Настройка прав доступа к симметричному ключу шифрования

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Чтобы назначить роль на симметричный ключ:

1. Посмотрите описание команды CLI для назначения роли:

   yc kms symmetric-key add-access-binding --help
   

2. Получите список симметричных ключей вместе с их идентификаторами:

   yc kms symmetric-key list
   

3. Получите идентификатор пользователя, сервисного аккаунта, группы пользователей, организации или федерации удостоверений, которым или пользователям которых вы назначаете роль.

4. Чтобы назначить роль, выполните команду:

   yc kms symmetric-key add-access-binding \
     --id <идентификатор_ключа> \
     --role <роль> \
     --subject <тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --id — идентификатор симметричного ключа.

   • --role — назначаемая роль.

   • --subject — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробная информация о ресурсах провайдера в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

Чтобы назначить роль на симметричный ключ шифрования с помощью Terraform:

1. Опишите в конфигурационном файле Terraform параметры ресурсов, которые необходимо создать:

   resource "yandex_kms_symmetric_key_iam_member" "key-viewers" {
     symmetric_encryption_key_id = "<идентификатор_ключа>"
   
     role   = "<роль>"
     member = "<тип_субъекта>:<идентификатор_субъекта>"
   }
   

   Где:

   • symmetric_encryption_key_id — идентификатор симметричного ключа шифрования.

   • role — назначаемая роль.

   • member — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

     Тип субъекта	Обозначение субъекта
     userAccount	userAccount:<идентификатор_пользователя>
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>
     federatedUser	federatedUser:<идентификатор_пользователя>
     group	group:<идентификатор_группы>
     system	system:allAuthenticatedUsers (группа All authenticated users)
     	system:allUsers (группа All users)
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

   Подробнее о параметрах ресурса yandex_kms_symmetric_key_iam_member в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Terraform создаст все требуемые ресурсы. Проверить появление ресурсов можно с помощью команды CLI:

   yc kms symmetric-key list-access-bindings <идентификатор_ключа>
   

Воспользуйтесь методом UpdateAccessBindings для ресурса SymmetricKey или вызовом gRPC API SymmetricKeyService/UpdateAccessBindings и передайте в запросе:

• Значение ADD в параметре accessBindingDeltas[].action, чтобы добавить роль.

• Роль в параметре accessBindingDeltas[].accessBinding.roleId.

• Идентификатор субъекта, которому назначается роль, в параметре accessBindingDeltas[].accessBinding.subject.id.

• Тип субъекта, которому назначается роль, в параметре accessBindingDeltas[].accessBinding.subject.type.

  Обозначения субъектов

  Для обозначения субъекта используется комбинация типа и уникального идентификатора в полях запроса subject.type и subject.id. Возможные комбинации:

  subject.type	subject.id
  userAccount	<идентификатор_пользователя>
  serviceAccount	<идентификатор_сервисного_аккаунта>
  federatedUser	<идентификатор_пользователя>
  group	<идентификатор_группы>
  system	allAuthenticatedUsers (группа All authenticated users)
  	allUsers (группа All users)
  	group:organization:<идентификатор_организации>:users (группа All users in organization X)
  	group:federation:<идентификатор_федерации>:users (группа All users in federation N)
  	group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Чтобы назначить несколько ролей на симметричный ключ шифрования:

1. Убедитесь, что на симметричный ключ не назначены роли, которые вы не хотите потерять:

   yc kms symmetric-key list-access-bindings \
     --id <идентификатор_ключа>
   

2. Посмотрите описание команды CLI для назначения ролей:

   yc kms symmetric-key set-access-bindings --help
   

3. Получите список симметричных ключей шифрования вместе с их идентификаторами:

   yc kms symmetric-key list
   

4. Получите идентификатор пользователя, сервисного аккаунта, группы пользователей, организации или федерации удостоверений, которым или пользователям которых назначаете роли.

5. Чтобы назначить роли, выполните команду:

   yc kms symmetric-key set-access-bindings \
     --id <идентификатор_ключа> \
     --access-binding role=<роль>,subject=<тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --id — идентификатор симметричного ключа.

   • --access-binding — назначаемая роль и обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

   Для каждой роли передайте отдельный параметр --access-binding. Пример:

   yc kms symmetric-key set-access-bindings \
     --id <идентификатор_ключа> \
     --access-binding role=<роль1>,subject=<тип_субъекта>:<идентификатор_субъекта> \
     --access-binding role=<роль2>,subject=<тип_субъекта>:<идентификатор_субъекта> \
     --access-binding role=<роль3>,subject=<тип_субъекта>:<идентификатор_субъекта>
   

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробная информация о ресурсах провайдера в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

Чтобы назначить несколько ролей на симметричный ключ шифрования с помощью Terraform:

1. Опишите в конфигурационном файле Terraform параметры ресурсов, которые необходимо создать:

   # Роль 1
   resource "yandex_kms_symmetric_key_iam_member" "key-viewers" {
     symmetric_encryption_key_id = "<идентификатор_ключа>"
   
     role   = "<роль_1>"
     member = "<тип_субъекта>:<идентификатор_субъекта>"
   }
   
   # Роль 2
   resource "yandex_kms_symmetric_key_iam_member" "key-editors" {
     symmetric_encryption_key_id = "<идентификатор_ключа>"
   
     role   = "<роль_2>"
     member = "<тип_субъекта>:<идентификатор_субъекта>"
   }
   

   Где:

   • symmetric_encryption_key_id — идентификатор симметричного ключа шифрования.

   • role — назначаемая роль.

   • member — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

     Тип субъекта	Обозначение субъекта
     userAccount	userAccount:<идентификатор_пользователя>
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>
     federatedUser	federatedUser:<идентификатор_пользователя>
     group	group:<идентификатор_группы>
     system	system:allAuthenticatedUsers (группа All authenticated users)
     	system:allUsers (группа All users)
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

   Подробнее о параметрах ресурса yandex_kms_symmetric_key_iam_member в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Terraform создаст все требуемые ресурсы. Проверить появление ресурсов можно с помощью команды CLI:

   yc kms symmetric-key list-access-bindings <идентификатор_ключа>
   

Воспользуйтесь методом SetAccessBindings для ресурса SymmetricKey или вызовом gRPC API SymmetricKeyService/SetAccessBindings. Передайте в запросе массив из объектов, каждый из которых соответствует отдельной роли и содержит следующие данные:

• Роль в параметре accessBindings[].roleId.

• Идентификатор субъекта, которому назначаются роли, в параметре accessBindings[].subject.id.

• Тип субъекта, которому назначаются роли, в параметре accessBindings[].subject.type.

  Обозначения субъектов

  Для обозначения субъекта используется комбинация типа и уникального идентификатора в полях запроса subject.type и subject.id. Возможные комбинации:

  subject.type	subject.id
  userAccount	<идентификатор_пользователя>
  serviceAccount	<идентификатор_сервисного_аккаунта>
  federatedUser	<идентификатор_пользователя>
  group	<идентификатор_группы>
  system	allAuthenticatedUsers (группа All authenticated users)
  	allUsers (группа All users)
  	group:organization:<идентификатор_организации>:users (группа All users in organization X)
  	group:federation:<идентификатор_федерации>:users (группа All users in federation N)
  	group:userpool:<идентификатор_пула>:users (группа All users in userpool P)