Настроить сопоставление групп федеративных пользователей

Чтобы настроить права доступа пользователей к ресурсам Yandex Cloud с помощью сопоставления групп:

1. Создайте группы пользователей в Cloud Organization.

2. Настройте права доступа этих групп к ресурсам Yandex Cloud.

3. Создайте группы пользователей в вашем поставщике удостоверений и добавьте в них пользователей.

   Примечание

   Вы можете использовать существующие группы пользователей.

4. Задайте сопоставление групп пользователей в настройках SAML-атрибутов поставщика удостоверений. Чтобы узнать, как это сделать, обратитесь к документации или в службу технической поддержки используемого поставщика удостоверений.

   Инструкции по настройке сопоставления групп некоторых поставщиков удостоверений:

   • Keycloak.
   • Microsoft Active Directory Federation Services.
   • Microsoft Entra ID.
   • Google.

5. Задайте сопоставление групп пользователей в настройках федерации:

   Интерфейс Cloud Center

   Terraform

   1. Войдите в сервис Yandex Cloud Organization с учетной записью администратора или владельца организации.

   2. На панели слева выберите Федерации.

   3. Нажмите на строку с нужной федерацией и перейдите на вкладку IdP-группы.

   4. Включите опцию Маппинг групп в IdP.

   5. Нажмите кнопку Добавить группу и задайте сопоставление:

      • Имя группы — укажите имя группы поставщика удостоверений.
      • IAM-группа — выберите группу Cloud Organization из списка.

   6. Повторите предыдущий шаг для всех сопоставляемых групп.

   7. Нажмите кнопку Сохранить.

   Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

   Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

   Подробную информацию о ресурсах провайдера смотрите в документации на сайте Terraform или в зеркале.

   Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

   1. Опишите в конфигурационном файле Terraform параметры ресурсов, которые необходимо создать:

      # Включение сопоставления групп федеративных пользователей
      
      resource "yandex_organizationmanager_group_mapping" "my_group_map" {
       federation_id = "<идентификатор_федерации>"
       enabled       = true
      }
      
      # Настройка сопоставления групп федеративных пользователей
      
      resource "yandex_organizationmanager_group_mapping_item" "group_mapping_item" {
        federation_id     = "<идентификатор_федерации>"
        internal_group_id = "<группа_Cloud_Organization>"
        external_group_id = "<группа_поставщика_удостоверений"
      
      depends_on = [yandex_organizationmanager_group_mapping.my_group_map]
      }
      
      resource "yandex_organizationmanager_group_mapping_item" "group_mapping_item-2" {
        federation_id     = "<идентификатор_федерации>"
        internal_group_id = "<группа_Cloud_Organization>"
        external_group_id = "<группа_поставщика_удостоверений"
      
      depends_on = [yandex_organizationmanager_group_mapping.my_group_map]
      }
      

      Где:

      • federation_id — идентификатор федерации.
      • internal_group_id — имя группы Cloud Organization.
      • external_group_id — имя группы поставщика удостоверений.

      Более подробную информацию о параметрах ресурса yandex_organizationmanager_group_mapping_item см. в документации провайдера.

   2. Создайте ресурсы:

      1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

      2. Проверьте корректность конфигурационного файла с помощью команды:

         terraform validate
         

         Если конфигурация является корректной, появится сообщение:

         Success! The configuration is valid.
         

      3. Выполните команду:

         terraform plan
         

         В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

      4. Примените изменения конфигурации:

         terraform apply
         

      5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

      Terraform создаст все требуемые ресурсы. Проверить появление ресурсов можно в Yandex Cloud Organization.