Управление доступом в Managed Service for PostgreSQL
В этом разделе вы узнаете:
- на какие ресурсы можно назначить роль;
- какие роли действуют в сервисе;
- какие роли необходимы для того или иного действия.
Об управлении доступом
Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.
Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.
Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль mdb.admin
, managed-postgresql.admin
или одна из следующих ролей:
admin
;resource-manager.admin
;organization-manager.admin
;resource-manager.clouds.owner
;organization-manager.organizations.owner
.
На какие ресурсы можно назначить роль
Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.
Чтобы разрешить доступ к ресурсам сервиса (кластеры и хосты БД, резервные копии кластеров, базы данных и их пользователи), назначьте пользователю нужные роли на каталог, облако или организацию, в которых содержатся эти ресурсы.
Какие роли действуют в сервисе
На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor
входят все разрешения viewer
. После диаграммы дано описание каждой роли.
Сервисные роли
managed-postgresql.auditor
Роль managed-postgresql.auditor
позволяет просматривать информацию о хостах и кластерах PostgreSQL, а также о квотах и операциях с ресурсами сервиса Managed Service for PostgreSQL.
managed-postgresql.viewer
Роль managed-postgresql.viewer
позволяет просматривать информацию о кластерах, хостах, базах данных и пользователях PostgreSQL, логи работы кластеров, а также данные о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- просматривать информацию о кластерах PostgreSQL;
- просматривать информацию о хостах кластеров PostgreSQL;
- просматривать информацию о базах данных PostgreSQL;
- просматривать информацию о пользователях PostgreSQL;
- просматривать информацию о резервных копиях БД PostgreSQL;
- просматривать информацию об алертах PostgreSQL;
- просматривать логи работы кластеров PostgreSQL;
- просматривать информацию о результатах диагностики производительности кластеров PostgreSQL;
- просматривать информацию о квотах сервиса Managed Service for PostgreSQL;
- просматривать информацию об операциях с ресурсами сервиса Managed Service for PostgreSQL.
Включает разрешения, предоставляемые ролью managed-postgresql.auditor
.
managed-postgresql.editor
Роль managed-postgresql.editor
позволяет управлять кластерами PostgreSQL и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- просматривать информацию о кластерах PostgreSQL, а также создавать, изменять, удалять, запускать и останавливать их;
- просматривать информацию о хостах кластеров PostgreSQL, а также создавать, изменять и удалять их;
- просматривать информацию о базах данных PostgreSQL, а также создавать, изменять и удалять их;
- просматривать информацию о пользователях PostgreSQL, а также создавать, изменять и удалять их;
- просматривать информацию о резервных копиях БД PostgreSQL, а также создавать и удалять их;
- просматривать информацию об алертах PostgreSQL, а также создавать, изменять и удалять их;
- просматривать логи работы кластеров PostgreSQL;
- просматривать информацию о результатах диагностики производительности кластеров PostgreSQL;
- просматривать информацию о квотах сервиса Managed Service for PostgreSQL;
- просматривать информацию об операциях с ресурсами сервиса Managed Service for PostgreSQL.
Включает разрешения, предоставляемые ролью managed-postgresql.viewer
.
Для создания кластеров PostgreSQL дополнительно необходима роль vpc.user
.
managed-postgresql.admin
Роль managed-postgresql.admin
позволяет управлять кластерами PostgreSQL и просматривать их логи, а также получать информацию о квотах и операциях с ресурсами сервиса.
Пользователи с этой ролью могут:
- управлять доступом к кластерам PostgreSQL;
- просматривать информацию о кластерах PostgreSQL, а также создавать, изменять, удалять, запускать и останавливать их;
- просматривать информацию о хостах кластеров PostgreSQL, а также создавать, изменять и удалять их;
- просматривать информацию о базах данных PostgreSQL, а также создавать, изменять и удалять их;
- просматривать информацию о пользователях PostgreSQL, а также создавать, изменять и удалять их;
- просматривать информацию о резервных копиях БД PostgreSQL, а также создавать и удалять их;
- просматривать информацию об алертах PostgreSQL, а также создавать, изменять и удалять их;
- просматривать логи работы кластеров PostgreSQL;
- просматривать информацию о результатах диагностики производительности кластеров PostgreSQL;
- просматривать информацию о квотах сервиса Managed Service for PostgreSQL;
- просматривать информацию об операциях с ресурсами сервиса Managed Service for PostgreSQL.
Включает разрешения, предоставляемые ролью managed-postgresql.editor
.
Для создания кластеров PostgreSQL дополнительно необходима роль vpc.user
.
mdb.auditor
Роль mdb.auditor
предоставляет минимально необходимые разрешения для просмотра информации о кластерах управляемых баз данных (без доступа к данным и логам работы).
Пользователи с этой ролью могут просматривать информацию о кластерах управляемых баз данных, квотах и каталогах.
Включает разрешения, предоставляемые ролями managed-opensearch.auditor
, managed-kafka.auditor
, managed-mysql.auditor
, managed-sqlserver.auditor
, managed-postgresql.auditor
, managed-greenplum.auditor
, managed-clickhouse.auditor
, managed-redis.auditor
и managed-mongodb.auditor
.
mdb.viewer
Роль mdb.viewer
предоставляет доступ к чтению информации из кластеров управляемых баз данных и к логам работы кластеров.
Пользователи с этой ролью могут читать информацию из баз данных и просматривать логи кластеров управляемых баз данных, а также просматривать информацию о кластерах, квотах и каталогах.
Включает разрешения, предоставляемые ролями mdb.auditor
, managed-opensearch.viewer
, managed-kafka.viewer
, managed-mysql.viewer
, managed-sqlserver.viewer
, managed-postgresql.viewer
, managed-greenplum.viewer
, managed-clickhouse.viewer
, managed-redis.viewer
, managed-mongodb.viewer
и dataproc.viewer
.
mdb.admin
Роль mdb.admin
предоставляет полный доступ к кластерам управляемых баз данных.
Пользователи с этой ролью могут могут создавать, изменять, удалять, запускать и останавливать кластеры управляемых баз данных, управлять доступом к кластерам, читать и сохранять информацию в базах данных, а также просматривать информацию о кластерах, логах их работы, квотах и каталогах.
Включает разрешения, предоставляемые ролями mdb.viewer
, vpc.user
, managed-opensearch.admin
, managed-kafka.admin
, managed-mysql.admin
, managed-sqlserver.admin
, managed-postgresql.admin
, managed-greenplum.admin
, managed-clickhouse.admin
, managed-redis.admin
, managed-mongodb.admin
и dataproc.admin
.
vpc.publicAdmin
Роль vpc.publicAdmin
позволяет управлять NAT-шлюзами, публичными IP-адресами и внешней сетевой связностью, а также просматривать информацию о квотах, ресурсах и операциях с ресурсами сервиса. Роль предоставляет права администратора мультиинтерфейсных ВМ, обеспечивающих связность между несколькими сетями.
Пользователи с этой ролью могут:
- просматривать список облачных сетей и информацию о них, а также настраивать внешний доступ к облачным сетям;
- управлять связностью нескольких облачных сетей;
- управлять мультиинтерфейсными ВМ, обеспечивающими связность между несколькими сетями;
- просматривать список подсетей и информацию о них, а также изменять подсети;
- просматривать информацию о NAT-шлюзах, а также создавать, изменять и удалять их;
- подключать NAT-шлюзы к таблицам маршрутизации;
- просматривать список адресов облачных ресурсов и информацию о них, а также создавать, изменять и удалять публичные IP-адреса;
- просматривать список таблиц маршрутизации и информацию о них, а также привязывать таблицы маршрутизации к подсетям;
- просматривать список групп безопасности и информацию о них;
- просматривать информацию об использованных IP-адресах в подсетях;
- просматривать информацию о квотах сервиса Virtual Private Cloud;
- просматривать информацию об операциях с ресурсами сервиса Virtual Private Cloud;
- просматривать информацию об операциях с ресурсами сервиса Compute Cloud;
- просматривать информацию об облаке;
- просматривать информацию о каталоге.
Включает разрешения, предоставляемые ролью vpc.viewer
.
Роль можно назначить на облако или каталог.
Важно
Если сеть и подсеть находятся в разных каталогах, то наличие роли vpc.publicAdmin
проверяется на том каталоге, в котором находится сеть.
Примитивные роли
Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.
auditor
Роль auditor
предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.
Например, пользователи с этой ролью могут:
- просматривать информацию о ресурсе;
- просматривать метаданные ресурса;
- просматривать список операций с ресурсом.
Роль auditor
— наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.
viewer
Роль viewer
предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.
Включает разрешения, предоставляемые ролью auditor
.
В отличие от роли auditor
, роль viewer
предоставляет доступ к данным сервисов в режиме чтения.
editor
Роль editor
предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.
Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.
Включает разрешения, предоставляемые ролью viewer
.
admin
Роль admin
позволяет назначать любые роли, кроме resource-manager.clouds.owner
и organization-manager.organizations.owner
, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.
Прежде чем назначить роль admin
на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.
Включает разрешения, предоставляемые ролью editor
.
Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.
Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.
Какие роли необходимы
Чтобы пользоваться сервисом, необходима роль managed-postgresql.editor или выше на каталог, в котором создается кластер. Роль managed-postgresql.viewer
позволит только просматривать список кластеров.
Чтобы создать кластер Managed Service for PostgreSQL, нужна роль vpc.user и роль managed-postgresql.editor
или выше.
Вы всегда можете назначить роль, которая дает более широкие разрешения. Например, назначить managed-postgresql.admin
вместо managed-postgresql.editor
.