Yandex Cloud
Поиск
Связаться с намиПодключиться
  • Истории успеха
  • Документация
  • Блог
  • Все сервисы
  • Статус работы сервисов
    • Доступны в регионе
    • Инфраструктура и сеть
    • Платформа данных
    • Контейнеры
    • Инструменты разработчика
    • Бессерверные вычисления
    • Безопасность
    • Мониторинг и управление ресурсами
    • AI Studio
    • Бизнес-инструменты
  • Все решения
    • По отраслям
    • По типу задач
    • Экономика платформы
    • Безопасность
    • Техническая поддержка
    • Каталог партнёров
    • Обучение и сертификация
    • Облако для стартапов
    • Облако для крупного бизнеса
    • Центр технологий для общества
    • Партнёрская программа
    • Поддержка IT-бизнеса
    • Облако для фрилансеров
    • Обучение и сертификация
    • Блог
    • Документация
    • Мероприятия и вебинары
    • Контакты, чаты и сообщества
    • Идеи
    • Тарифы Yandex Cloud
    • Промоакции и free tier
    • Правила тарификации
  • Истории успеха
  • Документация
  • Блог
Проект Яндекса
© 2025 ТОО «Облачные Сервисы Казахстан»
Yandex Identity Hub
  • Начало работы
  • Управление доступом
  • Правила тарификации
  • Справочник Terraform
  • Аудитные логи Audit Trails
  • История изменений
  • Обучающие курсы

В этой статье:

  • На какие ресурсы можно назначить роль
  • Какие роли действуют в сервисе
  • Сервисные роли
  • Примитивные роли
  • Назначить пользователя администратором организации
  • Назначить роль пользователю
  • Отозвать роль у пользователя
  • Назначить роль группе пользователей
  • Какие роли назначены в организации

Управление доступом в Yandex Identity Hub

Статья создана
Yandex Cloud
Улучшена
mmerihsesh
Обновлена 7 июля 2025 г.
  • На какие ресурсы можно назначить роль
  • Какие роли действуют в сервисе
    • Сервисные роли
    • Примитивные роли
    • Назначить пользователя администратором организации
    • Назначить роль пользователю
    • Отозвать роль у пользователя
    • Назначить роль группе пользователей
  • Какие роли назначены в организации

Управление доступом в Yandex Cloud построено на политике Role Based Access Control (RBAC). Чтобы предоставить пользователю определенные права или доступ к ресурсу, нужно назначить ему соответствующие роли.

Каждая роль состоит из набора разрешений, описывающих допустимые операции с ресурсом. Пользователь может назначить роли только с теми разрешениями, которые имеются у него самого. Например, чтобы назначить роль владельца организации, пользователь должен сам обладать этой ролью, а роли администратора для этого недостаточно.

Если у ресурса есть дочерние ресурсы, то все разрешения от родительского ресурса будут унаследованы дочерними ресурсами. Например, если вы назначите пользователю роль администратора организации, в которой находится облако, то все разрешения этой роли будут действовать для облака и всех вложенных ресурсов этого облака.

Подробнее об управлении доступом в Yandex Cloud читайте в документации Yandex Identity and Access Management в разделе Как устроено управление доступом в Yandex Cloud.

На какие ресурсы можно назначить рольНа какие ресурсы можно назначить роль

Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.

С помощью интерфейса Cloud Center, Yandex Cloud CLI, API или Terraform роль можно назначить на отдельные ресурсы сервиса:

  • Группа пользователей
  • Организация

Какие роли действуют в сервисеКакие роли действуют в сервисе

Сервисные ролиСервисные роли

organization-manager.auditororganization-manager.auditor

Роль organization-manager.auditor позволяет просматривать информацию об организации и ее настройках, о входящих в организацию федерациях удостоверений, пулах пользователей, SAML-приложениях и OIDC-приложениях, а также о пользователях и группах пользователей организации.

Пользователи с этой ролью могут:
  • просматривать информацию об организации Identity Hub и ее настройках;
  • просматривать информацию о назначенных правах доступа к организации;
  • просматривать список пользователей организации;
  • просматривать информацию о федерациях удостоверений в организации;
  • просматривать информацию о сертификатах федераций удостоверений;
  • просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях;
  • просматривать информацию об атрибутах федеративных пользователей;
  • просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать информацию о доменах, привязанных к пулам пользователей;
  • просматривать информацию о SAML-приложениях и OIDC-приложениях, а также о назначенных правах доступа к ним;
  • просматривать список пользователей, добавленных в SAML-приложения и OIDC-приложения;
  • получать сертификаты SAML-приложений;
  • просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации;
  • просматривать информацию о настройках OS Login организации;
  • просматривать список профилей OS Login пользователей и сервисных аккаунтов;
  • просматривать список SSH-ключей пользователей организации, а также информацию об SSH-ключах;
  • просматривать информацию о группах пользователей и о назначенных правах доступа к таким группам;
  • просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
  • просматривать информацию о refresh-токенах пользователей организации, а также о настройках refresh-токенов в организации;
  • просматривать информацию о квотах сервиса Identity Hub;
  • просматривать информацию о действующем тарифном плане технической поддержки;
  • просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения, и закрывать их.

Включает разрешения, предоставляемые ролями iam.userAccounts.refreshTokenViewer, organization-manager.federations.auditor, organization-manager.osLogins.viewer, organization-manager.userpools.auditor, organization-manager.samlApplications.auditor и organization-manager.oauthApplications.auditor.

organization-manager.viewerorganization-manager.viewer

Роль organization-manager.viewer позволяет просматривать информацию об организации и ее настройках, о входящих в организацию федерациях удостоверений, пулах пользователей, SAML-приложениях и OIDC-приложениях, а также о пользователях и группах пользователей организации.

Пользователи с этой ролью могут:
  • просматривать информацию об организации Identity Hub и ее настройках;
  • просматривать информацию о назначенных правах доступа к организации;
  • просматривать список пользователей организации и информацию о них;
  • просматривать информацию о федерациях удостоверений в организации;
  • просматривать информацию о сертификатах федераций удостоверений;
  • просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях;
  • просматривать информацию об атрибутах федеративных пользователей;
  • просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать события аудита пользователя;
  • просматривать информацию о доменах, привязанных к пулам пользователей;
  • просматривать информацию о SAML-приложениях и OIDC-приложениях, а также о назначенных правах доступа к ним;
  • просматривать список пользователей, добавленных в SAML-приложения и OIDC-приложения;
  • получать сертификаты SAML-приложений;
  • просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации;
  • просматривать информацию о настройках OS Login организации;
  • просматривать список профилей OS Login пользователей и сервисных аккаунтов;
  • просматривать список SSH-ключей пользователей организации, а также информацию об SSH-ключах;
  • просматривать информацию о группах пользователей и о назначенных правах доступа к таким группам;
  • просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
  • просматривать информацию о refresh-токенах пользователей организации, а также о настройках refresh-токенов в организации;
  • просматривать информацию о квотах сервиса Identity Hub;
  • просматривать информацию о действующем тарифном плане технической поддержки;
  • просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения, и закрывать их.

Включает разрешения, предоставляемые ролями organization-manager.auditor, organization-manager.federations.viewer, organization-manager.users.viewer, organization-manager.samlApplications.viewer, organization-manager.oauthApplications.viewer и organization-manager.userpools.viewer.

organization-manager.editororganization-manager.editor

Роль organization-manager.editor позволяет управлять настройками организации, федерациями удостоверений, пулами пользователей, SAML-приложениями, OIDC-приложениями, а также пользователями и их группами.

Пользователи с этой ролью могут:
  • просматривать и изменять информацию об организации Identity Hub;
  • просматривать и изменять настройки организации;
  • просматривать информацию о назначенных правах доступа к организации;
  • просматривать список пользователей организации и информацию о них;
  • просматривать информацию о федерациях удостоверений в организации, а также создавать, изменять и удалять федерации удостоверений;
  • добавлять и удалять федеративных пользователей;
  • просматривать информацию о сертификатах федераций удостоверений, а также добавлять, изменять и удалять такие сертификаты;
  • просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях, а также создавать, изменять и удалять такие списки сопоставлений;
  • просматривать информацию об атрибутах федеративных пользователей, а также создавать и удалять такие атрибуты;
  • просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
  • создавать, изменять и удалять пулы пользователей;
  • просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
  • создавать, удалять, активировать и деактивировать пользователей, входящих в пулы пользователей;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать события аудита пользователя;
  • изменять данные пользователей, входящих в пулы пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
  • просматривать информацию о SAML-приложениях и OIDC-приложениях, а также о назначенных правах доступа к ним;
  • создавать, деактивировать, активировать, изменять и удалять SAML-приложения и OIDC-приложения;
  • просматривать список пользователей, добавленных в SAML-приложения и OIDC-приложения;
  • получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
  • просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации, и изменять этот список;
  • просматривать информацию о настройках OS Login организации;
  • просматривать список профилей OS Login пользователей и сервисных аккаунтов;
  • просматривать список SSH-ключей пользователей организации, а также информацию об SSH-ключах;
  • просматривать информацию о группах пользователей, а также создавать, изменять и удалять группы пользователей;
  • просматривать информацию о назначенных правах доступа к группам пользователей;
  • просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
  • просматривать и изменять настройки refresh-токенов в организации;
  • просматривать информацию о refresh-токенах пользователей организации и отзывать такие refresh-токены;
  • просматривать информацию о квотах сервиса Identity Hub;
  • просматривать информацию о действующем тарифном плане технической поддержки;
  • просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения, и закрывать их.

Включает разрешения, предоставляемые ролями organization-manager.viewer, organization-manager.federations.editor, organization-manager.userpools.editor, organization-manager.samlApplications.editor и organization-manager.oauthApplications.editor.

organization-manager.adminorganization-manager.admin

Роль organization-manager.admin позволяет управлять настройками организации, федерациями удостоверений, пулами пользователей, SAML-приложениями, OIDC-приложениями, пользователями и их группами, а также правами доступа пользователей к организации и ресурсам в ней.

Пользователи с этой ролью могут:
  • привязывать платежный аккаунт к организации Identity Hub;
  • просматривать и изменять информацию об организации Identity Hub;
  • просматривать и изменять настройки организации;
  • просматривать информацию о назначенных правах доступа к организации и изменять такие права доступа;
  • просматривать список пользователей организации и информацию о них, а также исключать пользователей из организации;
  • просматривать информацию об отправленных пользователям приглашениях в организацию, а также отправлять и удалять такие приглашения;
  • просматривать информацию о федерациях удостоверений в организации, а также создавать, изменять и удалять федерации удостоверений;
  • добавлять и удалять федеративных пользователей;
  • просматривать информацию о сертификатах федераций удостоверений, а также добавлять, изменять и удалять такие сертификаты;
  • настраивать сопоставление групп федеративных пользователей;
  • просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях, а также создавать, изменять и удалять такие списки сопоставлений;
  • просматривать информацию об атрибутах федеративных пользователей, а также создавать и удалять такие атрибуты;
  • просматривать информацию о пулах пользователей, а также создавать, изменять и удалять их;
  • просматривать информацию о назначенных правах доступа к пулам пользователей и изменять такие права доступа;
  • просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
  • создавать, удалять, активировать и деактивировать пользователей, входящих в пулы пользователей;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать события аудита пользователя;
  • изменять данные пользователей, входящих в пулы пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
  • просматривать информацию о SAML-приложениях и OIDC-приложениях, а также создавать, деактивировать, активировать, изменять и удалять их;
  • просматривать информацию о назначенных правах доступа к SAML-приложениям и OIDC-приложениям, а также изменять такие права доступа;
  • просматривать и изменять список пользователей, добавленных в SAML-приложения и OIDC-приложения;
  • получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
  • просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации, и изменять этот список;
  • просматривать информацию о настройках OS Login организации и изменять такие настройки;
  • просматривать список профилей OS Login пользователей и сервисных аккаунтов, а также создавать, изменять и удалять профили OS Login;
  • просматривать список SSH-ключей пользователей организации и информацию об SSH-ключах, а также создавать, изменять и удалять SSH-ключи пользователей;
  • просматривать информацию о группах пользователей, а также создавать, изменять и удалять группы пользователей;
  • добавлять пользователей и сервисные аккаунты в группы пользователей и удалять их из групп;
  • просматривать информацию о назначенных правах доступа к группам пользователей и изменять такие права доступа;
  • просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
  • просматривать и изменять настройки refresh-токенов в организации;
  • просматривать информацию о refresh-токенах пользователей организации и отзывать такие refresh-токены;
  • просматривать информацию о квотах сервиса Identity Hub;
  • просматривать информацию о действующем тарифном плане технической поддержки;
  • просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения, и закрывать их.

Включает разрешения, предоставляемые ролями organization-manager.editor, organization-manager.federations.admin, organization-manager.osLogins.admin, organization-manager.userpools.admin, organization-manager.samlApplications.admin и organization-manager.oauthApplications.admin.

organization-manager.organizations.ownerorganization-manager.organizations.owner

Роль organization-manager.organizations.owner позволяет совершать любые действия с любыми ресурсами в организации и с платежными аккаунтами, в том числе создавать платежные аккаунты и привязывать их к облакам. Роль также позволяет назначать дополнительных владельцев организации.

Прежде чем назначить эту роль, ознакомьтесь с информацией о защите привилегированных аккаунтов.

organization-manager.federations.auditororganization-manager.federations.auditor

Роль organization-manager.federations.auditor позволяет просматривать информацию об организации и ее настройках, о федерациях удостоверений и сопоставлениях групп пользователей.

Пользователи с этой ролью могут:

  • просматривать информацию об организации и ее настройках;
  • просматривать информацию о федерациях удостоверений;
  • просматривать информацию о сертификатах;
  • просматривать списки сопоставлений групп пользователей и информацию о таких сопоставлениях;
  • просматривать список пользователей организации и групп, в которые эти пользователи входят;
  • просматривать атрибуты федеративных пользователей.

organization-manager.federations.viewerorganization-manager.federations.viewer

Роль organization-manager.federations.viewer позволяет просматривать информацию об организации и ее настройках, о федерациях удостоверений, пользователях организации и сопоставлениях групп пользователей.

Пользователи с этой ролью могут:

  • просматривать информацию об организации и ее настройках;
  • просматривать информацию о федерациях удостоверений;
  • просматривать информацию о сертификатах;
  • просматривать списки сопоставлений групп пользователей и информацию о таких сопоставлениях;
  • просматривать список пользователей организации и информацию о пользователях;
  • просматривать список групп, в которые входят пользователи организации;
  • просматривать атрибуты федеративных пользователей.

Включает разрешения, предоставляемые ролью organization-manager.federations.auditor.

organization-manager.federations.editororganization-manager.federations.editor

Роль organization-manager.federations.editor позволяет управлять федерациями удостоверений, федеративными пользователями и сертификатами, а также просматривать информацию об организации, ее настройках и пользователях.

Пользователи с этой ролью могут:

  • просматривать информацию об организации и ее настройках;
  • просматривать информацию о федерациях удостоверений, а также создавать, изменять и удалять такие федерации;
  • просматривать информацию о сертификатах, а также создавать, изменять и удалять их;
  • просматривать списки сопоставлений групп пользователей и информацию о таких сопоставлениях;
  • добавлять федеративных пользователей и удалять их;
  • отзывать refresh-токены федеративных пользователей;
  • просматривать список пользователей организации и информацию о пользователях;
  • просматривать список групп, в которые входят пользователи организации;
  • просматривать атрибуты федеративных пользователей.

Включает разрешения, предоставляемые ролями organization-manager.federations.viewer и organization-manager.federations.userAdmin.

organization-manager.federations.userAdminorganization-manager.federations.userAdmin

Роль organization-manager.federations.userAdmin позволяет добавлять федеративных пользователей в организацию и удалять их, отзывать refresh-токены федеративных пользователей, просматривать список пользователей организации и группы пользователей, в которые они входят, а также атрибуты федеративных пользователей.

Включает разрешения, предоставляемые ролью iam.userAccounts.refreshTokenRevoker.

organization-manager.federations.adminorganization-manager.federations.admin

Роль organization-manager.federations.admin позволяет управлять федерациями удостоверений, федеративными пользователями и сертификатами, а также просматривать информацию об организации, ее настройках и пользователях.

Пользователи с этой ролью могут:

  • просматривать информацию об организации и ее настройках;
  • просматривать информацию о федерациях удостоверений, а также создавать, изменять и удалять такие федерации;
  • просматривать информацию о сертификатах, а также создавать, изменять и удалять их;
  • просматривать списки сопоставлений групп пользователей и информацию о таких сопоставлениях;
  • добавлять федеративных пользователей и удалять их;
  • отзывать refresh-токены федеративных пользователей;
  • просматривать список пользователей организации и информацию о пользователях;
  • просматривать список групп, в которые входят пользователи организации;
  • просматривать атрибуты федеративных пользователей.

Включает разрешения, предоставляемые ролью organization-manager.federations.editor.

organization-manager.osLogins.viewerorganization-manager.osLogins.viewer

Роль organization-manager.osLogins.viewer позволяет просматривать информацию о настройках OS Login организации и список профилей OS Login пользователей и сервисных аккаунтов, а также просматривать список SSH-ключей пользователей и информацию об SSH-ключах.

organization-manager.osLogins.adminorganization-manager.osLogins.admin

Роль organization-manager.osLogins.admin позволяет управлять настройками OS Login организации, а также профилями OS Login и SSH-ключами пользователей.

Пользователи с этой ролью могут:

  • просматривать информацию о настройках OS Login организации и изменять такие настройки;
  • просматривать список профилей OS Login пользователей организации и сервисных аккаунтов, а также создавать, изменять и удалять профили OS Login;
  • просматривать список SSH-ключей пользователей организации и информацию об SSH-ключах, а также создавать, изменять и удалять SSH-ключи пользователей.

Включает разрешения, предоставляемые ролью organization-manager.osLogins.viewer.

organization-manager.groups.memberAdminorganization-manager.groups.memberAdmin

Роль organization-manager.groups.memberAdmin позволяет просматривать информацию о группах пользователей, настраивать сопоставление групп пользователей, а также просматривать и изменять списки пользователей и сервисных аккаунтов, входящих в группы.

organization-manager.users.viewerorganization-manager.users.viewer

Роль organization-manager.users.viewer позволяет просматривать список пользователей организации, информацию о них, списки групп, в которые входят пользователи, а также атрибуты федеративных пользователей.

organization-manager.passportUserAdminorganization-manager.passportUserAdmin

Роль organization-manager.passportUserAdmin позволяет просматривать информацию о пользователях организации, а также приглашать в организацию и исключать из нее пользователей с аккаунтами на Яндексе.

Пользователи с этой ролью могут:

  • приглашать, в том числе повторно, в организацию новых пользователей с аккаунтами на Яндексе, а также просматривать и удалять отправленные приглашения;
  • исключать пользователей из организации;
  • просматривать список пользователей организации;
  • просматривать атрибуты федеративных пользователей организации;
  • просматривать атрибуты пользователей, входящих в пулы пользователей.

organization-manager.oauthApplications.auditororganization-manager.oauthApplications.auditor

Роль organization-manager.oauthApplications.auditor позволяет просматривать информацию об OIDC-приложениях и назначенных правах доступа к ним, а также просматривать список пользователей, добавленных в OIDC-приложения.

organization-manager.oauthApplications.viewerorganization-manager.oauthApplications.viewer

Роль organization-manager.oauthApplications.viewer позволяет просматривать информацию об OIDC-приложениях и назначенных правах доступа к ним, а также просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролью organization-manager.oauthApplications.auditor.

organization-manager.oauthApplications.editororganization-manager.oauthApplications.editor

Роль organization-manager.oauthApplications.editor позволяет управлять OIDC-приложениями и просматривать добавленных в них пользователей.

Пользователи с этой ролью могут:

  • просматривать информацию об OIDC-приложениях и назначенных правах доступа к ним;
  • создавать, деактивировать, активировать, изменять и удалять OIDC-приложения;
  • просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролью organization-manager.oauthApplications.viewer.

organization-manager.oauthApplications.usersAdminorganization-manager.oauthApplications.usersAdmin

Роль organization-manager.oauthApplications.usersAdmin позволяет просматривать и изменять список пользователей, добавленных в OIDC-приложение.

organization-manager.oauthApplications.adminorganization-manager.oauthApplications.admin

Роль organization-manager.oauthApplications.admin позволяет управлять OIDC-приложениями и доступом к ним, а также пользователями, добавленными в OIDC-приложения.

Пользователи с этой ролью могут:

  • просматривать информацию об OIDC-приложениях, а также создавать, деактивировать, активировать, изменять и удалять их;
  • просматривать информацию о назначенных правах доступа к OIDC-приложениям и изменять такие права доступа;
  • просматривать и изменять список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролями organization-manager.oauthApplications.editor и organization-manager.oauthApplications.usersAdmin.

organization-manager.samlApplications.auditororganization-manager.samlApplications.auditor

Роль organization-manager.samlApplications.auditor позволяет просматривать информацию о SAML-приложениях и назначенных правах доступа к ним, просматривать список пользователей, добавленных в SAML-приложения, а также получать сертификаты SAML-приложений.

organization-manager.samlApplications.viewerorganization-manager.samlApplications.viewer

Роль organization-manager.samlApplications.viewer позволяет просматривать информацию о SAML-приложениях и назначенных правах доступа к ним, просматривать список пользователей, добавленных в SAML-приложения, а также получать сертификаты SAML-приложений.

Включает разрешения, предоставляемые ролью organization-manager.samlApplications.auditor.

organization-manager.samlApplications.editororganization-manager.samlApplications.editor

Роль organization-manager.samlApplications.editor позволяет управлять SAML-приложениями и просматривать добавленных в них пользователей.

Пользователи с этой ролью могут:

  • просматривать информацию о SAML-приложениях и назначенных правах доступа к ним;
  • создавать, деактивировать, активировать, изменять и удалять SAML-приложения;
  • получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
  • просматривать список пользователей, добавленных в SAML-приложения;
  • просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролью organization-manager.samlApplications.viewer.

organization-manager.samlApplications.usersAdminorganization-manager.samlApplications.usersAdmin

Роль organization-manager.samlApplications.usersAdmin позволяет просматривать и изменять список пользователей, добавленных в SAML-приложение.

organization-manager.samlApplications.adminorganization-manager.samlApplications.admin

Роль organization-manager.samlApplications.admin позволяет управлять SAML-приложениями и доступом к ним, а также пользователями, добавленными в SAML-приложения.

Пользователи с этой ролью могут:

  • просматривать информацию о SAML-приложениях, а также создавать, деактивировать, активировать, изменять и удалять их;
  • просматривать информацию о назначенных правах доступа к SAML-приложениям и изменять такие права доступа;
  • получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
  • просматривать и изменять список пользователей, добавленных в SAML-приложения;
  • просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролями organization-manager.samlApplications.editor и organization-manager.samlApplications.usersAdmin.

organization-manager.userpools.auditororganization-manager.userpools.auditor

Роль organization-manager.userpools.auditor позволяет просматривать информацию о пулах пользователей, а также список пользователей организации.

Пользователи с этой ролью могут:

  • просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать информацию о доменах, привязанных к пулам пользователей;
  • просматривать список пользователей организации и групп, в которые эти пользователи входят.

organization-manager.userpools.viewerorganization-manager.userpools.viewer

Роль organization-manager.userpools.viewer позволяет просматривать информацию о пулах пользователей, а также список пользователей организации и информацию о них.

Пользователи с этой ролью могут:

  • просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать события аудита пользователя;
  • просматривать информацию о доменах, привязанных к пулам пользователей;
  • просматривать список пользователей организации и информацию о них;
  • просматривать список групп, в которые входят пользователи организации.

Включает разрешения, предоставляемые ролью organization-manager.userpools.auditor.

organization-manager.userpools.editororganization-manager.userpools.editor

Роль organization-manager.userpools.editor позволяет управлять пулами пользователей и входящими в них пользователями.

Пользователи с этой ролью могут:

  • просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
  • создавать, изменять и удалять пулы пользователей;
  • создавать, удалять, активировать и деактивировать пользователей, входящих в пулы пользователей;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать события аудита пользователя;
  • изменять данные пользователей, входящих в пулы пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
  • просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
  • отзывать refresh-токены пользователей;
  • просматривать список пользователей организации и информацию о них;
  • просматривать список групп, в которые входят пользователи организации.

Включает разрешения, предоставляемые ролями organization-manager.userpools.userAdmin и organization-manager.userpools.viewer.

organization-manager.userpools.usersAdminorganization-manager.userpools.usersAdmin

Роль organization-manager.userpools.userAdmin позволяет управлять пользователями организации, входящими в пулы пользователей.

Пользователи с этой ролью могут:

  • просматривать список пользователей организации и информацию о них;
  • просматривать список групп, в которые входят пользователи организации;
  • создавать, удалять, активировать и деактивировать пользователей, входящих в пулы пользователей;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • изменять данные пользователей, входящих в пулы пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
  • отзывать refresh-токены пользователей.

Включает разрешения, предоставляемые ролью iam.userAccounts.refreshTokenRevoker.

organization-manager.userpools.adminorganization-manager.userpools.admin

Роль organization-manager.userpools.admin позволяет управлять пулами пользователей и доступом к ним, а также управлять входящими в них пользователями.

Пользователи с этой ролью могут:

  • просматривать информацию о пулах пользователей, а также создавать, изменять и удалять их;
  • просматривать информацию о назначенных правах доступа к пулам пользователей и изменять такие права доступа;
  • создавать, удалять, активировать и деактивировать пользователей, входящих в пулы пользователей;
  • просматривать атрибуты пользователей, входящих в пулы пользователей;
  • просматривать MFA-факторы аутентификации пользователей;
  • просматривать события аудита пользователя;
  • изменять данные пользователей, входящих в пулы пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
  • просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
  • отзывать refresh-токены пользователей;
  • просматривать список пользователей организации и информацию о них;
  • просматривать список групп, в которые входят пользователи организации.

Включает разрешения, предоставляемые ролью organization-manager.userpools.editor.

Примитивные ролиПримитивные роли

Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.

auditorauditor

Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.

Например, пользователи с этой ролью могут:

  • просматривать информацию о ресурсе;
  • просматривать метаданные ресурса;
  • просматривать список операций с ресурсом.

Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.

viewerviewer

Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.

Включает разрешения, предоставляемые ролью auditor.

В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.

editoreditor

Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.

Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.

Включает разрешения, предоставляемые ролью viewer.

adminadmin

Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.

Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.

Включает разрешения, предоставляемые ролью editor.

Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.

Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.

Назначить пользователя администратором организацииНазначить пользователя администратором организации

Чтобы дать пользователю права на управление организацией, назначьте ему роль organization-manager.admin.

Назначить роль пользователюНазначить роль пользователю

Назначать роли в Yandex Identity Hub могут администраторы и владельцы организации. Вы можете назначать пользователям не только роли для управления организацией, но и роли для доступа к ресурсам облаков, подключенных к вашей организации.

О том, какие роли доступны в Yandex Cloud и какие разрешения в них входят, читайте в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

Интерфейс Cloud Center
CLI
Terraform
API
  1. Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.

  2. На панели слева выберите Права доступа.

  3. Если у нужного пользователя уже есть хотя бы одна роль, в строке с этим пользователем нажмите значок и выберите Назначить роли.

    Если нужного пользователя нет в списке, в правом верхнем углу страницы нажмите кнопку Назначить роли. В открывшемся окне выберите пользователя из списка или воспользуйтесь строкой поиска.

  4. Нажмите кнопку Добавить роль и выберите роль, которую хотите назначить пользователю. Вы можете назначить несколько ролей.

    Описание доступных ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

  5. Нажмите кнопку Сохранить.

  1. Выберите роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

  2. Получите идентификатор пользователя.

  3. Назначьте роль с помощью команды:

    yc <имя_сервиса> <ресурс> add-access-binding <имя_или_идентификатор_ресурса> \
        --role <идентификатор_роли> \
        --subject <тип_субъекта>:<идентификатор_субъекта>
    
    • <имя_сервиса> — имя сервиса, на чей ресурс назначается роль, например organization-manager.
    • <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
    • <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.
    • --role — идентификатор роли, например organization-manager.admin.
    • --subject — тип и идентификатор субъекта, которому назначается роль.

    Например, назначьте роль администратора для организации с идентификатором bpf3crucp1v2********:

    yc organization-manager organization add-access-binding bpf3crucp1v2******** \
        --role organization-manager.admin \
        --subject userAccount:aje6o61dvog2********
    

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

  1. Опишите в конфигурационном файле параметры назначаемых ролей:

    • organization_id — идентификатор организации.
    • role — роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud. Для каждой роли можно использовать только один yandex_organization manager_organization_iam_binding.
    • members — массив идентификаторов пользователей, которым будет назначена роль:
      • userAccount:{user_id} — идентификатор аккаунта пользователя на Яндексе.
      • serviceAccount:{service_account_id} — идентификатор сервисного аккаунта.
      • federatedUser:{federated_user_id} — идентификатор федеративного пользователя.

    Пример структуры конфигурационного файла:

    resource "yandex_organizationmanager_organization_iam_binding" "editor" {
      organization_id = "<идентификатор_организации>"
      role = "editor"
      members = [
       "federatedUser:<идентификатор_пользователя>",
      ]
    }
    

    Более подробную информацию о ресурсах, которые вы можете создать с помощью Terraform, см. в документации провайдера.

  2. Проверьте корректность конфигурационных файлов.

    1. В командной строке перейдите в папку, где вы создали конфигурационный файл.
    2. Выполните проверку с помощью команды:
    terraform plan
    

    Если конфигурация описана верно, в терминале отобразится список назначенных ролей. Если в конфигурации есть ошибки, Terraform на них укажет.

  3. Назначьте роли.

    Если в конфигурации нет ошибок, выполните команду:

    terraform apply
    

    После этого в указанной организации будут назначены роли.

Воспользуйтесь методом updateAccessBindings для соответствующего ресурса.

  1. Выберите роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

  2. Получите идентификатор пользователя.

  3. Сформируйте тело запроса, например, в файле body.json. В свойстве action укажите ADD, а в свойстве subject — тип userAccount и идентификатор пользователя:

    Пример файла body.json:

    {
      "accessBindingDeltas": [{
        "action": "ADD",
        "accessBinding": {
          "roleId": "organization-manager.admin",
          "subject": {
            "id": "gfei8n54hmfh********",
            "type": "userAccount"
          }
        }
      }]
    }
    
  4. Назначьте роль. Например, для организации с идентификатором bpf3crucp1v2********:

    export ORGANIZATION_ID=bpf3crucp1v2********
    export IAM_TOKEN=CggaAT********
    curl \
      --request POST \
      --header "Content-Type: application/json" \
      --header "Authorization: Bearer ${IAM_TOKEN}" \
      --data '@body.json' \
      "https://organization-manager.api.yandexcloud.kz/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"
    

    Вы можете ознакомиться с подробной инструкцией назначения роли для соответствующего ресурса в документации Yandex Identity and Access Management и Yandex Resource Manager:

    • Настройка прав доступа к сервисному аккаунту
    • Настройка прав доступа к облаку
    • Настройка прав доступа к каталогу

Аналогичным образом можно назначить роль на организацию сервисному аккаунту.

Отозвать роль у пользователяОтозвать роль у пользователя

Если вы хотите запретить пользователю доступ к ресурсу, отзовите у него соответствующие роли на этот ресурс и на ресурсы, от которых наследуются права доступа. Подробнее об управлении доступом в Yandex Cloud читайте в документации Yandex Identity and Access Management.

Отозвать роль может пользователь с ролью администратора organization-manager.admin или владельца organization-manager.organizations.owner организации. О том, как назначить пользователю роль, читайте в разделе Роли.

Интерфейс Cloud Center
CLI
API
  1. Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.

  2. На панели слева выберите Права доступа.

  3. Найдите в списке нужного пользователя. При необходимости воспользуйтесь строкой поиска или фильтром.

  4. В строке с нужным пользователем нажмите значок и выберите Назначить роли. В открывшемся окне:

    1. Нажмите значок рядом с ролью, чтобы удалить ее.

    2. Нажмите кнопку Сохранить.

Чтобы отозвать роль у субъекта, удалите права доступа для соответствующего ресурса:

  1. Посмотрите, кому и какие роли назначены на ресурс:

    yc <имя_сервиса> <ресурс> list-access-bindings <имя_или_идентификатор_ресурса>
    
    • <имя_сервиса> — имя сервиса, которому принадлежит ресурс, например organization-manager.
    • <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
    • <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.

    Например, посмотрите, кому и какие роли назначены в организации с идентификатором bpf3crucp1v2********:

    yc organization-manager organization list-access-bindings bpf3crucp1v2********
    

    Результат:

    +------------------------------------------+--------------+----------------------+
    |                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
    +------------------------------------------+--------------+----------------------+
    | organization-manager.organizations.owner | userAccount  | aje3r40rsemj******** |
    | organization-manager.admin               | userAccount  | aje6o61dvog2******** |
    +------------------------------------------+--------------+----------------------+
    
  2. Чтобы удалить права доступа, выполните команду:

    yc <имя_сервиса> <ресурс> remove-access-binding <имя_или_идентификатор_ресурса> \
        --role <идентификатор_роли> \
        --subject <тип_субъекта>:<идентификатор_субъекта>
    
    • --role — идентификатор роли, которую надо отозвать, например organization-manager.admin.
    • --subject — тип и идентификатор субъекта, у которого отзывается роль.

    Например, чтобы отозвать роль у пользователя с идентификатором aje6o61dvog2********:

    yc organization-manager organization remove-access-binding bpf3crucp1v2******** \
        --role organization-manager.admin \
        --subject userAccount:aje6o61dvog2********
    

Чтобы отозвать роль у субъекта, удалите права доступа для соответствующего ресурса:

  1. Посмотрите, кому и какие роли назначены на ресурс с помощью метода listAccessBindings. Например, чтобы посмотреть роли в организации с идентификатором bpf3crucp1v2********:

    export ORGANIZATION_ID=bpf3crucp1v2********
    export IAM_TOKEN=CggaAT********
    curl \
      --header "Authorization: Bearer ${IAM_TOKEN}" \
      "https://organization-manager.api.yandexcloud.kz/organization-manager/v1/organizations/${ORGANIZATION_ID}:listAccessBindings"
    

    Результат:

    {
    "accessBindings": [
    {
      "subject": {
      "id": "aje6o61dvog2********",
      "type": "userAccount"
      },
      "roleId": "organization-manager.admin"
    }
    ]
    }
    
  2. Сформируйте тело запроса, например в файле body.json. В теле запроса укажите, какие права доступа необходимо удалить. Например, отзовите у пользователя aje6o61dvog2******** роль organization-manager.admin:

    Пример файла body.json:

    {
      "accessBindingDeltas": [{
        "action": "REMOVE",
        "accessBinding": {
          "roleId": "organization-manager.admin",
          "subject": {
            "id": "aje6o61dvog2********",
            "type": "userAccount"
          }
        }
      }]
    }
    
  3. Отзовите роль, удалив указанные права доступа:

    export ORGANIZATION_ID=bpf3crucp1v2********
    export IAM_TOKEN=CggaAT********
    curl \
      --request POST \
      --header "Content-Type: application/json" \
      --header "Authorization: Bearer ${IAM_TOKEN}" \
      --data '@body.json' \
      "https://organization-manager.api.yandexcloud.kz/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"
    

Назначить роль группе пользователейНазначить роль группе пользователей

Назначьте группе пользователей роль, чтобы предоставить доступ к какому-либо ресурсу. Воспользуйтесь инструкцией Настройка прав доступа к группе пользователей, чтобы дать субъекту права на доступ к группе.

В сервисе Yandex Identity Hub группе можно назначить роль на организацию, облако, каталог, другую группу или сервисный аккаунт.

Назначить роль на облако или каталогНазначить роль на облако или каталог

Консоль управления
CLI
Terraform
API
  1. Войдите в консоль управления с учетной записью администратора или владельца облака.

  2. В левой части экрана нажмите на строку с именем облака или каталога, на который вы хотите назначить роль группе пользователей.

  3. В верхней части экрана перейдите на вкладку Права доступа и нажмите кнопку Настроить доступ. В открывшемся окне:

    1. Перейдите на вкладку Группы и выберите группу или воспользуйтесь поиском по названию группы.

      Вы также можете назначить роль одной из системных групп:

      • All users in organization X — в группу входят все пользователи организации X.
      • All users in federation N — в группу входят все пользователи федерации N.
    2. Нажмите кнопку Добавить роль и выберите роль, которую хотите назначить группе на облако или каталог, который вы выбрали ранее. Вы можете назначить несколько ролей.

    3. Нажмите Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

  1. Выберите роль из справочника ролей Yandex Cloud.

  2. Назначьте роль с помощью команды:

    yc <имя_сервиса> <ресурс> add-access-binding <имя_или_идентификатор_ресурса> \
      --role <идентификатор_роли> \
      --subject group:<идентификатор_группы>
    

    Где:

    • --role — идентификатор роли, например, resource-manager.clouds.owner.

    • --subject group — идентификатор группы, которой назначается роль.

      Для того чтобы назначить роль одной из системных групп, вместо параметра --subject используйте параметр --organization-users <идентификатор_организации> или --federation-users <идентификатор_федерации>, передав в нем соответственно идентификатор организации или федерации удостоверений, всем пользователям, которым вы хотите назначить роль.

      Вы также можете назначить роль системной группе с помощью параметра --subject. Для этого передайте в нем идентификатор субъекта, соответствующий выбранной системной группе.

    Например, назначьте роль resource-manager.viewer на облако mycloud:

    yc resource-manager cloud add-access-binding mycloud \
      --role resource-manager.viewer \
      --subject group:aje6o61dvog2********
    

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

  1. Добавьте в конфигурационный файл параметры ресурса, укажите нужную роль и группу:

    resource "yandex_resourcemanager_cloud_iam_member" "admin" {
      cloud_id    = "<идентификатор_облака>"
      role        = "<идентификатор_роли>"
      member      = "group:<идентификатор_группы>"
    }
    

    Где:

    • cloud_id — идентификатор облака. Вы также можете назначить роль внутри отдельного каталога. Для этого вместо cloud_id укажите folder_id и нужный идентификатор каталога в параметрах ресурса.

    • role — назначаемая роль. Обязательный параметр.

    • member — группа, которой назначается роль. Указывается в виде group:<идентификатор_группы>. Обязательный параметр.

      Для того чтобы назначить роль одной из системных групп, в параметре member укажите:

      • system:group:organization:<идентификатор_организации>:users — чтобы назначить роль системной группе All users in organization X;
      • system:group:federation:<идентификатор_федерации>:users — чтобы назначить роль системной группе All users in federation N.

    Более подробную информацию о параметрах ресурса yandex_resourcemanager_cloud_iam_member см. в документации провайдера.

  2. Создайте ресурсы:

    1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

    2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      
    3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

    4. Примените изменения конфигурации:

      terraform apply
      
    5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

    После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:

    terraform plan
    

    Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

  3. Разверните облачные ресурсы.

    1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      
    2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

    После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:

    yc resource-manager folder list-access-bindings <имя_или_идентификатор_папки>
    

Воспользуйтесь методом REST API updateAccessBindings для соответствующего ресурса.

  1. Выберите роль из справочника ролей Yandex Cloud.

  2. Сформируйте тело запроса, например в файле body.json. В свойстве action укажите ADD, а в свойстве subject - тип group и идентификатор группы:

    body.json:

    {
      "accessBindingDeltas": [{
        "action": "ADD",
        "accessBinding": {
          "roleId": "editor",
          "subject": {
            "id": "<идентификатор_группы>",
            "type": "group"
          }
        }
      }]
    }
    
  3. Назначьте роль сервисному аккаунту. Например, на каталог с идентификатором b1gvmob95yys********:

    export FOLDER_ID=b1gvmob95yys********
    export IAM_TOKEN=CggaAT********
    curl \
      --request POST \
      --header "Content-Type: application/json" \
      --header "Authorization: Bearer ${IAM_TOKEN}" \
      --data '@body.json' \
      "https://resource-manager.api.yandexcloud.kz/resource-manager/v1/folders/${FOLDER_ID}:updateAccessBindings"
    

Вы можете ознакомиться с подробной инструкцией назначения роли для соответствующего ресурса:

  • Настройка прав доступа к сервисному аккаунту.
  • Настройка прав доступа к облаку.
  • Настройка прав доступа к каталогу.

Назначить роль на организациюНазначить роль на организацию

Интерфейс Cloud Center
CLI
Terraform
  1. Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.

  2. На панели слева выберите Права доступа.

  3. Справа сверху нажмите кнопку Назначить роли.

  4. Перейдите на вкладку Группы и выберите группу или воспользуйтесь поиском по названию группы.

    Вы также можете назначить роль одной из системных групп:

    • All users in organization X — в группу входят все пользователи организации X.
    • All users in federation N — в группу входят все пользователи федерации N.
  5. Нажмите кнопку Добавить роль и выберите роль, которую хотите назначить группе на организацию. Вы можете назначить несколько ролей.

  6. Нажмите кнопку Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

  1. Назначьте роль для группы:

    yc organization-manager organization add-access-binding \
      --subject group:<идентификатор_группы> \
      --role <идентификатор_роли> \
      --organization-users <идентификатор_организации> \
      --federation-users <идентификатор_федерации>
    

    Для того чтобы назначить роль одной из системных групп, вместо параметра --subject используйте параметр --organization-users <идентификатор_организации> или --federation-users <идентификатор_федерации>. Передайте в нем соответственно идентификатор организации или федерации удостоверений, всем пользователям, которым вы хотите назначить роль.

    Вы также можете назначить роль системной группе с помощью параметра --subject. Для этого передайте в нем идентификатор субъекта, соответствующий выбранной системной группе.

  2. Проверьте, что запрошенные права были выданы:

    yc organization-manager organization list-access-bindings <идентификатор_организации>
    

    Ответ содержит список всех ролей, выданных пользователям и группам в организации:

    +------------------------------------------+--------------+----------------------+
    |                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
    +------------------------------------------+--------------+----------------------+
    | organization-manager.admin               | userAccount  | ajev1p2345lj******** |
    | organization-manager.organizations.owner | userAccount  | ajev1p2345lj******** |
    | editor                                   | group        | ajev1p2345lj******** |
    | viewer                                   | group        | ajev1p2345lj******** |
    +------------------------------------------+--------------+----------------------+
    

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

  1. Добавьте в конфигурационный файл параметры ресурса, укажите нужную роль и группу:

    resource "yandex_organizationmanager_organization_iam_member" "users-editors" {
      organization_id = "<идентификатор_организации>"
      role            = "<идентификатор_роли>"
      member          = "group:<идентификатор_группы>"
    }
    

    Где:

    • organization_id — идентификатор организации. Обязательный параметр.

    • role — назначаемая роль. Обязательный параметр.

    • member — группа, которой назначается роль. Указывается в виде group:<идентификатор_группы>. Обязательный параметр.

      Для того чтобы назначить роль одной из системных групп, в параметре member укажите:

      • system:group:organization:<идентификатор_организации>:users — чтобы назначить роль системной группе All users in organization X;
      • system:group:federation:<идентификатор_федерации>:users — чтобы назначить роль системной группе All users in federation N.

    Более подробную информацию о параметрах ресурса yandex_organizationmanager_organization_iam_member см. в документации провайдера.

  2. Создайте ресурсы:

    1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

    2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      
    3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

    4. Примените изменения конфигурации:

      terraform apply
      
    5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

    После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:

    yc resource-manager folder list-access-bindings <имя_или_идентификатор_папки>
    

Какие роли назначены в организацииКакие роли назначены в организации

Вы можете посмотреть все роли, назначенные субъектам в организации:

Интерфейс Cloud Center
CLI
API
  1. Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.

  2. На панели слева выберите Права доступа.

  3. На странице Права доступа отобразится информация о пользователях и ролях, которые им назначены.

    Если у вас несколько организаций, вы можете переключиться на нужную. Для этого в левом верхнем углу экрана рядом с названием текущей организации нажмите значок и выберите нужную организацию.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

  1. Чтобы посмотреть список доступных организаций, выполните команду:

    yc organization-manager organization list
    

    Результат:

    +----------------------+-----------------------------+-------------------------+--------+
    |          ID          |            NAME             |          TITLE          | LABELS |
    +----------------------+-----------------------------+-------------------------+--------+
    | bpf1smsil5q0******** | org1-technical-name         | Organization One        |        |
    | bpf2c65rqcl8******** | org2-technical-name         | Organization Two        |        |
    | bpfaidqca8vd******** | org3-technical-name         | Organization Three      |        |
    +----------------------+-----------------------------+-------------------------+--------+
    

    Из колонки ID скопируйте идентификатор нужной организации.

  2. Посмотрите описание команды CLI для получения списка ролей, назначенных в организации:

    yc organization-manager organization list-access-bindings --help
    
  3. Получите перечень ролей, назначенных в организации, указав ее имя или идентификатор:

    yc organization-manager organization list-access-bindings <идентификатор_организации>
    

    Результат:

    +------------------------------------------+----------------+----------------------+
    |                 ROLE ID                  |  SUBJECT TYPE  |      SUBJECT ID      |
    +------------------------------------------+----------------+----------------------+
    | auditor                                  | serviceAccount | ajefbjkmgjt1******** |
    | admin                                    | userAccount    | asefbskmgjt1******** |
    | organization-manager.organizations.owner | userAccount    | ajcfabjkmgjt******** |
    +------------------------------------------+----------------+----------------------+
    

Воспользуйтесь методом REST API ListAccessBindings для ресурса Organization или вызовом gRPC API OrganizationService/ListAccessBindings.

Была ли статья полезна?

Предыдущая
Ошибки аутентификации с аккаунтом на Яндексе
Следующая
Правила тарификации
Проект Яндекса
© 2025 ТОО «Облачные Сервисы Казахстан»