Назначить роль пользователю

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

1. Выберите роль, которую хотите назначить.

2. Получите идентификатор пользователя.

3. Назначьте роль с помощью команды:

   yc organization-manager organization add-access-binding <имя_или_идентификатор_организации> \
     --role <идентификатор_роли> \
     --user-account-id <идентификатор_пользователя>
   

   Где:

   • --role — идентификатор роли.
   • --user-account-id — идентификатор пользователя. Также вы можете использовать параметр --user-yandex-login и указать логин пользователя вместо идентификатора.

   Например, назначьте пользователю роль администратора на организацию с идентификатором b1gmit33ngp3********:

   yc organization-manager organization add-access-binding b1gmit33ngp3******** \
     --role resource-manager.admin \
     --user-account-id aje6o61dvog2********
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Выберите роль, которую хотите назначить.

2. Получите идентификатор пользователя.

3. Опишите в конфигурационном файле параметры назначаемых ролей.

   Пример структуры конфигурационного файла для назначения роли на организацию:

   resource "yandex_organizationmanager_organization_iam_binding" "editor" {
     organization_id = "<идентификатор_организации>"
     role            = "<идентификатор_роли>"
     member          = "userAccount:<идентификатор_пользователя>"
   }
   

   Где:

   • organization_id — идентификатор организации.

   • role — роль, которую хотите назначить. Для каждой роли можно использовать только один ресурс yandex_organizationmanager_organization_iam_binding.

   • member — обозначение субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

     Тип субъекта	Обозначение субъекта
     userAccount	userAccount:<идентификатор_пользователя>
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>
     federatedUser	federatedUser:<идентификатор_пользователя>
     group	group:<идентификатор_группы>
     system	system:allAuthenticatedUsers (группа All authenticated users)
     	system:allUsers (группа All users)
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

   Подробнее о параметрах ресурса yandex_organizationmanager_organization_iam_binding читайте в документации провайдера.

4. Создайте ресурсы:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

После этого указанному пользователю будут назначены роли в организации. Проверить назначение роли можно в интерфейсе Cloud Center.

Чтобы назначить роль пользователю на организацию, воспользуйтесь методом REST API updateAccessBindings для ресурса Organization или вызовом gRPC API OrganizationService/UpdateAccessBindings.

1. Выберите роль, которую хотите назначить.

2. Получите идентификатор пользователя.

3. Сформируйте тело запроса, например в файле body.json. В свойстве action укажите ADD, а в свойстве subject — тип userAccount или federatedUser и идентификатор пользователя:

   body.json:

   {
     "accessBindingDeltas": [{
       "action": "ADD",
       "accessBinding": {
         "roleId": "<идентификатор_роли>",
         "subject": {
           "id": "<идентификатор_пользователя>",
           "type": "userAccount"
         }
       }
     }]
   }
   

   Где:

   • Значение ADD в параметре accessBindingDeltas[].action указывает, что роль нужно добавить.

   • accessBindingDeltas[].accessBinding.roleId — идентификатор роли, которую нужно назначить.

   • accessBindingDeltas[].accessBinding.subject.id — идентификатор субъекта, которому назначается роль.

   • accessBindingDeltas[].accessBinding.subject.type — тип субъекта, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора в полях запроса subject.type и subject.id. Возможные комбинации:

     subject.type	subject.id
     userAccount	<идентификатор_пользователя>
     serviceAccount	<идентификатор_сервисного_аккаунта>
     federatedUser	<идентификатор_пользователя>
     group	<идентификатор_группы>
     system	allAuthenticatedUsers (группа All authenticated users)
     	allUsers (группа All users)
     	group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

4. Назначьте роль. Например, для организации с идентификатором bpf3crucp1v2********:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=<IAM-токен>
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"