Управление доступом в Managed Service for ClickHouse®

В этом разделе вы узнаете:

• на какие ресурсы можно назначить роль;
• какие роли действуют в сервисе;
• какие роли необходимы для того или иного действия.

Об управлении доступомОб управлении доступом

Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.

Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль mdb.admin, managed-clickhouse.admin или одна из следующих ролей:

• admin;
• resource-manager.admin;
• organization-manager.admin;
• resource-manager.clouds.owner;
• organization-manager.organizations.owner.

На какие ресурсы можно назначить рольНа какие ресурсы можно назначить роль

Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.

Чтобы разрешить доступ к ресурсам сервиса (кластеры и хосты БД, резервные копии кластеров, базы данных и их пользователи), назначьте пользователю нужные роли на каталог, облако или организацию, в которых содержатся эти ресурсы.

Какие роли действуют в сервисеКакие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные ролиСервисные роли

managed-clickhouse.auditormanaged-clickhouse.auditor

Роль managed-clickhouse.auditor позволяет просматривать информацию о кластерах ClickHouse®, а также о квотах и операциях с ресурсами сервиса Managed Service for ClickHouse®.

managed-clickhouse.viewermanaged-clickhouse.viewer

Роль managed-clickhouse.viewer позволяет просматривать информацию о кластерах ClickHouse® и логи их работы, а также данные о квотах и операциях с ресурсами сервиса Managed Service for ClickHouse®.

Включает разрешения, предоставляемые ролью managed-clickhouse.auditor.

managed-clickhouse.editormanaged-clickhouse.editor

Роль managed-clickhouse.editor позволяет управлять кластерами ClickHouse® и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• просматривать информацию о кластерах ClickHouse®, а также создавать, изменять, удалять, запускать и останавливать их;
• просматривать логи работы кластеров ClickHouse®;
• просматривать информацию о квотах сервиса Managed Service for ClickHouse®;
• просматривать информацию об операциях с ресурсами сервиса Managed Service for ClickHouse®.

Включает разрешения, предоставляемые ролью managed-clickhouse.viewer.

Для создания кластеров ClickHouse® дополнительно необходима роль vpc.user.

managed-clickhouse.adminmanaged-clickhouse.admin

Роль managed-clickhouse.admin позволяет управлять кластерами ClickHouse® и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• управлять доступом к кластерам ClickHouse®;
• просматривать информацию о кластерах ClickHouse®, а также создавать, изменять, удалять, запускать и останавливать их;
• просматривать логи работы кластеров ClickHouse®;
• просматривать информацию о квотах сервиса Managed Service for ClickHouse®;
• просматривать информацию об операциях с ресурсами сервиса Managed Service for ClickHouse®.

Включает разрешения, предоставляемые ролью managed-clickhouse.editor.

Для создания кластеров ClickHouse® дополнительно необходима роль vpc.user.

mdb.auditormdb.auditor

Роль mdb.auditor предоставляет минимально необходимые разрешения для просмотра информации о кластерах управляемых баз данных (без доступа к данным и логам работы).

Пользователи с этой ролью могут просматривать информацию о кластерах управляемых баз данных, квотах и каталогах.

Включает разрешения, предоставляемые ролями managed-opensearch.auditor, managed-kafka.auditor, managed-mysql.auditor, managed-sqlserver.auditor, managed-postgresql.auditor, managed-greenplum.auditor, managed-clickhouse.auditor, managed-redis.auditor и managed-mongodb.auditor.

mdb.viewermdb.viewer

Роль mdb.viewer предоставляет доступ к чтению информации из кластеров управляемых баз данных и к логам работы кластеров.

Пользователи с этой ролью могут читать информацию из баз данных и просматривать логи кластеров управляемых баз данных, а также просматривать информацию о кластерах, квотах и каталогах.

Включает разрешения, предоставляемые ролями mdb.auditor, managed-opensearch.viewer, managed-kafka.viewer, managed-mysql.viewer, managed-sqlserver.viewer, managed-postgresql.viewer, managed-greenplum.viewer, managed-clickhouse.viewer, managed-redis.viewer, managed-mongodb.viewer и dataproc.viewer.

mdb.adminmdb.admin

Роль mdb.admin предоставляет полный доступ к кластерам управляемых баз данных.

Пользователи с этой ролью могут могут создавать, изменять, удалять, запускать и останавливать кластеры управляемых баз данных, управлять доступом к кластерам, читать и сохранять информацию в базах данных, а также просматривать информацию о кластерах, логах их работы, квотах и каталогах.

Включает разрешения, предоставляемые ролями mdb.viewer, vpc.user, managed-opensearch.admin, managed-kafka.admin, managed-mysql.admin, managed-sqlserver.admin, managed-postgresql.admin, managed-greenplum.admin, managed-clickhouse.admin, managed-redis.admin, managed-mongodb.admin и dataproc.admin.

vpc.publicAdminvpc.publicAdmin

Роль vpc.publicAdmin позволяет управлять NAT-шлюзами, публичными IP-адресами и внешней сетевой связностью, а также просматривать информацию о квотах, ресурсах и операциях с ресурсами сервиса. Роль предоставляет права администратора мультиинтерфейсных ВМ, обеспечивающих связность между несколькими сетями.

Пользователи с этой ролью могут:

• просматривать список облачных сетей и информацию о них, а также настраивать внешний доступ к облачным сетям;
• управлять связностью нескольких облачных сетей;
• управлять мультиинтерфейсными ВМ, обеспечивающими связность между несколькими сетями;
• просматривать список подсетей и информацию о них, а также изменять подсети;
• просматривать информацию о NAT-шлюзах, а также создавать, изменять и удалять их;
• подключать NAT-шлюзы к таблицам маршрутизации;
• просматривать список адресов облачных ресурсов и информацию о них, а также создавать, изменять и удалять публичные IP-адреса;
• просматривать список таблиц маршрутизации и информацию о них, а также привязывать таблицы маршрутизации к подсетям;
• просматривать список групп безопасности и информацию о них;
• просматривать информацию об использованных IP-адресах в подсетях;
• просматривать информацию о квотах сервиса Virtual Private Cloud;
• просматривать информацию об операциях с ресурсами сервиса Virtual Private Cloud;
• просматривать информацию об операциях с ресурсами сервиса Compute Cloud;
• просматривать информацию об облаке;
• просматривать информацию о каталоге.

Включает разрешения, предоставляемые ролью vpc.viewer.

Роль можно назначить на облако или каталог.

Примитивные ролиПримитивные роли

Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.

auditorauditor

Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.

Например, пользователи с этой ролью могут:

• просматривать информацию о ресурсе;
• просматривать метаданные ресурса;
• просматривать список операций с ресурсом.

Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.

Роль auditor в настоящее время доступна во всех сервисах Yandex Cloud, за исключением:

• Yandex Data Streams;
• Yandex Query.

viewerviewer

Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.

Включает разрешения, предоставляемые ролью auditor.

В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.

editoreditor

Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.

Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.

Включает разрешения, предоставляемые ролью viewer.

adminadmin

Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.

Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.

Включает разрешения, предоставляемые ролью editor.

Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.

Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.

Какие роли необходимыКакие роли необходимы

Чтобы пользоваться сервисом, необходима роль managed-clickhouse.editor или выше на каталог, в котором создается кластер. Роль managed-clickhouse.viewer позволит только просматривать список кластеров.

Чтобы создать кластер Managed Service for ClickHouse®, нужна роль vpc.user и роль managed-clickhouse.editor или выше.

Вы всегда можете назначить роль, которая дает более широкие разрешения. Например, назначить managed-clickhouse.admin вместо managed-clickhouse.editor.

Что дальшеЧто дальше

• Как назначить роль.
• Как отозвать роль.
• Подробнее об управлении доступом в Yandex Cloud.
• Подробнее о наследовании ролей.

ClickHouse® является зарегистрированным товарным знаком ClickHouse, Inc.