Управление доступом в Managed Service for Apache Kafka®

В этом разделе вы узнаете:

• на какие ресурсы можно назначить роль;
• какие роли действуют в сервисе;
• какие роли необходимы для того или иного действия.

Об управлении доступомОб управлении доступом

Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей или системной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.

Назначать роли на ресурс могут те, у кого есть роль admin, resource-manager.clouds.owner или organization-manager.organizations.owner на этот ресурс.

На какие ресурсы можно назначить рольНа какие ресурсы можно назначить роль

Как и в других сервисах, роль можно назначить на облако, каталог или сервисный аккаунт. Роли, назначенные на облако или каталог, действуют и на вложенные ресурсы.

Чтобы разрешить доступ к ресурсам сервиса Managed Service for Apache Kafka® (кластеры и хосты, резервные копии кластеров, разделы и топики, пользователи), назначьте пользователю нужные роли на каталог или облако, в котором содержатся эти ресурсы.

Какие роли действуют в сервисеКакие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные ролиСервисные роли

managed-kafka.auditormanaged-kafka.auditor

Роль managed-kafka.auditor позволяет просматривать информацию о кластерах Apache Kafka®, а также о квотах и операциях с ресурсами сервиса Managed Service for Apache Kafka®.

managed-kafka.viewermanaged-kafka.viewer

Роль managed-kafka.viewer позволяет просматривать информацию о кластерах Apache Kafka® и логи их работы, а также данные о квотах и операциях с ресурсами сервиса Managed Service for Apache Kafka®.

Включает разрешения, предоставляемые ролью managed-kafka.auditor.

managed-kafka.editormanaged-kafka.editor

Роль managed-kafka.editor позволяет управлять кластерами Apache Kafka® и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• просматривать информацию о кластерах Apache Kafka®, а также создавать, изменять, удалять, запускать и останавливать их;
• просматривать логи работы кластеров Apache Kafka®;
• просматривать информацию о квотах сервиса Managed Service for Apache Kafka®;
• просматривать информацию об операциях с ресурсами сервиса Managed Service for Apache Kafka®.

Включает разрешения, предоставляемые ролью managed-kafka.viewer.

Для создания кластеров Apache Kafka® дополнительно необходима роль vpc.user.

managed-kafka.adminmanaged-kafka.admin

Роль managed-kafka.admin позволяет управлять кластерами Apache Kafka® и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.

Пользователи с этой ролью могут:

• управлять доступом к кластерам Apache Kafka®;
• просматривать информацию о кластерах Apache Kafka®, а также создавать, изменять, удалять, запускать и останавливать их;
• просматривать логи работы кластеров Apache Kafka®;
• просматривать информацию о квотах сервиса Managed Service for Apache Kafka®;
• просматривать информацию об операциях с ресурсами сервиса Managed Service for Apache Kafka®.

Включает разрешения, предоставляемые ролью managed-kafka.editor.

Для создания кластеров Apache Kafka® дополнительно необходима роль vpc.user.

mdb.auditormdb.auditor

Роль mdb.auditor предоставляет минимально необходимые разрешения для просмотра информации о кластерах управляемых баз данных (без доступа к данным и логам работы).

Пользователи с этой ролью могут просматривать информацию о кластерах управляемых баз данных, квотах и каталогах.

Включает разрешения, предоставляемые ролями managed-elasticsearch.auditor, managed-opensearch.auditor, managed-kafka.auditor, managed-mysql.auditor, managed-sqlserver.auditor, managed-postgresql.auditor, managed-greenplum.auditor, managed-clickhouse.auditor, managed-redis.auditor и managed-mongodb.auditor.

mdb.viewermdb.viewer

Роль mdb.viewer предоставляет доступ к чтению информации из кластеров управляемых баз данных и к логам работы кластеров.

Пользователи с этой ролью могут читать информацию из баз данных и просматривать логи кластеров управляемых баз данных, а также просматривать информацию о кластерах, квотах и каталогах.

Включает разрешения, предоставляемые ролями mdb.auditor, managed-elasticsearch.viewer, managed-opensearch.viewer, managed-kafka.viewer, managed-mysql.viewer, managed-sqlserver.viewer, managed-postgresql.viewer, managed-greenplum.viewer, managed-clickhouse.viewer, managed-redis.viewer, managed-mongodb.viewer и dataproc.viewer.

mdb.adminmdb.admin

Роль mdb.admin предоставляет полный доступ к кластерам управляемых баз данных.

Пользователи с этой ролью могут могут создавать, изменять, удалять, запускать и останавливать кластеры управляемых баз данных, управлять доступом к кластерам, читать и сохранять информацию в базах данных, а также просматривать информацию о кластерах, логах их работы, квотах и каталогах.

Включает разрешения, предоставляемые ролями mdb.viewer, vpc.user, managed-elasticsearch.admin, managed-opensearch.admin, managed-kafka.admin, managed-mysql.admin, managed-sqlserver.admin, managed-postgresql.admin, managed-greenplum.admin, managed-clickhouse.admin, managed-redis.admin, managed-mongodb.admin и dataproc.admin.

vpc.publicAdminvpc.publicAdmin

Роль vpc.publicAdmin позволяет управлять NAT-шлюзами, публичными IP-адресами и внешней сетевой связностью, а также просматривать информацию о квотах, ресурсах и операциях с ресурсами сервиса. Роль предоставляет права администратора мультиинтерфейсных ВМ, обеспечивающих связность между несколькими сетями

Включает разрешения, предоставляемые ролью vpc.viewer.

Роль можно назначить на облако или каталог. Важно: если сеть и подсеть находятся в разных каталогах, то наличие роли vpc.publicAdmin проверяется на том каталоге, в котором находится сеть.

Примитивные ролиПримитивные роли

auditorauditor

Позволяет просматривать конфигурацию и метаданные сервиса без возможности доступа к данным.

viewerviewer

Позволяет просматривать информацию о ресурсах.

editoreditor

Позволяет управлять ресурсами, например создавать, изменять и удалять их.

adminadmin

Позволяет управлять ресурсами и доступом к ним.

Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.

Какие роли необходимыКакие роли необходимы

Чтобы пользоваться сервисом, необходима роль managed-kafka.editor или выше на каталог, в котором создается кластер. Роль managed-kafka.viewer позволит только просматривать список кластеров.

Вы всегда можете назначить роль, которая дает более широкие разрешения. Например, назначить managed-kafka.admin вместо managed-kafka.editor.

Что дальшеЧто дальше

• Как назначить роль.
• Как отозвать роль.
• Подробнее об управлении доступом в Yandex Cloud.
• Подробнее о наследовании ролей.