Отозвать роль у пользователя

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

1. Посмотрите, кому и какие роли назначены на ресурс:

   yc <имя_сервиса> <ресурс> list-access-bindings <имя_или_идентификатор_ресурса>
   

   Где:

   • <имя_сервиса> — имя сервиса, которому принадлежит ресурс, например, organization-manager.
   • <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
   • <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Вы можете указать имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.

   Например, посмотрите, кому и какие роли назначены в организации с идентификатором bpf3crucp1v2********:

   yc organization-manager organization list-access-bindings bpf3crucp1v2********
   

   Результат:

   +------------------------------------------+--------------+----------------------+
   |                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
   +------------------------------------------+--------------+----------------------+
   | organization-manager.organizations.owner | userAccount  | aje3r40rsemj******** |
   | organization-manager.admin               | userAccount  | aje6o61dvog2******** |
   +------------------------------------------+--------------+----------------------+
   

2. Чтобы удалить права доступа, выполните команду:

   yc <имя_сервиса> <ресурс> remove-access-binding <имя_или_идентификатор_ресурса> \
     --role <идентификатор_роли> \
     --subject <тип_субъекта>:<идентификатор_субъекта>
   

   Где:

   • --role — идентификатор роли, которую надо отозвать, например, organization-manager.admin.
   • <тип_субъекта> — тип субъекта, у которого отзывается роль.
   • <идентификатор_субъекта> — идентификатор субъекта.

   Например, чтобы отозвать роль у пользователя с идентификатором aje6o61dvog2********:

   yc organization-manager organization remove-access-binding bpf3crucp1v2******** \
     --role organization-manager.admin \
     --subject userAccount:aje6o61dvog2********
   

1. Посмотрите, кому и какие роли назначены на ресурс с помощью метода listAccessBindings. Например, чтобы посмотреть роли в организации с идентификатором bpf3crucp1v2********:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=<IAM-токен>
   curl \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:listAccessBindings"
   

   Результат:

   {
   "accessBindings": [
   {
     "subject": {
     "id": "aje6o61dvog2********",
     "type": "userAccount"
     },
     "roleId": "organization-manager.admin"
   }
   ]
   }
   

2. Сформируйте тело запроса, например, в файле body.json. В теле запроса укажите, какие права доступа необходимо удалить. Например, отзовите у пользователя aje6o61dvog2******** роль organization-manager.admin:

   {
     "accessBindingDeltas": [{
       "action": "REMOVE",
       "accessBinding": {
         "roleId": "organization-manager.admin",
         "subject": {
           "id": "aje6o61dvog2********",
           "type": "userAccount"
         }
       }
     }]
   }
   

3. Отзовите роль, удалив указанные права доступа:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=<IAM-токен>
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \ 
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"