Управлять исключениями политики MFA

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите список пользователей или групп, к которым применяется политика MFA:

   yc organization-manager mfa-enforcement list-audience \
     --id <идентификатор_политики>
   

2. Посмотрите описание команды CLI для изменения списка исключений политики MFA:

   yc organization-manager mfa-enforcement update-excluded-audience --help
   

3. Чтобы добавить пользователей или группы пользователей в список исключений политики MFA, выполните команду:

   yc organization-manager mfa-enforcement update-excluded-audience \
     --id <идентификатор_политики> \
     --audience-delta subject-id=<идентификатор_субъекта>,action=<действие>
   

   Где:

   • --audience-delta — параметр для изменения списка пользователей/групп в политике:
     • subject-id — идентификатор пользователя или группы.
     • action — действие: action-add — добавить, action-remove — удалить.

   Можно указать несколько параметров --audience-delta для одновременного добавления или удаления нескольких объектов.

   Результат:

   mfa_enforcement_id: bpfjv8qeq4ii********
   effective_deltas:
     - action: ACTION_ADD
       subject_id: aje0j5mts02t********
   

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите список пользователей или групп, к которым применяется политика MFA:

   yc organization-manager mfa-enforcement list-excluded-audience \
     --id <идентификатор_политики>
   

   Результат:

   +----------------------+---------------+
   |          ID          |     TYPE      |
   +----------------------+---------------+
   | aje0j5mts02t******** | federatedUser |
   +----------------------+---------------+