Изменить права доступа к группе рабочих столов
В Cloud Desktop управление доступом реализовано с помощью разграничения ролей Yandex Identity and Access Management и списков управления доступом (ACL). См. пример использования механизмов доступа.
- В консоли управления выберите каталог, в котором расположена группа рабочих столов.
- Перейдите в сервис Cloud Desktop.
- Выберите группу рабочих столов, к которой хотите изменить права доступа.
- На панели слева выберите Права доступа.
- Нажмите Назначить роли.
- В открывшемся окне Настройка прав доступа выдайте или отзовите необходимые разрешения.
- Нажмите кнопку Сохранить.
Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.
По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.
Вы можете назначить несколько ролей с помощью команды set-access-bindings.
Внимание
Команда set-access-bindings полностью перезаписывает права доступа к группе рабочих столов. Все текущие роли на группу будут удалены.
-
Убедитесь, что на группу рабочих столов не назначены роли, которые вы не хотите потерять:
yc desktops group list-access-bindings <имя_или_идентификатор_группы_рабочих_столов> -
Посмотрите описание команды CLI для назначения ролей на группу рабочих столов:
yc desktops group set-access-bindings --help -
Назначьте роли:
yc desktops group set-access-bindings <имя_или_идентификатор_группы_рабочих_столов> \ --access-binding role=<роль>,<тип_субъекта>=<идентификатор_субъекта> \ --access-binding role=<роль>,<тип_субъекта>=<идентификатор_субъекта>Где
--access-binding— параметры для установки прав доступа:Например, назначьте роли нескольким пользователям и сервисному аккаунту:
yc desktops group set-access-bindings my-desktop-group \ --access-binding role=editor,userAccount=gfei8n54hmfh******** \ --access-binding role=viewer,userAccount=helj89sfj80a******** \ --access-binding role=editor,serviceAccount=ajel6l0jcb9s********Чтобы назначить роль субъекту без перезаписи остальных ролей, используйте команду
yc desktops group add-access-bindings. Например, чтобы назначить роль сервисному аккаунту:yc desktops group add-access-bindings \ --name <имя_группы_рабочих_столов> \ --role <роль> \ --service-account-name <имя_сервисного_аккаунта>
Воспользуйтесь методом REST API updateAccessBindings для ресурса DesktopGroup или вызовом gRPC API DesktopGroupService/UpdateAccessBindings.