Настроить права доступа к группе выделенных хостов

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для назначения роли на группу выделенных хостов:

   yc compute host-group add-access-binding --help
   

2. Получите список групп выделенных хостов в каталоге по умолчанию:

   yc compute host-group list
   

3. Посмотрите список ролей, которые уже назначены на ресурс:

   yc compute host-group list-access-bindings <имя_или_идентификатор_группы_выделенных_хостов>
   

4. Назначьте роль с помощью команды:

   yc compute host-group add-access-binding <имя_или_идентификатор_группы_выделенных_хостов> \
     --role <роль> \
     --subject <тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --role — назначаемая роль.

   • --subject — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

Чтобы назначить роль, воспользуйтесь методом REST API updateAccessBindings для ресурса HostGroup или вызовом gRPC API HostGroupService/UpdateAccessBindings. В теле запроса в свойстве action укажите ADD, а в свойстве subject — тип и идентификатор субъекта.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Вы можете назначить несколько ролей с помощью команды set-access-bindings.

1. Убедитесь, что на ресурс не назначены роли, которые вы не хотите потерять:

   yc compute host-group list-access-bindings <имя_или_идентификатор_группы_выделенных_хостов>
   

2. Посмотрите описание команды CLI для назначения ролей на группу выделенных хостов:

   yc compute host-group set-access-bindings --help
   

3. Назначьте роли:

   yc compute host-group set-access-bindings <имя_или_идентификатор_группы_выделенных_хостов> \
     --access-binding role=<роль>,subject=<тип_субъекта>:<идентификатор_субъекта> \
     --access-binding role=<роль>,subject=<тип_субъекта>:<идентификатор_субъекта>
   

   Где --access-binding — параметры для установки прав доступа:

   • role — назначаемая роль.

   • subject — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

   Например, назначьте роли нескольким пользователям и сервисному аккаунту:

   yc compute host-group set-access-bindings my-host-group \
     --access-binding role=editor,subject=userAccount:gfei8n54hmfh******** \
     --access-binding role=viewer,subject=userAccount:helj89sfj80a******** \
     --access-binding role=editor,subject=serviceAccount:ajel6l0jcb9s********
   

Чтобы назначить роли на ресурс, воспользуйтесь методом REST API setAccessBindings для ресурса HostGroup или вызовом gRPC API HostGroupService/SetAccessBindings. В теле запроса в свойстве subject укажите тип и идентификатор субъекта.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Посмотрите описание команды CLI для отзыва роли на группу выделенных хостов:

   yc compute host-group remove-access-binding --help
   

2. Посмотрите, кому и какие роли назначены на ресурс:

   yc compute host-group list-access-bindings <имя_или_идентификатор_группы_выделенных_хостов>
   

3. Чтобы отозвать права доступа, выполните команду:

   yc compute host-group remove-access-binding <имя_или_идентификатор_группы_выделенных_хостов> \
     --role=<роль> \
     --subject=<тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --role — идентификатор роли, которую надо отозвать.

   • --subject — обозначение субъекта, у которого отзывается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

   Например, чтобы отозвать роль viewer у пользователя с идентификатором ajel6l0jcb9s******** на группу выделенных хостов:

   yc compute host-group remove-access-binding my-host-group \
     --role viewer \
     --subject userAccount:ajel6l0jcb9s********
   

Чтобы отозвать роль, воспользуйтесь методом REST API updateAccessBindings для ресурса HostGroup или вызовом gRPC API HostGroupService/UpdateAccessBindings. В теле запроса в свойстве action укажите REMOVE, а в свойстве subject — тип и идентификатор субъекта.