Управление доступом в Managed Service for ClickHouse®
В этом разделе вы узнаете:
- на какие ресурсы можно назначить роль;
- какие роли действуют в сервисе;
- какие роли необходимы для того или иного действия.
Об управлении доступом
Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.
Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.
Назначать роли на ресурс могут те, у кого есть роль admin
, resource-manager.clouds.owner
или organization-manager.organizations.owner
на этот ресурс.
На какие ресурсы можно назначить роль
Как и в других сервисах, роль можно назначить на облако, каталог или сервисный аккаунт. Роли, назначенные на облако или каталог, действуют и на вложенные ресурсы.
Чтобы разрешить доступ к ресурсам сервиса Managed Service for ClickHouse® (кластеры и хосты БД, резервные копии кластеров, базы данных и их пользователи), назначьте пользователю нужные роли на каталог или облако, в котором эти ресурсы лежат.
Какие роли действуют в сервисе
На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor
входят все разрешения viewer
. После диаграммы дано описание каждой роли.
Сервисные роли
managed-clickhouse.auditor
Роль managed-clickhouse.auditor
позволяет просматривать информацию о кластерах ClickHouse®, а также о квотах и операциях с ресурсами сервиса Managed Service for ClickHouse®.
managed-clickhouse.viewer
Роль managed-clickhouse.viewer
позволяет просматривать информацию о кластерах ClickHouse® и логи их работы, а также данные о квотах и операциях с ресурсами сервиса Managed Service for ClickHouse®.
Включает разрешения, предоставляемые ролью managed-clickhouse.auditor
.
managed-clickhouse.editor
Роль managed-clickhouse.editor
позволяет управлять кластерами ClickHouse® и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- просматривать информацию о кластерах ClickHouse®, а также создавать, изменять, удалять, запускать и останавливать их;
- просматривать логи работы кластеров ClickHouse®;
- просматривать информацию о квотах сервиса Managed Service for ClickHouse®;
- просматривать информацию об операциях с ресурсами сервиса Managed Service for ClickHouse®.
Включает разрешения, предоставляемые ролью managed-clickhouse.viewer
.
Для создания кластеров ClickHouse® дополнительно необходима роль vpc.user
.
managed-clickhouse.admin
Роль managed-clickhouse.admin
позволяет управлять кластерами ClickHouse® и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- управлять доступом к кластерам ClickHouse®;
- просматривать информацию о кластерах ClickHouse®, а также создавать, изменять, удалять, запускать и останавливать их;
- просматривать логи работы кластеров ClickHouse®;
- просматривать информацию о квотах сервиса Managed Service for ClickHouse®;
- просматривать информацию об операциях с ресурсами сервиса Managed Service for ClickHouse®.
Включает разрешения, предоставляемые ролью managed-clickhouse.editor
.
Для создания кластеров ClickHouse® дополнительно необходима роль vpc.user
.
mdb.auditor
Роль mdb.auditor
предоставляет минимально необходимые разрешения для просмотра информации о кластерах управляемых баз данных (без доступа к данным и логам работы).
Пользователи с этой ролью могут просматривать информацию о кластерах управляемых баз данных, квотах и каталогах.
Включает разрешения, предоставляемые ролями managed-elasticsearch.auditor
, managed-opensearch.auditor
, managed-kafka.auditor
, managed-mysql.auditor
, managed-sqlserver.auditor
, managed-postgresql.auditor
, managed-greenplum.auditor
, managed-clickhouse.auditor
, managed-redis.auditor
и managed-mongodb.auditor
.
mdb.viewer
Роль mdb.viewer
предоставляет доступ к чтению информации из кластеров управляемых баз данных и к логам работы кластеров.
Пользователи с этой ролью могут читать информацию из баз данных и просматривать логи кластеров управляемых баз данных, а также просматривать информацию о кластерах, квотах и каталогах.
Включает разрешения, предоставляемые ролями mdb.auditor
, managed-elasticsearch.viewer
, managed-opensearch.viewer
, managed-kafka.viewer
, managed-mysql.viewer
, managed-sqlserver.viewer
, managed-postgresql.viewer
, managed-greenplum.viewer
, managed-clickhouse.viewer
, managed-redis.viewer
, managed-mongodb.viewer
и dataproc.viewer
.
mdb.admin
Роль mdb.admin
предоставляет полный доступ к кластерам управляемых баз данных.
Пользователи с этой ролью могут могут создавать, изменять, удалять, запускать и останавливать кластеры управляемых баз данных, управлять доступом к кластерам, читать и сохранять информацию в базах данных, а также просматривать информацию о кластерах, логах их работы, квотах и каталогах.
Включает разрешения, предоставляемые ролями mdb.viewer
, vpc.user
, managed-elasticsearch.admin
, managed-opensearch.admin
, managed-kafka.admin
, managed-mysql.admin
, managed-sqlserver.admin
, managed-postgresql.admin
, managed-greenplum.admin
, managed-clickhouse.admin
, managed-redis.admin
, managed-mongodb.admin
и dataproc.admin
.
vpc.publicAdmin
Роль vpc.publicAdmin
позволяет управлять NAT-шлюзами, публичными IP-адресами и внешней сетевой связностью, а также просматривать информацию о квотах, ресурсах и операциях с ресурсами сервиса. Роль предоставляет права администратора мультиинтерфейсных ВМ, обеспечивающих связность между несколькими сетями
- просматривать информацию об облачных сетях и настраивать внешний доступ к ним;
- управлять связностью нескольких облачных сетей;
- управлять мультиинтерфейсными ВМ, обеспечивающими связность между несколькими сетями;
- просматривать информацию о подсетях и изменять них;
- просматривать информацию о NAT-шлюзах, а также создавать, изменять и удалять их;
- подключать NAT-шлюзы к таблицам маршрутизации;
- просматривать информацию об адресах облачных ресурсов, а также создавать, изменять и удалять публичные IP-адреса;
- просматривать информацию о таблицах маршрутизации, а также привязывать таблицы маршрутизации к подсетям;
- просматривать информацию о группах безопасности;
- просматривать информацию об использованных IP-адресах в подсетях;
- просматривать информацию о квотах сервиса Virtual Private Cloud;
- просматривать информацию об операциях с ресурсами сервиса Virtual Private Cloud;
- просматривать информацию об операциях с ресурсами сервиса Compute Cloud;
- просматривать информацию об облаке;
- просматривать информацию о каталоге.
Включает разрешения, предоставляемые ролью vpc.viewer
.
Роль можно назначить на облако или каталог. Важно: если сеть и подсеть находятся в разных каталогах, то наличие роли vpc.publicAdmin
проверяется на том каталоге, в котором находится сеть.
Примитивные роли
auditor
Позволяет просматривать конфигурацию и метаданные сервиса без возможности доступа к данным.
viewer
Позволяет просматривать информацию о ресурсах.
editor
Позволяет управлять ресурсами, например создавать, изменять и удалять их.
admin
Позволяет управлять ресурсами и доступом к ним.
Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.
Какие роли необходимы
Чтобы пользоваться сервисом, необходима роль managed-clickhouse.editor
или выше на каталог, в котором создается кластер. Роль managed-clickhouse.viewer
позволит только просматривать список кластеров.
Вы всегда можете назначить роль, которая дает более широкие разрешения. Например, назначить managed-clickhouse.admin
вместо managed-clickhouse.editor
.
Что дальше
- Как назначить роль.
- Как отозвать роль.
- Подробнее об управлении доступом в Yandex Cloud.
- Подробнее о наследовании ролей.
ClickHouse® является зарегистрированным товарным знаком ClickHouse, Inc