Просмотреть список доступов субъекта
Вы можете централизованно просматривать полный список прав доступа индивидуальных субъектов и групп к ресурсам организации. Для этого можно использовать модуль Access Analyzer сервиса Yandex Security Deck или Yandex Cloud CLI.
Просматривать доступы в интерфейсе Security Deck могут члены организации, которым на эту организацию назначена роль organization-manager.viewer или выше.
Диагностика доступов с помощью Yandex Cloud CLI доступна в релизе 0.171 и выше.
Чтобы получить список доступов субъекта к ресурсам организации:
-
Войдите в аккаунт пользователя организации с ролью
organization-manager.viewerили выше на эту организацию. -
Перейдите в сервис Yandex Security Deck.
-
На панели слева выберите Access Analyzer и в верхней части экрана выберите нужное окружение.
-
Перейдите на вкладку Диагностика доступов.
-
Нажмите кнопку Выбрать субъект и в открывшемся окне:
-
Выберите нужного пользователя, сервисный аккаунт, группу пользователей, системную группу или публичную группу.
При необходимости воспользуйтесь поиском.
-
Нажмите Выбрать.
-
Откроется список доступов, назначенных выбранному субъекту. Для каждого доступа в списке указываются имя/идентификатор и тип ресурса, к которому выдан доступ, назначенная субъекту на этот ресурс роль, а также информация о том, была ли эта роль назначена субъекту напрямую или была унаследована из группы, членом которой является этот субъект.
Если у выбранного субъекта много доступов, отобразится только часть из них. Чтобы отобразить остальные доступы, нажмите кнопку Загрузить ещё внизу страницы.
При необходимости воспользуйтесь фильтром по идентификатору ресурса, идентификатору роли или по способу назначения доступа: Назначенные напрямую или Назначенные через группу.
Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.
По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.
Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.
-
Посмотрите описание команды CLI для получения списка доступов субъекта:
yc iam access-analyzer list-subject-access-bindings --help -
Получите идентификатор пользователя, сервисного аккаунта или группы пользователей для просмотра списка доступов.
-
С помощью команды
yc iam access-analyzer list-subject-access-bindingsполучите список доступов субъекта:yc iam access-analyzer list-subject-access-bindings \ --organization-id=<идентификатор_организации> \ --subject-id=<идентификатор_субъекта>Где:
--organization-id— идентификатор организации.--subject-id— идентификатор субъекта: пользователя, сервисного аккаунта, группы пользователей, системной группы или публичной группы.
Результат:
+---------+-------------------------+----------------------+----------+ | ROLE ID | RESOURCE TYPE | RESOURCE ID | GROUP ID | +---------+-------------------------+----------------------+----------+ | admin | resource-manager.cloud | b1g2c5615qja******** | | | admin | resource-manager.folder | b1gq979gqitb******** | | +---------+-------------------------+----------------------+----------+Список доступов будет представлен в виде таблицы. Для каждого доступа в списке указывается роль, назначенная субъекту на этот ресурс, тип ресурса и его идентификатор. Если эта роль не была назначена субъекту напрямую, а была унаследована из группы, то отобразится идентификатор этой группы.
В сервисе Yandex Security Deck вы также можете активировать автоматический анализ и формирование рекомендаций по сокращению избыточных и отзыву неиспользуемых ролей. Подробнее читайте в разделе Работа с рекомендациями в модуле Access Analyzer.