Применить политику MFA к пользователям
Примечание
Функциональность находится на стадии Preview.
Чтобы политика MFA применялась в отношении учетных записей пользователей, в целевые группы этой политики требуется явно добавить нужных пользователей или группы, в которые эти пользователи входят.
-
Войдите в сервис Yandex Identity Hub.
-
На панели слева выберите Настройки безопасности.
-
Перейдите на вкладку Политики MFA и в списке политик выберите нужную. В открывшемся окне:
-
Перейдите на вкладку Пользователи и группы.
-
Чтобы добавить в целевые группы политики нового пользователя или группу:
- Нажмите кнопку Добавить пользователей.
- В открывшемся окне выберите нужного пользователя или группу пользователей.
- Нажмите кнопку Добавить.
-
Чтобы удалить из политики пользователя или группу:
- В списке пользователей и групп в строке с нужным пользователем или группой нажмите значок и выберите Удалить.
- Подтвердите удаление.
-
Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.
По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.
-
Посмотрите список пользователей или групп, к которым применяется политика MFA:
yc organization-manager mfa-enforcement list-audience \ --id <идентификатор_политики> -
Посмотрите описание команды CLI для изменения списка пользователей или групп, к которым применяется политика MFA:
yc organization-manager mfa-enforcement update-audience --help -
Чтобы добавить пользователей или группы в политику MFA или удалить их из политики, выполните команду:
yc organization-manager mfa-enforcement update-audience \ --id <идентификатор_политики> \ --audience-delta subject-id=<идентификатор_субъекта>,action=<действие>Где:
--audience-delta— параметр для изменения списка пользователей/групп в политике:subject-id— идентификатор пользователя или группы.action— действие:action-add— добавить,action-remove— удалить.
Можно указать несколько параметров
--audience-deltaдля одновременного изменения нескольких объектов.
Примечание
В целевые группы политики MFA вы можете добавлять пользовательские аккаунты любого типа, но применяться политика будет только к федеративным и локальным аккаунтам пользователей.
Если участниками группы, добавленной в политику MFA, являются пользователи с аккаунтами различных типов, эта политика будет применяться только к пользователям с федеративными и локальными аккаунтами.