OS Login
OS Login — это удобный способ управления подключениями к виртуальным машинам и узлам кластеров Yandex Managed Service for Kubernetes по SSH c SSH-сертификатом через YC CLI или через стандартный SSH-клиент, а также через YC CLI с SSH-ключом, предварительно добавленным в профиль пользователя организации или сервисного аккаунта в Yandex Cloud Organization.
Агент OS Login разработан на основе Guest Agent for Google Compute Engine. Изменения, внесенные командой Yandex Cloud, можно отслеживать в репозитории на GitHub.
Примечание
Необходимые роли:
Для подключения через YC CLI к виртуальной машине или узлу Kubernetes с включенным доступом по OS Login пользователю или сервисному аккаунту, от имени которого выполняется команда YC CLI, должна быть назначена роль compute.osLogin или compute.osAdminLogin, а также роль compute.operator.
Для подключения через стандартный SSH-клиент к виртуальной машине или узлу Kubernetes с включенным доступом по OS Login пользователю или сервисному аккаунту, от имени которого выполняется подключение, должна быть назначена роль compute.osLogin или compute.osAdminLogin.
OS Login связывает учетную запись пользователя виртуальной машины или узла Kubernetes с учетной записью пользователя организации. Для управления доступом к виртуальным машинам и узлам включите на уровне организации опцию, разрешающую доступ по OS Login, а затем активируйте ее отдельно на каждой виртуальной машине или узле Kubernetes.
Так можно легко управлять доступом к виртуальным машинам и узлам Kubernetes, назначая пользователю необходимые роли. Если у пользователя отозвать роли, он потеряет доступ ко всем виртуальным машинам и узлам Kubernetes, для которых включен доступ по OS Login.
Пользователи или сторонние инструменты, такие как Terraform или Ansible, могут использовать стандартный SSH-клиент, чтобы подключаться к ВМ и узлам Kubernetes с включенным доступом по OS Login с помощью SSH-сертификатов или SSH-ключей.
Чтобы подключиться через стандартный SSH-клиент с использованием SSH-сертификата к ВМ или узлу Kubernetes с включенным доступом по OS Login, нужно экспортировать сертификат OS Login и использовать его при подключении. Сертификат действителен один час. По истечении этого времени для подключения к ВМ или узлу Kubernetes необходимо экспортировать новый сертификат.
Чтобы подключиться к ВМ или узлу Kubernetes с включенным доступом по OS Login через YC CLI с SSH-ключом, нужно создать SSH-ключ и добавить его в профиль пользователя организации в Cloud Organization. Вы также можете добавить SSH-ключ в профиль сервисного аккаунта, чтобы иметь возможность подключаться к ВМ по OS Login от имени этого сервисного аккаунта.
Преимущества OS Login:
- моментальное обновление прав доступа в случае отзыва или назначения ролей;
- возможность доступа по короткоживущим SSH-сертификатам;
- возможность доступа по SSH-ключам;
- возможность восстановления доступа к ВМ и узлам кластеров Kubernetes в случае утери SSH-ключей (если используются обычные SSH-ключи, а не OS Login);
- возможность загрузки пользователем собственных SSH-ключей в свой профиль.