Связаться с намиПодключиться

Управление доступом в Certificate Manager

Статья создана
Улучшена
Обновлена 2 апреля 2025 г.

В этом разделе вы узнаете:

Об управлении доступом

Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.

Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль certificate-manager.admin или одна из следующих ролей:

  • admin;
  • resource-manager.admin;
  • organization-manager.admin;
  • resource-manager.clouds.owner;
  • organization-manager.organizations.owner.

На какие ресурсы можно назначить роль

Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.

На пользовательский сертификат роль можно назначить через Yandex Cloud CLI или API.

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные роли

certificate-manager.auditor

Роль certificate-manager.auditor позволяет просматривать информацию о сертификатах и назначенных правах доступа к ним.

Пользователи с этой ролью могут:

certificate-manager.viewer

Роль certificate-manager.viewer позволяет просматривать информацию о сертификатах и назначенных правах доступа к ним.

Пользователи с этой ролью могут:

Включает разрешения, предоставляемые ролью certificate-manager.auditor.

certificate-manager.editor

Роль certificate-manager.editor позволяет управлять сертификатами, просматривать информацию о них, о назначенных правах доступа к ним и о квотах сервиса Certificate Manager.

Пользователи с этой ролью могут:

  • просматривать список сертификатов и зависимых ресурсов, а также информацию о сертификатах и назначенных правах доступа к ним;
  • добавлять, изменять, обновлять и удалять сертификаты;
  • просматривать информацию о квотах сервиса Certificate Manager.

Включает разрешения, предоставляемые ролью certificate-manager.viewer.

certificate-manager.admin

Роль certificate-manager.admin позволяет управлять сертификатами и доступом к ним, а также получать содержимое сертификатов.

Пользователи с этой ролью могут:

  • просматривать список сертификатов и зависимых ресурсов, а также информацию о сертификатах;
  • просматривать информацию о назначенных правах доступа к сертификатам и изменять такие права доступа;
  • добавлять, изменять, обновлять и удалять сертификаты;
  • получать содержимое сертификатов;
  • просматривать информацию о квотах сервиса Certificate Manager;
  • просматривать информацию о каталоге.

Включает разрешения, предоставляемые ролью certificate-manager.editor.

certificate-manager.certificates.downloader

Роль certificate-manager.certificates.downloader позволяет просматривать список сертификатов и информацию о них, а также получать содержимое сертификатов.

Примитивные роли

Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.

auditor

Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.

Например, пользователи с этой ролью могут:

  • просматривать информацию о ресурсе;
  • просматривать метаданные ресурса;
  • просматривать список операций с ресурсом.

Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.

viewer

Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.

Включает разрешения, предоставляемые ролью auditor.

В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.

editor

Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.

Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.

Включает разрешения, предоставляемые ролью viewer.

admin

Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.

Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.

Включает разрешения, предоставляемые ролью editor.

Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.

Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.

Какие роли мне необходимы

В таблице ниже перечислено, какие роли нужны для выполнения указанного действия. Вы всегда можете назначить роль, которая дает более широкие разрешения, нежели указанная. Например, назначить editor вместо viewer.

Действие Методы Необходимые роли
Certificate Manager
Получение списков сертификатов list viewer на каталог
Получение информации о сертификате get viewer на сертификат или каталог
Добавление сертификата от Let's Encrypt requestNew editor на каталог
Изменение, удаление сертификата от Let's Encrypt update, delete editor на сертификат или каталог
Добавление пользовательского сертификата create editor на каталог
Обновление, изменение, удаление пользовательского сертификата update, delete editor на сертификат или каталог
Получение содержимого сертификата: пользовательского или сертификата от Let's Encrypt get-content certificate-manager.certificates.downloader на сертификат или каталог
IAM
Назначение роли, отзыв роли и просмотр назначенных ролей на каталог или облако setAccessBinding, updateAccessBindings, listAccessBindings admin или certificate-manager.admin на сертификат или каталог

Что дальше

Предыдущая
Квоты и лимиты
Следующая
Правила тарификации