Отзыв роли на ресурс

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Чтобы отозвать роль у субъекта, удалите права доступа для соответствующего ресурса:

1. Посмотрите, какие роли назначены на ресурс:

   yc <имя_сервиса> <категория_ресурса> list-access-bindings <имя_или_идентификатор_ресурса>
   

   Где:

   • <имя_сервиса> — имя сервиса, которому принадлежит ресурс, например resource-manager.
   • <категория_ресурса> — категория ресурса, например folder.
   • <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Вы можете указать ресурс по имени или идентификатору.

   Например, посмотрите кому и какие роли назначены на каталог default:

   yc resource-manager folder list-access-bindings default
   

   Результат:

   +---------------------+----------------+----------------------+
   |       ROLE ID       |  SUBJECT TYPE  |      SUBJECT ID      |
   +---------------------+----------------+----------------------+
   | editor              | serviceAccount | ajepg0mjas06******** |
   | viewer              | userAccount    | aje6o61dvog2******** |
   +---------------------+----------------+----------------------+
   

2. Чтобы удалить права доступа, выполните команду:

   yc <имя_сервиса> <категория_ресурса> remove-access-binding \
       --id <идентификатор_ресурса> \
       --role <идентификатор_роли> \
       --subject <тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --id — идентификатор ресурса, с которого отзывается роль.

   • --role — идентификатор роли, которую надо отозвать, например resource-manager.clouds.owner.

   • --subject — обозначение субъекта, у которого отзывается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Чтобы отозвать роль у субъекта на ресурс, найдите в конфигурационном файле описание ресурса:

   resource "yandex_resourcemanager_cloud_iam_binding" "admin" {
       cloud_id    = "<идентификатор_облака>"
       role        = "<роль>"
       members     = ["<субъект_1>","<субъект_2>,...,<субъект_n>"]
   }
   

2. Удалите запись с информацией о субъекте, у которого нужно отозвать права, из перечня субъектов members.

   Обозначения субъектов

   Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

   Тип субъекта	Обозначение субъекта
   userAccount	userAccount:<идентификатор_пользователя>
   serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>
   federatedUser	federatedUser:<идентификатор_пользователя>
   group	group:<идентификатор_группы>
   system	system:allAuthenticatedUsers (группа All authenticated users)
   	system:allUsers (группа All users)
   	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)
   	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)
   	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

   Подробнее о параметрах ресурса yandex_resourcemanager_cloud_iam_binding читайте в документации провайдера.

3. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.
   2. Выполните проверку с помощью команды:

   terraform plan
   

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

4. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

   После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:

   yc resource-manager cloud list-access-bindings <имя_или_идентификатор_облака>
   

Чтобы отозвать роль у субъекта на ресурс, удалите соответствующие права доступа:

1. Посмотрите, кому и какие роли назначены на ресурс с помощью метода REST API listAccessBindings. Например, чтобы посмотреть роли на каталог b1gvmob95yys********:

   export FOLDER_ID=b1gvmob95yys********
   export IAM_TOKEN=CggaATEVAgA...
   curl \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     "https://resource-manager.api.cloud.yandex.net/resource-manager/v1/folders/${FOLDER_ID}:listAccessBindings"
   

   Результат:

   {
     "accessBindings": [
     {
       "subject": {
         "id": "ajei8n54hmfh********",
         "type": "userAccount"
       },
       "roleId": "editor"
     }
     ]
   }
   

2. Сформируйте тело запроса, например в файле body.json. В теле запроса укажите, какие назначенные права доступа необходимо удалить. Например, отзовите у пользователя ajei8n54hmfh******** роль editor:

   body.json:

   {
       "accessBindingDeltas": [{
           "action": "REMOVE",
           "accessBinding": {
               "roleId": "editor",
               "subject": {
                   "id": "ajei8n54hmfh********",
                   "type": "userAccount"
                   }
               }
           }
       ]
   }
   

3. Отзовите роль, удалив назначенные права доступа:

   export FOLDER_ID=b1gvmob95yys********
   export IAM_TOKEN=CggaAT********
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     "https://resource-manager.api.cloud.yandex.net/resource-manager/v1/folders/${FOLDER_ID}:updateAccessBindings"