OS Login
OS Login — это удобный способ управления подключениями к виртуальным машинам и узлам кластеров Yandex Managed Service for Kubernetes по SSH c SSH-сертификатом через YC CLI или через стандартный SSH-клиент, а также через YC CLI с SSH-ключом, предварительно добавленным в профиль пользователя организации или сервисного аккаунта в Yandex Cloud Organization.
Агент OS Login разработан на основе Guest Agent for Google Compute Engine
Примечание
Необходимые роли:
Для подключения через YC CLI к виртуальной машине или узлу Kubernetes с включенным доступом по OS Login пользователю или сервисному аккаунту, от имени которого выполняется команда YC CLI, должна быть назначена роль compute.osLogin
или compute.osAdminLogin
, а также роль compute.operator
.
Для подключения через стандартный SSH-клиент к виртуальной машине или узлу Kubernetes с включенным доступом по OS Login пользователю или сервисному аккаунту, от имени которого выполняется подключение, должна быть назначена роль compute.osLogin
или compute.osAdminLogin
.
OS Login связывает учетную запись пользователя виртуальной машины или узла Kubernetes с учетной записью пользователя организации. Для управления доступом к виртуальным машинам и узлам включите на уровне организации опцию, разрешающую доступ по OS Login, а затем активируйте ее отдельно на каждой виртуальной машине или узле Kubernetes.
Так можно легко управлять доступом к виртуальным машинам и узлам Kubernetes, назначая пользователю необходимые роли. Если у пользователя отозвать роли, он потеряет доступ ко всем виртуальным машинам и узлам Kubernetes, для которых включен доступ по OS Login.
Пользователи или сторонние инструменты, такие как Terraform
Чтобы подключиться через стандартный SSH-клиент с использованием SSH-сертификата к ВМ или узлу Kubernetes с включенным доступом по OS Login, нужно экспортировать сертификат OS Login и использовать его при подключении. Сертификат действителен один час. По истечении этого времени для подключения к ВМ или узлу Kubernetes необходимо экспортировать новый сертификат.
Чтобы подключиться к ВМ или узлу Kubernetes с включенным доступом по OS Login через YC CLI с SSH-ключом, нужно создать SSH-ключ и добавить его в профиль пользователя организации в Cloud Organization. Вы также можете добавить SSH-ключ в профиль сервисного аккаунта, чтобы иметь возможность подключаться к ВМ по OS Login от имени этого сервисного аккаунта.
Преимущества OS Login:
- моментальное обновление прав доступа в случае отзыва или назначения ролей;
- возможность доступа по короткоживущим SSH-сертификатам;
- возможность доступа по SSH-ключам;
- возможность восстановления доступа к ВМ и узлам кластеров Kubernetes в случае утери SSH-ключей (если используются обычные SSH-ключи, а не OS Login);
- возможность загрузки пользователем собственных SSH-ключей в свой профиль.