Управление доступом в Yandex StoreDoc
В этом разделе вы узнаете:
- на какие ресурсы можно назначить роль;
- какие роли действуют в сервисе;
- какие роли необходимы для того или иного действия.
Об управлении доступом
Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.
Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, локальному пользователю, федеративному пользователю, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.
Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль mdb.admin, managed-mongodb.admin или одна из следующих ролей:
admin;resource-manager.admin;organization-manager.admin;resource-manager.clouds.owner;organization-manager.organizations.owner.
На какие ресурсы можно назначить роль
Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.
Чтобы разрешить доступ к ресурсам сервиса (кластеры и хосты БД, резервные копии кластеров, базы данных и их пользователи), назначьте пользователю нужные роли на каталог, облако или организацию, в которых содержатся эти ресурсы.
Какие роли действуют в сервисе
На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.
Сервисные роли
managed-mongodb.auditor
Роль managed-mongodb.auditor позволяет просматривать информацию о хостах и кластерах Yandex StoreDoc, а также о квотах и операциях с ресурсами сервиса Yandex StoreDoc.
managed-mongodb.viewer
Роль managed-mongodb.viewer позволяет просматривать информацию о кластерах, хостах, шардах, базах данных и пользователях Yandex StoreDoc, логи работы кластеров, а также данные о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- просматривать информацию о кластерах Yandex StoreDoc;
- просматривать информацию о хостах кластеров Yandex StoreDoc;
- просматривать информацию о шардах кластеров Yandex StoreDoc;
- просматривать информацию о базах данных Yandex StoreDoc;
- просматривать информацию о пользователях Yandex StoreDoc;
- просматривать информацию о резервных копиях кластеров Yandex StoreDoc;
- просматривать информацию об алертах Yandex StoreDoc;
- просматривать логи работы кластеров Yandex StoreDoc;
- просматривать информацию о результатах диагностики производительности кластеров Yandex StoreDoc;
- просматривать информацию о квотах сервиса Yandex StoreDoc;
- просматривать информацию об операциях с ресурсами сервиса Yandex StoreDoc.
Включает разрешения, предоставляемые ролью managed-mongodb.auditor.
managed-mongodb.restorer
Роль managed-mongodb.restorer позволяет восстанавливать кластеры Yandex StoreDoc из резервных копий, просматривать информацию о кластерах, хостах, шардах, базах данных и пользователях Yandex StoreDoc, логи работы кластеров, а также данные о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- просматривать информацию о резервных копиях кластеров Yandex StoreDoc и восстанавливать кластеры из резервных копий;
- просматривать информацию о кластерах Yandex StoreDoc;
- просматривать информацию о хостах кластеров Yandex StoreDoc;
- просматривать информацию о шардах кластеров Yandex StoreDoc;
- просматривать информацию о базах данных Yandex StoreDoc;
- просматривать информацию о пользователях Yandex StoreDoc;
- просматривать информацию об алертах Yandex StoreDoc;
- просматривать логи работы кластеров Yandex StoreDoc;
- просматривать информацию о результатах диагностики производительности кластеров Yandex StoreDoc;
- просматривать информацию о квотах сервиса Yandex StoreDoc;
- просматривать информацию об операциях с ресурсами сервиса Yandex StoreDoc.
Включает разрешения, предоставляемые ролью managed-mongodb.viewer.
managed-mongodb.editor
Роль managed-mongodb.editor позволяет управлять кластерами Yandex StoreDoc и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- создавать, изменять, удалять, запускать и останавливать кластеры Yandex StoreDoc и просматривать информацию о них;
- создавать, изменять и удалять хосты кластеров Yandex StoreDoc и просматривать информацию о них;
- создавать и удалять шарды кластеров Yandex StoreDoc и просматривать информацию о них;
- создавать и удалять базы данных Yandex StoreDoc и просматривать информацию о них;
- создавать, изменять и удалять пользователей Yandex StoreDoc и просматривать информацию о них;
- создавать резервные копии кластеров Yandex StoreDoc, просматривать информацию о резервных копиях, а также восстанавливать кластеры из резервных копий;
- создавать, изменять и удалять алерты Yandex StoreDoc и просматривать информацию о них;
- просматривать логи работы кластеров Yandex StoreDoc;
- просматривать информацию о результатах диагностики производительности кластеров Yandex StoreDoc;
- просматривать информацию о квотах сервиса Yandex StoreDoc;
- просматривать информацию об операциях с ресурсами сервиса Yandex StoreDoc.
Включает разрешения, предоставляемые ролями managed-mongodb.viewer и managed-mongodb.restorer.
Для создания кластеров Yandex StoreDoc дополнительно необходима роль vpc.user.
managed-mongodb.admin
Роль managed-mongodb.admin позволяет управлять кластерами Yandex StoreDoc и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- управлять доступом к кластерам Yandex StoreDoc;
- создавать, изменять, удалять, запускать и останавливать кластеры Yandex StoreDoc и просматривать информацию о них;
- создавать, изменять и удалять хосты кластеров Yandex StoreDoc и просматривать информацию о них;
- создавать и удалять шарды кластеров Yandex StoreDoc и просматривать информацию о них;
- создавать и удалять базы данных Yandex StoreDoc и просматривать информацию о них;
- создавать, изменять и удалять пользователей Yandex StoreDoc и просматривать информацию о них;
- создавать резервные копии кластеров Yandex StoreDoc, просматривать информацию о резервных копиях, а также восстанавливать кластеры из резервных копий;
- создавать, изменять и удалять алерты Yandex StoreDoc и просматривать информацию о них;
- просматривать логи работы кластеров Yandex StoreDoc;
- просматривать информацию о результатах диагностики производительности кластеров Yandex StoreDoc;
- просматривать информацию о квотах сервиса Yandex StoreDoc;
- просматривать информацию об операциях с ресурсами сервиса Yandex StoreDoc.
Включает разрешения, предоставляемые ролью managed-mongodb.editor.
Для создания кластеров Yandex StoreDoc дополнительно необходима роль vpc.user.
mdb.auditor
Роль mdb.auditor предоставляет минимально необходимые разрешения для просмотра информации о кластерах управляемых баз данных (без доступа к данным и логам работы).
Пользователи с этой ролью могут просматривать информацию о кластерах управляемых баз данных, квотах и каталогах.
Включает разрешения, предоставляемые ролями managed-opensearch.auditor, managed-kafka.auditor, managed-mysql.auditor, managed-sqlserver.auditor, managed-postgresql.auditor, managed-greenplum.auditor, managed-clickhouse.auditor, managed-redis.auditor и managed-mongodb.auditor.
mdb.viewer
Роль mdb.viewer предоставляет доступ к чтению информации из кластеров управляемых баз данных и к логам работы кластеров.
Пользователи с этой ролью могут читать информацию из баз данных и просматривать логи кластеров управляемых баз данных, а также просматривать информацию о кластерах, квотах и каталогах.
Включает разрешения, предоставляемые ролями mdb.auditor, managed-opensearch.viewer, managed-kafka.viewer, managed-mysql.viewer, managed-sqlserver.viewer, managed-postgresql.viewer, managed-greenplum.viewer, managed-clickhouse.viewer, managed-redis.viewer, managed-mongodb.viewer и dataproc.viewer.
mdb.admin
Роль mdb.admin предоставляет полный доступ к кластерам управляемых баз данных.
Пользователи с этой ролью могут могут создавать, изменять, удалять, запускать и останавливать кластеры управляемых баз данных, управлять доступом к кластерам, создавать резервные копии кластеров и восстанавливать кластеры из резервных копий, читать и сохранять информацию в базах данных, а также просматривать информацию о кластерах, логах их работы, квотах и каталогах.
Включает разрешения, предоставляемые ролями mdb.viewer, vpc.user, managed-opensearch.admin, managed-kafka.admin, managed-mysql.admin, managed-sqlserver.admin, managed-postgresql.admin, managed-greenplum.admin, managed-clickhouse.admin, managed-redis.admin, managed-mongodb.admin и dataproc.admin.
mdb.restorer
Роль mdb.restorer позволяет восстанавливать кластеры управляемых баз данных из резервных копий, а также предоставляет доступ к чтению информации из кластеров и к логам их работы.
Пользователи с этой ролью могут восстанавливать кластеры управляемых баз данных из резервных копий, читать информацию из баз данных и просматривать логи кластеров, а также просматривать информацию о кластерах, квотах и каталогах.
Включает разрешения, предоставляемые ролями mdb.viewer, managed-elasticsearch.restorer, managed-opensearch.restorer, managed-kafka.restorer, managed-mysql.restorer, managed-sqlserver.restorer, managed-postgresql.restorer, managed-spqr.restorer, managed-greenplum.restorer, managed-clickhouse.restorer, managed-redis.restorer и managed-mongodb.restorer.
vpc.publicAdmin
Роль vpc.publicAdmin позволяет управлять NAT-шлюзами, публичными IP-адресами и внешней сетевой связностью, а также просматривать информацию о квотах, ресурсах и операциях с ресурсами сервиса. Роль предоставляет права администратора мультиинтерфейсных ВМ, обеспечивающих связность между несколькими сетями.
Пользователи с этой ролью могут:
- просматривать список облачных сетей и информацию о них, а также настраивать внешний доступ к облачным сетям;
- управлять связностью нескольких облачных сетей;
- управлять мультиинтерфейсными ВМ, обеспечивающими связность между несколькими сетями;
- просматривать список подсетей и информацию о них, а также изменять подсети;
- просматривать информацию о NAT-шлюзах, а также создавать, изменять и удалять их;
- просматривать список адресов облачных ресурсов и информацию о них, а также создавать, изменять и удалять публичные IP-адреса;
- просматривать список таблиц маршрутизации и информацию о них, а также привязывать таблицы маршрутизации к подсетям;
- просматривать список групп безопасности и информацию о них;
- просматривать информацию об использованных IP-адресах в подсетях;
- просматривать информацию о квотах сервиса Virtual Private Cloud;
- просматривать информацию об операциях с ресурсами сервиса Virtual Private Cloud;
- просматривать информацию об операциях с ресурсами сервиса Compute Cloud;
- просматривать информацию об облаке;
- просматривать информацию о каталоге.
Включает разрешения, предоставляемые ролью vpc.viewer.
Роль можно назначить на облако или каталог.
Важно
Если сеть и подсеть находятся в разных каталогах, то наличие роли vpc.publicAdmin проверяется на том каталоге, в котором находится сеть.
Примитивные роли
Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.
auditor
Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.
Например, пользователи с этой ролью могут:
- просматривать информацию о ресурсе;
- просматривать метаданные ресурса;
- просматривать список операций с ресурсом.
Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.
viewer
Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.
Включает разрешения, предоставляемые ролью auditor.
В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.
editor
Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.
Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.
Включает разрешения, предоставляемые ролью viewer.
admin
Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.
Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.
Включает разрешения, предоставляемые ролью editor.
Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.
Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.
Какие роли необходимы
Чтобы пользоваться сервисом, необходима роль managed-mongodb.editor или выше на каталог, в котором создается кластер. Роль managed-mongodb.viewer позволит только просматривать список кластеров.
Чтобы создать кластер Yandex StoreDoc, нужна роль vpc.user и роль managed-mongodb.editor или выше.
Вы всегда можете назначить роль, которая дает более широкие разрешения. Например, назначить managed-mongodb.admin вместо managed-mongodb.editor.