Статья создана

Yandex Cloud

Улучшена

kvendingoldo

Обновлена 18 сентября 2026 г.

Открыть в Markdown

Создать политику авторизации для организации
Посмотреть список политик авторизации организации
Удалить политику авторизации, созданную для организации

Примечание

Функциональность находится на стадии Preview. Чтобы получить доступ, обратитесь в техническую поддержку или к вашему аккаунт-менеджеру.

Политики авторизации — это механизм контроля доступа Yandex Identity and Access Management, который позволяет управлять разрешениями на выполнение определенных операций с ресурсами Yandex Cloud. Политики авторизации создаются на основе шаблонов и дополняют систему ролей, делая управление доступом более гибким.

Управлять политиками авторизации организации может пользователь, которому назначена роль organization-manager.admin или admin на эту организацию.

Создать политику авторизации для организации

Чтобы создать для организации политику авторизации на основе шаблона без параметров:

CLI

Terraform

API

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Получите список поддерживаемых шаблонов политик авторизации с идентификаторами.
Выполните команду:
```
yc organization-manager organization bind-access-policy \
  --name <имя_организации> \
  --access-policy-template-id=<идентификатор_шаблона_политики>
```
Где:
- --name — имя организации, для которой вы хотите создать политику. Вместо имени организации вы можете указать ее идентификатор в параметре --id.
- --access-policy-template-id — идентификатор шаблона, на основе которого вы хотите создать политику авторизации для указанной организации.
Убедитесь, что политика была создана.

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробная информация о ресурсах провайдера в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

Получите идентификатор шаблона политики авторизации без параметров.
Добавьте в конфигурацию ресурс yandex_organization_manager_organization_iam_policy_binding:
```
resource "yandex_organization_manager_organization_iam_policy_binding" "policy" {
  organization_id = "<идентификатор_организации>"
  access_policy_template_id = "<идентификатор_шаблона_политики>"
}
```
Где organization_id — идентификатор организации, а access_policy_template_id — идентификатор шаблона политики авторизации. Этот ресурс создает привязку шаблона политики, а не назначает роль субъекту.

Подробнее см. в документации провайдера.
Примените конфигурацию:
1. В терминале перейдите в директорию с конфигурационным файлом.
2. Проверьте корректность конфигурации с помощью команды:
```
terraform validate
```
  Если конфигурация является корректной, появится сообщение:
```
Success! The configuration is valid.
```
3. Выполните команду:
```
terraform plan
```
  В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.
4. Примените изменения конфигурации:
```
terraform apply
```
5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

Воспользуйтесь методом REST API bindAccessPolicy для ресурса Organization или вызовом gRPC API OrganizationService/BindAccessPolicy.

Созданная политика авторизации будет применяться к ресурсам внутри всех облаков в пределах заданной организации.

Посмотреть список политик авторизации организации

Чтобы посмотреть список политик авторизации, созданных для организации:

CLI

API

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Выполните команду, указав имя или идентификатор организации, для которой вы хотите посмотреть созданные политики:

yc organization-manager organization list-access-policy-bindings <имя_или_идентификатор_организации>

Результат:

+------------------------------+
|  ACCESS POLICY TEMPLATE ID   |
+------------------------------+
| organization.denyUserListing |
+------------------------------+

Воспользуйтесь методом REST API listAccessPolicyBindings для ресурса Organization или вызовом gRPC API OrganizationService/ListAccessPolicyBindings.

Удалить политику авторизации, созданную для организации

Чтобы удалить политику авторизации, созданную для организации:

CLI

Terraform

API

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Получите список идентификаторов шаблонов политик авторизации, назначенных на организацию.
Выполните команду:
```
yc organization-manager organization unbind-access-policy \
  --name <имя_организации> \
  --access-policy-template-id=<идентификатор_шаблона_политики>
```
Где:
- --name — имя организации, для которой вы хотите удалить политику. Вместо имени организации вы можете указать ее идентификатор в параметре --id.
- --access-policy-template-id — идентификатор шаблона политики авторизации, которую вы хотите удалить у указанной организации.
Убедитесь, что политика была удалена.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробная информация о ресурсах провайдера в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

В конфигурации найдите ресурс yandex_organization_manager_organization_iam_policy_binding с идентификаторами нужного шаблона политики в access_policy_template_id и организации в organization_id.
Удалите блок этого ресурса. Сам ресурс организации удалять не нужно.
Примените конфигурацию:
1. В терминале перейдите в директорию с конфигурационным файлом.
2. Проверьте корректность конфигурации с помощью команды:
```
terraform validate
```
  Если конфигурация является корректной, появится сообщение:
```
Success! The configuration is valid.
```
3. Выполните команду:
```
terraform plan
```
  В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.
4. Примените изменения конфигурации:
```
terraform apply
```
5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.
Убедитесь, что план удаляет только нужную привязку политики. Эти инструкции применимы к привязке, которой управляет текущая конфигурация { TF }.

Воспользуйтесь методом REST API unbindAccessPolicy для ресурса Organization или вызовом gRPC API OrganizationService/UnbindAccessPolicy.

Указанная политика авторизации перестанет применяться к ресурсам внутри всех облаков в пределах заданной организации.

Полезные ссылки

Политики авторизации

Управлять политиками авторизации организации

Создать политику авторизации для организацииСоздать политику авторизации для организации

Посмотреть список политик авторизации организацииПосмотреть список политик авторизации организации

Удалить политику авторизации, созданную для организацииУдалить политику авторизации, созданную для организации

Полезные ссылкиПолезные ссылки

Была ли статья полезна?

Создать политику авторизации для организации

Посмотреть список политик авторизации организации

Удалить политику авторизации, созданную для организации

Полезные ссылки