Управление доступом в Yandex Cloud Organization

1. Выберите роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

2. Получите идентификатор пользователя.

3. Назначьте роль с помощью команды:

   yc <имя_сервиса> <ресурс> add-access-binding <имя_или_идентификатор_ресурса> \
       --role <идентификатор_роли> \
       --subject <тип_субъекта>:<идентификатор_субъекта>
   

   • <имя_сервиса> — имя сервиса, на чей ресурс назначается роль, например organization-manager.
   • <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
   • <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.
   • --role — идентификатор роли, например organization-manager.admin.
   • --subject — тип и идентификатор субъекта, которому назначается роль.

   Например, назначьте роль администратора для организации с идентификатором bpf3crucp1v2********:

   yc organization-manager organization add-access-binding bpf3crucp1v2******** \
       --role organization-manager.admin \
       --subject userAccount:aje6o61dvog2********
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Опишите в конфигурационном файле параметры назначаемых ролей:

   • organization_id — идентификатор организации.
   • role — роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud. Для каждой роли можно использовать только один yandex_organization manager_organization_iam_binding.
   • members — массив идентификаторов пользователей, которым будет назначена роль:
     • userAccount:{user_id} — идентификатор аккаунта пользователя на Яндексе.
     • serviceAccount:{service_account_id} — идентификатор сервисного аккаунта.
     • federatedUser:{federated_user_id} — идентификатор федеративного пользователя.

   Пример структуры конфигурационного файла:

   resource "yandex_organizationmanager_organization_iam_binding" "editor" {
     organization_id = "<идентификатор_организации>"
     role = "editor"
     members = [
      "federatedUser:<идентификатор_пользователя>",
     ]
   }
   

   Более подробную информацию о ресурсах, которые вы можете создать с помощью Terraform, см. в документации провайдера.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.
   2. Выполните проверку с помощью команды:

   terraform plan
   

   Если конфигурация описана верно, в терминале отобразится список назначенных ролей. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Назначьте роли.

   Если в конфигурации нет ошибок, выполните команду:

   terraform apply
   

   После этого в указанной организации будут назначены роли.

Воспользуйтесь методом updateAccessBindings для соответствующего ресурса.

1. Выберите роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

2. Получите идентификатор пользователя.

3. Сформируйте тело запроса, например, в файле body.json. В свойстве action укажите ADD, а в свойстве subject — тип userAccount и идентификатор пользователя:

   Пример файла body.json:

   {
     "accessBindingDeltas": [{
       "action": "ADD",
       "accessBinding": {
         "roleId": "organization-manager.admin",
         "subject": {
           "id": "gfei8n54hmfh********",
           "type": "userAccount"
         }
       }
     }]
   }
   

4. Назначьте роль. Например, для организации с идентификатором bpf3crucp1v2********:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=CggaAT********
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"
   

   Вы можете ознакомиться с подробной инструкцией назначения роли для соответствующего ресурса в документации Yandex Identity and Access Management и Yandex Resource Manager:

   • Настройка прав доступа к сервисному аккаунту
   • Настройка прав доступа к облаку
   • Настройка прав доступа к каталогу

Чтобы отозвать роль у субъекта, удалите права доступа для соответствующего ресурса:

1. Посмотрите, кому и какие роли назначены на ресурс:

   yc <имя_сервиса> <ресурс> list-access-bindings <имя_или_идентификатор_ресурса>
   

   • <имя_сервиса> — имя сервиса, которому принадлежит ресурс, например organization-manager.
   • <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
   • <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.

   Например, посмотрите, кому и какие роли назначены в организации с идентификатором bpf3crucp1v2********:

   yc organization-manager organization list-access-bindings bpf3crucp1v2********
   

   Результат:

   +------------------------------------------+--------------+----------------------+
   |                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
   +------------------------------------------+--------------+----------------------+
   | organization-manager.organizations.owner | userAccount  | aje3r40rsemj******** |
   | organization-manager.admin               | userAccount  | aje6o61dvog2******** |
   +------------------------------------------+--------------+----------------------+
   

2. Чтобы удалить права доступа, выполните команду:

   yc <имя_сервиса> <ресурс> remove-access-binding <имя_или_идентификатор_ресурса> \
       --role <идентификатор_роли> \
       --subject <тип_субъекта>:<идентификатор_субъекта>
   

   • --role — идентификатор роли, которую надо отозвать, например organization-manager.admin.
   • --subject — тип и идентификатор субъекта, у которого отзывается роль.

   Например, чтобы отозвать роль у пользователя с идентификатором aje6o61dvog2********:

   yc organization-manager organization remove-access-binding bpf3crucp1v2******** \
       --role organization-manager.admin \
       --subject userAccount:aje6o61dvog2********
   

Чтобы отозвать роль у субъекта, удалите права доступа для соответствующего ресурса:

1. Посмотрите, кому и какие роли назначены на ресурс с помощью метода listAccessBindings. Например, чтобы посмотреть роли в организации с идентификатором bpf3crucp1v2********:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=CggaAT********
   curl \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:listAccessBindings"
   

   Результат:

   {
   "accessBindings": [
   {
     "subject": {
     "id": "aje6o61dvog2********",
     "type": "userAccount"
     },
     "roleId": "organization-manager.admin"
   }
   ]
   }
   

2. Сформируйте тело запроса, например в файле body.json. В теле запроса укажите, какие права доступа необходимо удалить. Например, отзовите у пользователя aje6o61dvog2******** роль organization-manager.admin:

   Пример файла body.json:

   {
     "accessBindingDeltas": [{
       "action": "REMOVE",
       "accessBinding": {
         "roleId": "organization-manager.admin",
         "subject": {
           "id": "aje6o61dvog2********",
           "type": "userAccount"
         }
       }
     }]
   }
   

3. Отзовите роль, удалив указанные права доступа:

   export ORGANIZATION_ID=bpf3crucp1v2********
   export IAM_TOKEN=CggaAT********
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"
   

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

1. Выберите роль из справочника ролей Yandex Cloud.

2. Назначьте роль с помощью команды:

   yc <имя_сервиса> <ресурс> add-access-binding <имя_или_идентификатор_ресурса> \
     --role <идентификатор_роли> \
     --subject group:<идентификатор_группы>
   

   Где:

   • --role — идентификатор роли, например, resource-manager.clouds.owner.

   • --subject group — идентификатор группы, которой назначается роль.

     Для того чтобы назначить роль одной из системных групп, вместо параметра --subject используйте параметр --organization-users <идентификатор_организации> или --federation-users <идентификатор_федерации>, передав в нем соответственно идентификатор организации или федерации удостоверений, всем пользователям, которым вы хотите назначить роль.

     Вы также можете назначить роль системной группе с помощью параметра --subject. Для этого передайте в нем идентификатор субъекта, соответствующий выбранной системной группе.

   Например, назначьте роль resource-manager.viewer на облако mycloud:

   yc resource-manager cloud add-access-binding mycloud \
     --role resource-manager.viewer \
     --subject group:aje6o61dvog2********
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Добавьте в конфигурационный файл параметры ресурса, укажите нужную роль и группу:

   resource "yandex_resourcemanager_cloud_iam_member" "admin" {
     cloud_id    = "<идентификатор_облака>"
     role        = "<идентификатор_роли>"
     member      = "group:<идентификатор_группы>"
   }
   

   Где:

   • cloud_id — идентификатор облака. Вы также можете назначить роль внутри отдельного каталога. Для этого вместо cloud_id укажите folder_id и нужный идентификатор каталога в параметрах ресурса.

   • role — назначаемая роль. Обязательный параметр.

   • member — группа, которой назначается роль. Указывается в виде group:<идентификатор_группы>. Обязательный параметр.

     Для того чтобы назначить роль одной из системных групп, в параметре member укажите:

     • system:group:organization:<идентификатор_организации>:users — чтобы назначить роль системной группе All users in organization X;
     • system:group:federation:<идентификатор_федерации>:users — чтобы назначить роль системной группе All users in federation N.

   Более подробную информацию о параметрах ресурса yandex_resourcemanager_cloud_iam_member см. в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:

   terraform plan
   

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

   После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:

   yc resource-manager folder list-access-bindings <имя_или_идентификатор_папки>
   

Воспользуйтесь методом REST API updateAccessBindings для соответствующего ресурса.

1. Выберите роль из справочника ролей Yandex Cloud.

2. Сформируйте тело запроса, например в файле body.json. В свойстве action укажите ADD, а в свойстве subject - тип group и идентификатор группы:

   body.json:

   {
     "accessBindingDeltas": [{
       "action": "ADD",
       "accessBinding": {
         "roleId": "editor",
         "subject": {
           "id": "<идентификатор_группы>",
           "type": "group"
         }
       }
     }]
   }
   

3. Назначьте роль сервисному аккаунту. Например, на каталог с идентификатором b1gvmob95yys********:

   export FOLDER_ID=b1gvmob95yys********
   export IAM_TOKEN=CggaAT********
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     "https://resource-manager.api.cloud.yandex.net/resource-manager/v1/folders/${FOLDER_ID}:updateAccessBindings"
   

Вы можете ознакомиться с подробной инструкцией назначения роли для соответствующего ресурса:

• Настройка прав доступа к сервисному аккаунту.
• Настройка прав доступа к облаку.
• Настройка прав доступа к каталогу.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

1. Назначьте роль для группы:

   yc organization-manager organization add-access-binding \
     --subject group:<идентификатор_группы> \
     --role <идентификатор_роли> \
     --organization-users <идентификатор_организации> \
     --federation-users <идентификатор_федерации>
   

   Для того чтобы назначить роль одной из системных групп, вместо параметра --subject используйте параметр --organization-users <идентификатор_организации> или --federation-users <идентификатор_федерации>. Передайте в нем соответственно идентификатор организации или федерации удостоверений, всем пользователям, которым вы хотите назначить роль.

   Вы также можете назначить роль системной группе с помощью параметра --subject. Для этого передайте в нем идентификатор субъекта, соответствующий выбранной системной группе.

2. Проверьте, что запрошенные права были выданы:

   yc organization-manager organization list-access-bindings <идентификатор_организации>
   

   Ответ содержит список всех ролей, выданных пользователям и группам в организации:

   +------------------------------------------+--------------+----------------------+
   |                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
   +------------------------------------------+--------------+----------------------+
   | organization-manager.admin               | userAccount  | ajev1p2345lj******** |
   | organization-manager.organizations.owner | userAccount  | ajev1p2345lj******** |
   | editor                                   | group        | ajev1p2345lj******** |
   | viewer                                   | group        | ajev1p2345lj******** |
   +------------------------------------------+--------------+----------------------+
   

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Добавьте в конфигурационный файл параметры ресурса, укажите нужную роль и группу:

   resource "yandex_organizationmanager_organization_iam_member" "users-editors" {
     organization_id = "<идентификатор_организации>"
     role            = "<идентификатор_роли>"
     member          = "group:<идентификатор_группы>"
   }
   

   Где:

   • organization_id — идентификатор организации. Обязательный параметр.

   • role — назначаемая роль. Обязательный параметр.

   • member — группа, которой назначается роль. Указывается в виде group:<идентификатор_группы>. Обязательный параметр.

     Для того чтобы назначить роль одной из системных групп, в параметре member укажите:

     • system:group:organization:<идентификатор_организации>:users — чтобы назначить роль системной группе All users in organization X;
     • system:group:federation:<идентификатор_федерации>:users — чтобы назначить роль системной группе All users in federation N.

   Более подробную информацию о параметрах ресурса yandex_organizationmanager_organization_iam_member см. в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:

   yc resource-manager folder list-access-bindings <имя_или_идентификатор_папки>
   

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Чтобы посмотреть список доступных организаций, выполните команду:

   yc organization-manager organization list
   

   Результат:

   +----------------------+-----------------------------+-------------------------+--------+
   |          ID          |            NAME             |          TITLE          | LABELS |
   +----------------------+-----------------------------+-------------------------+--------+
   | bpf1smsil5q0******** | org1-technical-name         | Organization One        |        |
   | bpf2c65rqcl8******** | org2-technical-name         | Organization Two        |        |
   | bpfaidqca8vd******** | org3-technical-name         | Organization Three      |        |
   +----------------------+-----------------------------+-------------------------+--------+
   

   Из колонки ID скопируйте идентификатор нужной организации.

2. Посмотрите описание команды CLI для получения списка ролей, назначенных в организации:

   yc organization-manager organization list-access-bindings --help
   

3. Получите перечень ролей, назначенных в организации, указав ее имя или идентификатор:

   yc organization-manager organization list-access-bindings <идентификатор_организации>
   

   Результат:

   +------------------------------------------+----------------+----------------------+
   |                 ROLE ID                  |  SUBJECT TYPE  |      SUBJECT ID      |
   +------------------------------------------+----------------+----------------------+
   | auditor                                  | serviceAccount | ajefbjkmgjt1******** |
   | admin                                    | userAccount    | asefbskmgjt1******** |
   | organization-manager.organizations.owner | userAccount    | ajcfabjkmgjt******** |
   +------------------------------------------+----------------+----------------------+
   

Воспользуйтесь методом REST API ListAccessBindings для ресурса Organization или вызовом gRPC API OrganizationService/ListAccessBindings.