Настройка прав доступа к ключевой паре электронной подписи

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы назначить роль на асимметричную ключевую пару электронной подписи:

1. Посмотрите описание команды CLI для назначения роли:

   yc kms asymmetric-signature-key add-access-binding --help
   

2. Получите список ключевых пар электронной подписи вместе с их идентификаторами:

   yc kms asymmetric-signature-key list
   

3. Получите идентификатор пользователя, сервисного аккаунта или группы пользователей, которым назначаете роль.

4. С помощью одной из команд ниже назначьте роль:

   • Пользователю:

     yc kms asymmetric-signature-key add-access-binding \
        --id <идентификатор_ключевой_пары> \
        --role <роль> \
        --user-account-id <идентификатор_пользователя>
     

   • Федеративному пользователю:

     yc kms asymmetric-signature-key add-access-binding \
        --id <идентификатор_ключевой_пары> \
        --role <роль> \
        --subject federatedUser:<идентификатор_пользователя>
     

   • Сервисному аккаунту:

     yc kms asymmetric-signature-key add-access-binding \
        --id <идентификатор_ключевой_пары> \
        --role <роль> \
        --service-account-id <идентификатор_сервисного_аккаунта>
     

   • Группе пользователей:

     yc kms asymmetric-signature-key add-access-binding \
        --id <идентификатор_ключевой_пары> \
        --role <роль> \
        --subject group:<идентификатор_группы>
     

Воспользуйтесь вызовом gRPC API AsymmetricSignatureKeyService/UpdateAccessBindings и передайте в запросе:

• Значение ADD в параметре access_binding_deltas[].action, чтобы добавить роль.
• Роль в параметре access_binding_deltas[].access_binding.role_id.
• Идентификатор субъекта, на кого назначается роль, в параметре access_binding_deltas[].access_binding.subject.id.
• Тип субъекта, на кого назначается роль, в параметре access_binding_deltas[].access_binding.subject.type.

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы назначить несколько ролей на ключевую пару электронной подписи:

1. Убедитесь, что на ключевую пару не назначены роли, которые вы не хотите потерять:

   yc kms asymmetric-signature-key list-access-bindings \
      --id <идентификатор_ключевой_пары>
   

2. Посмотрите описание команды CLI для назначения ролей:

   yc kms asymmetric-signature-key set-access-bindings --help
   

3. Получите список ключевых пар электронной подписи вместе с их идентификаторами:

   yc kms asymmetric-signature-key list
   

4. Получите идентификатор пользователя, сервисного аккаунта или группы пользователей, которым назначаете роли.

5. С помощью одной из команд ниже назначьте роли:

   • Пользователю с аккаунтом на Яндексе:

     yc kms asymmetric-signature-key set-access-bindings \
        --id <идентификатор_ключевой_пары> \
        --access-binding role=<роль>,user-account-id=<идентификатор_пользователя>
     

   • Федеративному пользователю:

     yc kms asymmetric-signature-key set-access-bindings \
        --id <идентификатор_ключевой_пары> \
        --access-binding role=<роль>,subject=federatedUser:<идентификатор_пользователя>
     

   • Сервисному аккаунту:

     yc kms asymmetric-signature-key set-access-bindings \
        --id <идентификатор_ключевой_пары> \
        --access-binding role=<роль>,service-account-id=<идентификатор_сервисного_аккаунта>
     

   • Группе пользователей:

     yc kms asymmetric-signature-key set-access-bindings \
        --id <идентификатор_ключевой_пары> \
        --access-binding role=<роль>,subject=group:<идентификатор_группы>
     

   Для каждой роли передайте отдельный флаг --access-binding. Пример:

   yc kms asymmetric-signature-key set-access-bindings \
      --id <идентификатор_ключевой_пары> \
      --access-binding role=<роль1>,service-account-id=<идентификатор_сервисного_аккаунта> \
      --access-binding role=<роль2>,service-account-id=<идентификатор_сервисного_аккаунта> \
      --access-binding role=<роль3>,service-account-id=<идентификатор_сервисного_аккаунта>
   

Воспользуйтесь вызовом gRPC API AsymmetricSignatureKeyService/SetAccessBindings. Передайте в запросе массив из объектов, каждый из которых соответствует отдельной роли и содержит следующие данные:

• Роль в параметре access_bindings[].role_id.
• Идентификатор субъекта, на кого назначаются роли, в параметре access_bindings[].subject.id.
• Тип субъекта, на кого назначаются роли, в параметре access_bindings[].subject.type.