Identity and Access Management

Identity and Access Management — компонент для управления доступом пользователей и сервисных аккаунтов к ресурсам платформы. Компонент обеспечивает централизованную аутентификацию и авторизацию во всех сервисах платформы.

Основные возможностиОсновные возможности

Управление пользователямиУправление пользователями

Identity and Access Management поддерживает несколько способов управления пользователями:

• Локальные пользователи — создание и управление пользователям происходит непосредственно в Identity and Access Management. Подходит для небольших команд или тестовых окружений.
• Внешние провайдеры идентификации — интеграция с корпоративными системами управления пользователями по протоколу SAML. Позволяет использовать существующую инфраструктуру аутентификации.

Управление группамиУправление группами

Группы позволяют упростить управление правами доступа для команд пользователей. С помощью Identity and Access Management доступны:

• Создание локальных групп в Identity and Access Management.
• Управление членством пользователей в группах.
• Маппинг групп из внешних провайдеров идентификации на внутренние группы.
• Назначение ролей группам вместо отдельных пользователей.

Управление доступомУправление доступом

Identity and Access Management предоставляет гибкую систему управления правами доступа:

• Роли — набор разрешений для выполнения операций с ресурсами.
• Назначение ролей — выдача ролей пользователям, группам и сервисным аккаунтам на различных уровнях:
  • Уровень организации — доступ ко всем ресурсам.
  • Уровень проекта — доступ к ресурсам в конкретном пространстве имен.
  • Уровень сервисных ресурсов — доступ к ресурсам сервисов.

Сервисные аккаунтыСервисные аккаунты

Сервисные аккаунты используются для автоматизации и межсервисного взаимодействия:

• Создание сервисных аккаунтов для приложений и сервисов.
• Генерация API-ключей для аутентификации.
• Назначение ролей сервисным аккаунтам.
• Интеграция с Kubernetes ServiceAccount.

Квота federated credentialsКвота federated credentials

Для аутентификации приложений через Workload Identity оператор iam-operator создает в IAM отдельный federated credential для каждого синхронизируемого Kubernetes ServiceAccount. Credential связывает IAM-сервисный аккаунт с Kubernetes ServiceAccount в общей федерации кластера.

Квота iam.saFederatedCredentials.count облака stackland во встроенном IAM общая для всех проектов и пространств имен кластера. Ее расходуют как пользовательские ServiceAccount, так и ServiceAccount компонентов платформы, синхронизируемые оператором.

При инициализации IAM оператор устанавливает эту квоту в 5 000 000 federated credentials вместо стандартного ограничения IAM в 200. Настройка также применяется к существующим кластерам при обновлении оператора: bootstrap повторно выполняется при повышении его версии. Отдельная настройка со стороны пользователя не требуется. Остальные квоты IAM, в том числе на количество сервисных аккаунтов, действуют независимо.

Если до обновления квота была исчерпана, после ее увеличения оператор автоматически повторит синхронизацию ранее несинхронизированных ServiceAccount. Интервал повторных попыток при ошибке составляет 30 секунд. После успешной синхронизации ID credential сохраняется в аннотации iam.stackland.yandex.cloud/federated-credential-id. Наличие аннотации iam.stackland.yandex.cloud/service-account-id само по себе не подтверждает, что credential создан.

Резервное копирование и восстановлениеРезервное копирование и восстановление

Данные Identity and Access Management хранятся в YDB. Начиная с Stackland 26.3 администратор кластера может сохранить резервную копию этой базы данных в локальный архив tar.gz и восстановить ее из архива с помощью скриптов.

При восстановлении текущая YDB и ее PVC удаляются, а кластер временно становится недоступен. Подробные требования и порядок действий приведены в инструкциях Создать резервную копию YDB и Восстановить YDB из резервной копии.

Начало работыНачало работы

Первый входПервый вход

При развертывании платформы автоматически создается администратор с логином admin@stackland. Временный пароль сохраняется в секрете admin-password в проекте stackland-secrets. При первом входе необходимо изменить пароль.

Создание пользователейСоздание пользователей

Администратор может создавать новых пользователей двумя способами:

1. Создать локального пользователя непосредственно в Identity and Access Management через веб-интерфейс.
2. Через внешний провайдер идентификации – настроить подключение к SAML-провайдеру. Пользователи будут автоматически создаваться при первом входе.

Назначение ролейНазначение ролей

После создания пользователя ему можно назначить роли на различных уровнях:

• На уровне организации — для доступа ко всем ресурсам платформы.
• На уровне проекта — для доступа к ресурсам в конкретном пространстве имен.
• На уровне сервисных ресурсов — для доступа к специфичным ресурсам сервисов.

Примеры использованияПримеры использования

Создание локального пользователяСоздание локального пользователя

Локальные пользователи создаются через IAM API. Для создания пользователя необходимо указать:

• Имя пользователя в формате username@stackland.
• Полное имя пользователя.
• Имя.
• Фамилию.
• Email.
• Пароль.

После создания пользователь может войти в систему, используя указанные учетные данные.

Назначение роли на уровне организацииНазначение роли на уровне организации

Для назначения роли пользователю на уровне организации используется ресурс ClusterAccessBinding:

apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: ClusterAccessBinding
metadata:
  name: user-admin-role
spec:
  # Роль для назначения
  roleID: "admin"
  # Субъект, которому назначается роль
  subject:
    kind: User
    name: "username@stackland"

Где:

• roleID — идентификатор роли IAM (например, admin, editor, viewer). Обязательное поле. Должен соответствовать существующей роли в Identity and Access Management.
• subject — субъект, которому назначается роль. Обязательное поле.
  • kind — тип субъекта. Допустимые значения: User, Group, ServiceAccount, FederatedUser. Обязательное поле.
  • name — имя субъекта. Для пользователей — имя пользователя из Identity and Access Management. Обязательное поле.

Назначение роли группеНазначение роли группе

Для назначения роли группе пользователей используется тот же ресурс ClusterAccessBinding с указанием типа субъекта Group:

apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: ClusterAccessBinding
metadata:
  name: stackland-cluster-admins
spec:
  roleID: admin
  subject:
    kind: Group
    name: stackland-cluster-admins

Где:

• roleID — идентификатор роли IAM. Обязательное поле.
• subject.kind — тип субъекта Group для назначения роли группе. Обязательное поле.
• subject.name — имя группы в Identity and Access Management. Обязательное поле.

Назначение роли на уровне пространства именНазначение роли на уровне пространства имен

Для назначения роли на уровне пространства имен используется ресурс AccessBinding:

apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: AccessBinding
metadata:
  name: bob-is-storage-admin
  namespace: warehouse
spec:
  roleID: storage.admin
  subject:
    kind: User
    name: bob@stackland

Описание полей:

• metadata.namespace — пространство имен, на уровне которого назначается роль. Роль будет действовать на folder, соответствующий этому проекту. Обязательное поле.
• roleID — идентификатор роли IAM. Обязательное поле.
• subject — субъект, которому назначается роль. Обязательное поле.
  • kind — тип субъекта. Допустимые значения: User, Group, ServiceAccount, FederatedUser. Обязательное поле.
  • name — имя субъекта. Обязательное поле.

Назначение роли сервисному аккаунтуНазначение роли сервисному аккаунту

Для назначения роли сервисному аккаунту необходимо указать тип субъекта ServiceAccount и проект, в котором находится сервисный аккаунт:

apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: AccessBinding
metadata:
  name: sa-storage-admin
  namespace: my-namespace
spec:
  roleID: "storage.admin"
  subject:
    kind: ServiceAccount
    name: "my-service-account"
    namespace: "my-namespace"

Где:

• metadata.namespace — проект, на уровне которого назначается роль. Обязательное поле.
• roleID — идентификатор роли IAM. Обязательное поле.
• subject — субъект, которому назначается роль. Обязательное поле.
  • kind — тип субъекта ServiceAccount. Обязательное поле.
  • name — имя Kubernetes ServiceAccount. Обязательное поле.
  • namespace — проект, в котором находится ServiceAccount. Обязательное поле для типа ServiceAccount.

Настройка внешнего провайдера идентификацииНастройка внешнего провайдера идентификации

apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: SAMLFederation
metadata:
  name: corporate-idp
spec:
  # Описание федерации
  description: "Corporate Identity Provider"
  # URL провайдера идентификации
  issuer: "https://idp.company.com/realms/main"
  # URL для Single Sign-On
  ssoUrl: "https://idp.company.com/realms/main/protocol/saml"
  # Тип привязки SAML
  ssoBinding: POST
  # Автоматическое создание пользователей при первом входе
  autoCreateAccountOnLogin: true
  # Время жизни cookie сессии
  cookieMaxAge: "12h"
  # Сертификаты для проверки подписи SAML-ответов
  certificates:
    - name: "idp-signing-cert"
      description: "IdP signing certificate"
      data: |
        -----BEGIN CERTIFICATE-----
        ...
        -----END CERTIFICATE-----
  # Маппинг внешних групп на внутренние
  groupMapping:
    enabled: true
    mapping:
      - externalId: "idp-admins"
        internalName: "stackland-cluster-admins"
      - externalId: "idp-developers"
        internalName: "developers"