Отозвать роль у пользователя

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

1. Посмотрите, кому и какие роли назначены на ресурс:

   yc <имя_сервиса> <ресурс> list-access-bindings <имя_или_идентификатор_ресурса>
   

   Где:

   • <имя_сервиса> — имя сервиса, которому принадлежит ресурс, например, organization-manager.
   • <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
   • <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Вы можете указать имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.

   Например, посмотрите, кому и какие роли назначены в организации с идентификатором bpf3crucp1v2********:

   yc organization-manager organization list-access-bindings bpf3crucp1v2********
   

   Результат:

   +------------------------------------------+--------------+----------------------+
   |                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
   +------------------------------------------+--------------+----------------------+
   | organization-manager.organizations.owner | userAccount  | aje3r40rsemj******** |
   | organization-manager.admin               | userAccount  | aje6o61dvog2******** |
   +------------------------------------------+--------------+----------------------+
   

2. Чтобы удалить права доступа, выполните команду:

   yc <имя_сервиса> <ресурс> remove-access-binding <имя_или_идентификатор_ресурса> \
     --role <идентификатор_роли> \
     --subject <тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --role — идентификатор роли, которую надо отозвать, например organization-manager.admin.

   • --subject — обозначение субъекта, у которого отзывается роль.

     Обозначения субъектов

     Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

     Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
     userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
     federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
     group	group:<идентификатор_группы>	--group-members
     system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
     	system:allUsers (группа All users)	—
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

   Например, чтобы отозвать роль у пользователя с идентификатором aje6o61dvog2********:

   yc organization-manager organization remove-access-binding bpf3crucp1v2******** \
     --role organization-manager.admin \
     --subject userAccount:aje6o61dvog2********
   

1. Посмотрите, кому и какие роли назначены на ресурс с помощью метода REST API listAccessBindings для ресурса Organization или вызова gRPC API OrganizationService/ListAccessBindings. Например, чтобы посмотреть роли в организации с идентификатором bpf3crucp1v2********:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=<IAM-токен>
   curl \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:listAccessBindings"
   

   Результат:

   {
     "accessBindings": [
       {
         "subject": {
           "id": "aje6o61dvog2********",
           "type": "userAccount"
         },
         "roleId": "organization-manager.admin"
       }
     ]
   }
   

2. Сформируйте тело запроса, например в файле body.json. В теле запроса укажите, какие права доступа необходимо удалить. Например, отзовите у пользователя aje6o61dvog2******** роль organization-manager.admin:

   body.json:

   {
     "accessBindingDeltas": [{
       "action": "REMOVE",
       "accessBinding": {
         "roleId": "organization-manager.admin",
         "subject": {
           "id": "aje6o61dvog2********",
           "type": "userAccount"
         }
       }
     }]
   }
   

   Где:

   • Значение REMOVE в параметре accessBindingDeltas[].action указывает, что роль нужно отозвать.

   • accessBindingDeltas[].accessBinding.roleId — идентификатор роли, которую нужно отозвать.

   • accessBindingDeltas[].accessBinding.subject.id — идентификатор субъекта, у которого отзывается роль.

   • accessBindingDeltas[].accessBinding.subject.type — тип субъекта, у которого отзывается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора в полях запроса subject.type и subject.id. Возможные комбинации:

     subject.type	subject.id
     userAccount	<идентификатор_пользователя>
     serviceAccount	<идентификатор_сервисного_аккаунта>
     federatedUser	<идентификатор_пользователя>
     group	<идентификатор_группы>
     system	allAuthenticatedUsers (группа All authenticated users)
     	allUsers (группа All users)
     	group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

3. Отзовите роль с помощью метода REST API updateAccessBindings для ресурса Organization или вызова gRPC API OrganizationService/UpdateAccessBindings:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=<IAM-токен>
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"