Управление доступом в Yandex Identity Hub

Статья создана

Улучшена

Обновлена 19 марта 2026 г.

На какие ресурсы можно назначить роль
Какие роли действуют в сервисе
Какие роли назначены в организации

Управление доступом в Yandex Cloud построено на политике Role Based Access Control (RBAC). Чтобы предоставить пользователю определенные права или доступ к ресурсу, нужно назначить ему соответствующие роли.

Каждая роль состоит из набора разрешений, описывающих допустимые операции с ресурсом. Пользователь может назначить роли только с теми разрешениями, которые имеются у него самого. Например, чтобы назначить роль владельца организации, пользователь должен сам обладать этой ролью, а роли администратора для этого недостаточно.

Если у ресурса есть дочерние ресурсы, то все разрешения от родительского ресурса будут унаследованы дочерними ресурсами. Например, если вы назначите пользователю роль администратора организации, в которой находится облако, то все разрешения этой роли будут действовать для облака и всех вложенных ресурсов этого облака.

Подробнее об управлении доступом в Yandex Cloud читайте в документации Yandex Identity and Access Management в разделе Как устроено управление доступом в Yandex Cloud.

Примечание

Даже если операция с ресурсами сервисов Yandex Cloud разрешена ролью, ее выполнение может быть заблокировано, если на организацию назначена политика авторизации, запрещающая эту операцию.

На какие ресурсы можно назначить роль

Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.

Вы также можете назначать роли на отдельные ресурсы сервиса:

Интерфейс Cloud Center

CLI

Terraform

API

Через интерфейс Cloud Center вы можете назначить роли на следующие ресурсы:

Через Yandex Cloud CLI вы можете назначить роли на следующие ресурсы:

Через Terraform вы можете назначить роли на следующие ресурсы:

Через API Yandex Cloud вы можете назначить роли на следующие ресурсы:

Какие роли действуют в сервисе

Сервисные роли

organization-manager.auditor

Роль organization-manager.auditor позволяет просматривать информацию об организации и ее настройках, о входящих в организацию федерациях удостоверений, пулах пользователей, SAML-приложениях и OIDC-приложениях, а также о пользователях и группах пользователей организации.

Пользователи с этой ролью могут:

просматривать информацию об организации Identity Hub и ее настройках;
просматривать информацию о назначенных правах доступа к организации;
просматривать политики авторизации, назначенные на организацию;
просматривать список пользователей организации и сведения в профилях пользователей (кроме номера телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать информацию о правах доступа, назначенных субъектам в организации Identity Hub;
просматривать информацию о федерациях удостоверений в организации;
просматривать информацию о сертификатах федераций удостоверений;
просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях;
просматривать информацию об атрибутах федеративных пользователей;
просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
просматривать информацию об атрибутах локальных пользователей, входящих в пулы пользователей;
просматривать информацию о доменах, привязанных к пулам пользователей;
просматривать информацию о SAML-приложениях и OIDC-приложениях, а также о назначенных правах доступа к ним;
просматривать список пользователей, добавленных в SAML-приложения и OIDC-приложения;
получать сертификаты SAML-приложений;
просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации;
просматривать информацию о политиках MFA;
просматривать информацию о настройках OS Login организации;
просматривать список профилей OS Login пользователей и сервисных аккаунтов;
просматривать список SSH-ключей пользователей организации, а также информацию об SSH-ключах;
просматривать информацию о группах пользователей и о назначенных правах доступа к таким группам;
просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
просматривать информацию о refresh-токенах пользователей организации, а также о настройках refresh-токенов в организации;
просматривать информацию о квотах сервиса Identity Hub;
просматривать информацию о действующем тарифном плане технической поддержки;
просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения и закрывать их.

Включает разрешения, предоставляемые ролями iam.userAccounts.refreshTokenViewer, organization-manager.federations.auditor, organization-manager.osLogins.viewer, organization-manager.userpools.auditor, organization-manager.samlApplications.auditor и organization-manager.oauthApplications.auditor.

organization-manager.viewer

Роль organization-manager.viewer позволяет просматривать информацию об организации и ее настройках, о входящих в организацию федерациях удостоверений, пулах пользователей, SAML-приложениях и OIDC-приложениях, а также о пользователях и группах пользователей организации.

Пользователи с этой ролью могут:

просматривать информацию об организации Identity Hub и ее настройках;
просматривать информацию о назначенных правах доступа к организации;
просматривать политики авторизации, назначенные на организацию;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать информацию о правах доступа, назначенных субъектам в организации Identity Hub;
просматривать информацию о федерациях удостоверений в организации;
просматривать информацию о сертификатах федераций удостоверений;
просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях;
просматривать информацию об атрибутах федеративных пользователей;
просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
просматривать информацию об атрибутах локальных пользователей, входящих в пулы пользователей;
просматривать события аудита пользователя;
просматривать информацию о доменах, привязанных к пулам пользователей;
просматривать информацию о SAML-приложениях и OIDC-приложениях, а также о назначенных правах доступа к ним;
просматривать список пользователей, добавленных в SAML-приложения и OIDC-приложения;
получать сертификаты SAML-приложений;
просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации;
просматривать информацию о политиках MFA;
просматривать информацию о настройках OS Login организации;
просматривать список профилей OS Login пользователей и сервисных аккаунтов;
просматривать список SSH-ключей пользователей организации, а также информацию об SSH-ключах;
просматривать информацию о группах пользователей и о назначенных правах доступа к таким группам;
просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений и пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать информацию о подписке на платные возможности сервиса Identity Hub;
просматривать информацию о статистике использования квот по подписке на платные возможности сервиса Identity Hub;
просматривать список пользователей, которые в текущем отчетном периоде используют квоту для аутентификации в Identity Hub;
просматривать информацию о refresh-токенах пользователей организации, а также о настройках refresh-токенов в организации;
просматривать информацию о квотах сервиса Identity Hub;
просматривать информацию о действующем тарифном плане технической поддержки;
просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения и закрывать их.

Включает разрешения, предоставляемые ролями organization-manager.auditor, organization-manager.federations.viewer, organization-manager.users.viewer, organization-manager.samlApplications.viewer, organization-manager.oauthApplications.viewer, organization-manager.userpools.viewer и organization-manager.idpInstances.billingViewer.

organization-manager.editor

Роль organization-manager.editor позволяет управлять настройками организации, федерациями удостоверений, пулами пользователей, SAML-приложениями, OIDC-приложениями, а также пользователями и их группами.

Пользователи с этой ролью могут:

просматривать и изменять информацию об организации Identity Hub;
просматривать и изменять настройки организации;
просматривать информацию о назначенных правах доступа к организации;
просматривать политики авторизации, назначенные на организацию;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать информацию о правах доступа, назначенных субъектам в организации Identity Hub;
просматривать информацию о федерациях удостоверений в организации, а также создавать, изменять и удалять федерации удостоверений;
добавлять и удалять федеративных пользователей;
просматривать информацию о сертификатах федераций удостоверений, а также добавлять, изменять и удалять такие сертификаты;
настраивать сопоставление групп федеративных пользователей;
просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях, а также создавать, изменять и удалять такие списки сопоставлений;
просматривать информацию об атрибутах федеративных пользователей, а также создавать и удалять такие атрибуты;
просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
создавать, изменять и удалять пулы пользователей;
просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
создавать, удалять, активировать и деактивировать локальных пользователей, входящих в пулы пользователей;
просматривать информацию об атрибутах локальных пользователей;
просматривать события аудита пользователя;
изменять данные пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
просматривать информацию о SAML-приложениях и OIDC-приложениях, а также о назначенных правах доступа к ним;
создавать, деактивировать, активировать, изменять и удалять SAML-приложения и OIDC-приложения;
просматривать список пользователей, добавленных в SAML-приложения и OIDC-приложения;
получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации, и изменять этот список;
просматривать информацию о политиках MFA, а также создавать, изменять, активировать, деактивировать и удалять такие политики;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
просматривать информацию о настройках OS Login организации;
просматривать список профилей OS Login пользователей и сервисных аккаунтов;
просматривать список SSH-ключей пользователей организации, а также информацию об SSH-ключах;
просматривать информацию о группах пользователей, а также создавать, изменять и удалять группы пользователей;
просматривать информацию о назначенных правах доступа к группам пользователей;
просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений и пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать информацию о подписке на платные возможности сервиса Identity Hub;
просматривать информацию о статистике использования квот по подписке на платные возможности сервиса Identity Hub;
просматривать список пользователей, которые в текущем отчетном периоде используют квоту для аутентификации в Identity Hub;
просматривать и изменять настройки refresh-токенов в организации;
просматривать информацию о refresh-токенах пользователей организации и отзывать такие refresh-токены;
просматривать информацию о квотах сервиса Identity Hub;
просматривать информацию о действующем тарифном плане технической поддержки;
просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения и закрывать их.

Включает разрешения, предоставляемые ролями organization-manager.viewer, organization-manager.federations.editor, organization-manager.userpools.editor, organization-manager.samlApplications.editor, organization-manager.oauthApplications.editor и organization-manager.groups.editor.

Для настройки сопоставления групп пользователей роль должна быть назначена на те группы в Identity Hub, которые вы будете сопоставлять.

organization-manager.admin

Роль organization-manager.admin позволяет управлять настройками организации, федерациями удостоверений, пулами пользователей, SAML-приложениями, OIDC-приложениями, пользователями и их группами, а также правами доступа пользователей к организации и ресурсам в ней.

Пользователи с этой ролью могут:

привязывать платежный аккаунт к организации Identity Hub;
просматривать и изменять информацию об организации Identity Hub;
просматривать и изменять настройки организации;
просматривать информацию о назначенных правах доступа к организации и изменять такие права доступа;
просматривать политики авторизации, назначенные на организацию, а также назначать и отзывать такие политики;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать информацию о правах доступа, назначенных субъектам в организации Identity Hub;
исключать пользователей из организации;
просматривать информацию об отправленных пользователям приглашениях в организацию, а также отправлять и удалять такие приглашения;
просматривать информацию о федерациях удостоверений в организации, а также создавать, изменять и удалять федерации удостоверений;
добавлять и удалять федеративных пользователей;
просматривать информацию о сертификатах федераций удостоверений, а также добавлять, изменять и удалять такие сертификаты;
настраивать сопоставление групп федеративных пользователей;
просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях, а также создавать, изменять и удалять такие списки сопоставлений;
просматривать информацию об атрибутах федеративных пользователей, а также создавать и удалять такие атрибуты;
просматривать информацию о пулах пользователей, а также создавать, изменять и удалять их;
просматривать информацию о назначенных правах доступа к пулам пользователей и изменять такие права доступа;
просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
создавать, удалять, активировать и деактивировать локальных пользователей, входящих в пулы пользователей;
просматривать информацию об атрибутах локальных пользователей;
просматривать события аудита пользователя;
изменять данные пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
просматривать информацию о SAML-приложениях и OIDC-приложениях, а также создавать, деактивировать, активировать, изменять и удалять их;
просматривать информацию о назначенных правах доступа к SAML-приложениям и OIDC-приложениям, а также изменять такие права доступа;
просматривать и изменять список пользователей, добавленных в SAML-приложения и OIDC-приложения;
получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
просматривать список пользователей организации, подписанных на получение технических уведомлений о событиях в организации, и изменять этот список;
просматривать информацию о политиках MFA, а также создавать, изменять, активировать, деактивировать и удалять такие политики;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
просматривать информацию о настройках OS Login организации и изменять такие настройки;
просматривать список профилей OS Login пользователей и сервисных аккаунтов, а также создавать, изменять и удалять профили OS Login;
просматривать список SSH-ключей пользователей организации и информацию об SSH-ключах, а также создавать, изменять и удалять SSH-ключи пользователей;
просматривать информацию о группах пользователей, а также создавать, изменять и удалять группы пользователей;
добавлять пользователей и сервисные аккаунты в группы пользователей и удалять их из групп;
просматривать информацию о назначенных правах доступа к группам пользователей и изменять такие права доступа;
просматривать список групп, в которые входит тот или иной пользователь, а также список пользователей, которые входят в ту или иную группу;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений и пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать состав участников групп пользователей Identity Hub, связанных с пользовательскими группами в каталоге Active Directory или другом внешнем источнике, а также управлять составом участников таких групп;
привязывать группы пользователей к федерациям удостоверений и пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике, а также отвязывать их;
изменять и удалять группы пользователей Identity Hub, связанные с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
привязывать сервис Identity Hub к платежному аккаунту;
просматривать информацию о подписке на платные возможности сервиса Identity Hub;
просматривать информацию о статистике использования квот по подписке на платные возможности сервиса Identity Hub, а также изменять эти квоты;
просматривать список пользователей, которые в текущем отчетном периоде используют квоту для аутентификации в Identity Hub;
просматривать и изменять настройки refresh-токенов в организации;
просматривать информацию о refresh-токенах пользователей организации и отзывать такие refresh-токены;
просматривать информацию о квотах сервиса Identity Hub;
просматривать информацию о действующем тарифном плане технической поддержки;
просматривать список обращений в техническую поддержку и информацию о них, а также создавать такие обращения, оставлять в них комментарии и вложения и закрывать их;
просматривать, создавать, изменять и удалять репозитории SourceCraft;
читать файлы из репозитория SourceCraft;
просматривать, создавать, изменять и удалять предложения изменений в репозиториях SourceCraft;
выполнять слияние правок из предложения изменений в репозиториях SourceCraft;
вносить изменения в обычные и защищенные ветки репозитория SourceCraft;
просматривать, создавать и изменять публичные и приватные задачи (issues) в репозиториях SourceCraft;
изменять тип доступа к задачам в репозиториях SourceCraft;
оставлять реакции к задачам в репозиториях SourceCraft;
просматривать, создавать, изменять, удалять и отмечать выполненными комментарии к предложениям изменений, публичным и приватным задачам в репозиториях SourceCraft;
просматривать, создавать, изменять и удалять метки в репозиториях SourceCraft;
управлять доступом к репозиторию SourceCraft;
просматривать, получать, создавать, изменять и удалять секреты в репозиториях SourceCraft.

Включает разрешения, предоставляемые ролями organization-manager.editor, organization-manager.federations.admin, organization-manager.osLogins.admin, organization-manager.userpools.admin, organization-manager.samlApplications.admin, organization-manager.oauthApplications.admin, organization-manager.groups.memberAdmin, organization-manager.groups.externalCreator, organization-manager.groups.externalManager, organization-manager.idpInstances.billingAdmin и src.repositories.admin.

organization-manager.organizations.owner

Роль organization-manager.organizations.owner позволяет совершать любые действия с любыми ресурсами в организации и с платежными аккаунтами, в том числе создавать платежные аккаунты и привязывать их к облакам. Роль также позволяет назначать дополнительных владельцев организации.

Прежде чем назначить эту роль, ознакомьтесь с информацией о защите привилегированных аккаунтов.

organization-manager.federations.extGroupsViewer

Роль organization-manager.federations.extGroupsViewer позволяет просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений в процессе синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике.

organization-manager.federations.extGroupsManager

Роль organization-manager.federations.extGroupsManager позволяет просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений в процессе синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике, а также привязывать такие группы к федерациям удостоверений.

Включает разрешения, предоставляемые ролью organization-manager.federations.extGroupsViewer.

organization-manager.federations.extGroupsCleaner

Роль organization-manager.federations.extGroupsCleaner позволяет просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений в процессе синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике, а также отвязывать такие группы от федераций удостоверений.

Включает разрешения, предоставляемые ролью organization-manager.federations.extGroupsViewer.

organization-manager.federations.auditor

Роль organization-manager.federations.auditor позволяет просматривать информацию об организации и ее настройках, о федерациях удостоверений и пользователях организации.

Пользователи с этой ролью могут:

просматривать информацию об организации Identity Hub и ее настройках;
просматривать информацию о федерациях удостоверений;
просматривать информацию о сертификатах;
просматривать списки сопоставлений групп пользователей и информацию о таких сопоставлениях;
просматривать список пользователей организации и сведения в профилях пользователей (кроме номера телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать список групп, в которые входят пользователи;
просматривать атрибуты федеративных и локальных пользователей.

organization-manager.federations.viewer

Роль organization-manager.federations.viewer позволяет просматривать информацию об организации и ее настройках, о федерациях удостоверений и пользователях организации.

Пользователи с этой ролью могут:

просматривать информацию об организации Identity Hub и ее настройках;
просматривать информацию о федерациях удостоверений;
просматривать информацию о сертификатах;
просматривать списки сопоставлений групп пользователей и информацию о таких сопоставлениях;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату их последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать список групп, в которые входят пользователи;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролями organization-manager.federations.auditor и organization-manager.federations.extGroupsViewer.

organization-manager.federations.editor

Роль organization-manager.federations.editor позволяет управлять федерациями удостоверений, федеративными пользователями и сертификатами, а также просматривать информацию об организации, ее настройках и пользователях.

Пользователи с этой ролью могут:

просматривать информацию об организации Identity Hub и ее настройках;
просматривать информацию о федерациях удостоверений, а также создавать, изменять и удалять такие федерации;
просматривать информацию о сертификатах, а также создавать, изменять и удалять их;
добавлять и удалять федеративных пользователей;
отзывать refresh-токены федеративных пользователей;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
настраивать сопоставление групп федеративных пользователей;
просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях, а также создавать, изменять и удалять такие списки сопоставлений;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату их последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать список групп, в которые входят пользователи;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролями organization-manager.federations.viewer и organization-manager.federations.userAdmin.

organization-manager.federations.userAdmin

Роль organization-manager.federations.userAdmin позволяет добавлять федеративных пользователей в организацию и удалять их, отзывать refresh-токены, управлять факторами MFA пользовательских аккаунтов, а также просматривать список пользователей организации и данные их профилей.

Пользователи с этой ролью могут:

добавлять и удалять федеративных пользователей;
отзывать refresh-токены федеративных пользователей;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
просматривать список пользователей организации, сведения в профилях пользователей (включая номер телефона), дату их последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать список групп, в которые входят пользователи;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролью iam.userAccounts.refreshTokenRevoker.

organization-manager.federations.admin

Роль organization-manager.federations.admin позволяет управлять федерациями удостоверений, федеративными пользователями и сертификатами, а также просматривать информацию об организации, ее настройках и пользователях.

Пользователи с этой ролью могут:

просматривать информацию об организации Identity Hub и ее настройках;
просматривать информацию о федерациях удостоверений, а также создавать, изменять и удалять такие федерации;
просматривать информацию о сертификатах, а также создавать, изменять и удалять их;
добавлять и удалять федеративных пользователей;
отзывать refresh-токены федеративных пользователей;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
настраивать сопоставление групп федеративных пользователей;
просматривать списки сопоставлений групп федеративных пользователей и информацию о таких сопоставлениях, а также создавать, изменять и удалять такие списки сопоставлений;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату их последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать список групп, в которые входят пользователи;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к федерациям удостоверений в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
привязывать группы пользователей к федерациям удостоверений в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике, а также отвязывать их;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролями organization-manager.federations.editor, organization-manager.federations.extGroupsManager и organization-manager.federations.extGroupsCleaner.

organization-manager.osLogins.viewer

Роль organization-manager.osLogins.viewer позволяет просматривать информацию о настройках OS Login организации и список профилей OS Login пользователей и сервисных аккаунтов, а также просматривать список SSH-ключей пользователей и информацию об SSH-ключах.

organization-manager.osLogins.admin

Роль organization-manager.osLogins.admin позволяет управлять настройками OS Login организации, а также профилями OS Login и SSH-ключами пользователей.

Пользователи с этой ролью могут:

просматривать информацию о настройках OS Login организации и изменять такие настройки;
просматривать список профилей OS Login пользователей организации и сервисных аккаунтов, а также создавать, изменять и удалять профили OS Login;
просматривать список SSH-ключей пользователей организации и информацию об SSH-ключах, а также создавать, изменять и удалять SSH-ключи пользователей.

Включает разрешения, предоставляемые ролью organization-manager.osLogins.viewer.

organization-manager.groups.externalCreator

Роль organization-manager.groups.externalCreator позволяет создавать группы пользователей Identity Hub при выполнении синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике.

organization-manager.groups.externalConverter

Роль organization-manager.groups.externalConverter позволяет добавлять в группы пользователей Identity Hub атрибут с идентификатором внешней группы при выполнении синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике.

organization-manager.groups.externalManager

Роль organization-manager.groups.externalManager позволяет управлять группами пользователей Identity Hub, связанными с группами пользователей в каталоге Active Directory или другом внешнем источнике.

Пользователи с этой ролью могут:

связывать группы пользователей Identity Hub с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
изменять и удалять группы пользователей Identity Hub, связанные с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать состав участников групп пользователей Identity Hub, связанных с пользовательскими группами в каталоге Active Directory или другом внешнем источнике, а также управлять составом участников таких групп;
просматривать информацию о назначенных правах доступа к группам пользователей в Identity Hub.

organization-manager.groups.editor

Роль organization-manager.groups.editor позволяет управлять группами пользователей.

Роль назначается на организацию или группу пользователей.

Пользователи с этой ролью могут:

просматривать информацию о группах пользователей, а также создавать, изменять и удалять такие группы;
просматривать список пользователей и сервисных аккаунтов, входящих в группы пользователей;
просматривать информацию о назначенных правах доступа к группам пользователей.

organization-manager.groups.memberAdmin

Роль organization-manager.groups.memberAdmin позволяет просматривать информацию о группах пользователей, а также просматривать и изменять списки пользователей и сервисных аккаунтов, входящих в группы.

organization-manager.groups.admin

Роль organization-manager.groups.admin позволяет управлять группами пользователей и их участниками, а также доступом к ним.

Роль назначается на организацию или группу пользователей.

Пользователи с этой ролью могут:

просматривать информацию о группах пользователей, а также создавать, изменять и удалять такие группы;
просматривать информацию о назначенных правах доступа к группам пользователей и изменять такие права доступа;
просматривать список пользователей и сервисных аккаунтов, входящих в группы пользователей;
добавлять пользователей и сервисные аккаунты в группы пользователей и удалять их из таких групп.

Включает разрешения, предоставляемые ролями organization-manager.groups.editor и organization-manager.groups.memberAdmin.

organization-manager.users.viewer

Роль organization-manager.users.viewer позволяет просматривать список пользователей организации, информацию о них (включая номер телефона), дату их последней аутентификации, атрибуты и дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации, а также списки групп, в которые входят пользователи.

organization-manager.passportUserAdmin

Роль organization-manager.passportUserAdmin позволяет просматривать информацию о пользователях организации, а также приглашать в организацию и исключать из нее пользователей с аккаунтами на Яндексе.

Пользователи с этой ролью могут:

приглашать, в том числе повторно, в организацию новых пользователей с аккаунтами на Яндексе, а также просматривать и удалять отправленные приглашения;
удалять аккаунты пользователей из организации;
просматривать список пользователей организации и сведения в профилях пользователей (кроме номера телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать атрибуты федеративных и локальных пользователей организации.

organization-manager.oauthApplications.auditor

Роль organization-manager.oauthApplications.auditor позволяет просматривать информацию об OIDC-приложениях и назначенных правах доступа к ним, а также просматривать список пользователей, добавленных в OIDC-приложения.

organization-manager.oauthApplications.viewer

Роль organization-manager.oauthApplications.viewer позволяет просматривать информацию об OIDC-приложениях и назначенных правах доступа к ним, а также просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролью organization-manager.oauthApplications.auditor.

organization-manager.oauthApplications.editor

Роль organization-manager.oauthApplications.editor позволяет управлять OIDC-приложениями и просматривать добавленных в них пользователей.

Пользователи с этой ролью могут:

просматривать информацию об OIDC-приложениях и назначенных правах доступа к ним;
создавать, деактивировать, активировать, изменять и удалять OIDC-приложения;
просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролью organization-manager.oauthApplications.viewer.

organization-manager.oauthApplications.userAdmin

Роль organization-manager.oauthApplications.userAdmin позволяет просматривать и изменять список пользователей, добавленных в OIDC-приложение.

organization-manager.oauthApplications.admin

Роль organization-manager.oauthApplications.admin позволяет управлять OIDC-приложениями и доступом к ним, а также пользователями, добавленными в OIDC-приложения.

Пользователи с этой ролью могут:

просматривать информацию об OIDC-приложениях, а также создавать, деактивировать, активировать, изменять и удалять их;
просматривать информацию о назначенных правах доступа к OIDC-приложениям и изменять такие права доступа;
просматривать и изменять список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролями organization-manager.oauthApplications.editor и organization-manager.oauthApplications.userAdmin.

organization-manager.samlApplications.auditor

Роль organization-manager.samlApplications.auditor позволяет просматривать информацию о SAML-приложениях и назначенных правах доступа к ним, просматривать список пользователей, добавленных в SAML-приложения, а также получать сертификаты SAML-приложений.

organization-manager.samlApplications.viewer

Роль organization-manager.samlApplications.viewer позволяет просматривать информацию о SAML-приложениях и назначенных правах доступа к ним, просматривать список пользователей, добавленных в SAML-приложения, а также получать сертификаты SAML-приложений.

Включает разрешения, предоставляемые ролью organization-manager.samlApplications.auditor.

organization-manager.samlApplications.editor

Роль organization-manager.samlApplications.editor позволяет управлять SAML-приложениями и просматривать добавленных в них пользователей.

Пользователи с этой ролью могут:

просматривать информацию о SAML-приложениях и назначенных правах доступа к ним;
создавать, деактивировать, активировать, изменять и удалять SAML-приложения;
получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
просматривать список пользователей, добавленных в SAML-приложения;
просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролью organization-manager.samlApplications.viewer.

organization-manager.samlApplications.userAdmin

Роль organization-manager.samlApplications.userAdmin позволяет просматривать и изменять список пользователей, добавленных в SAML-приложение.

organization-manager.samlApplications.admin

Роль organization-manager.samlApplications.admin позволяет управлять SAML-приложениями и доступом к ним, а также пользователями, добавленными в SAML-приложения.

Пользователи с этой ролью могут:

просматривать информацию о SAML-приложениях, а также создавать, деактивировать, активировать, изменять и удалять их;
просматривать информацию о назначенных правах доступа к SAML-приложениям и изменять такие права доступа;
получать сертификаты SAML-приложений, а также создавать, изменять и удалять такие сертификаты;
просматривать и изменять список пользователей, добавленных в SAML-приложения;
просматривать список пользователей, добавленных в OIDC-приложения.

Включает разрешения, предоставляемые ролями organization-manager.samlApplications.editor и organization-manager.samlApplications.userAdmin.

organization-manager.userpools.extGroupsViewer

Роль organization-manager.userpools.extGroupsViewer позволяет просматривать список и информацию о группах пользователей Identity Hub, привязанных к пулам пользователей в процессе синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике.

organization-manager.userpools.extGroupsManager

Роль organization-manager.userpools.extGroupsManager позволяет просматривать список и информацию о группах пользователей Identity Hub, привязанных к пулам пользователей в процессе синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике, а также привязывать такие группы к пулам пользователей.

Включает разрешения, предоставляемые ролью organization-manager.userpools.extGroupsViewer.

organization-manager.userpools.extGroupsCleaner

Роль organization-manager.userpools.extGroupsCleaner позволяет просматривать список и информацию о группах пользователей Identity Hub, привязанных к пулам пользователей в процессе синхронизации с группами пользователей в каталоге Active Directory или другом внешнем источнике, а также отвязывать такие группы от пулов пользователей.

Включает разрешения, предоставляемые ролью organization-manager.userpools.extGroupsViewer.

organization-manager.userpools.syncAgent

Роль organization-manager.userpools.syncAgent позволяет выполнять синхронизацию пользователей и групп Identity Hub с пользователями и группами в каталоге Active Directory или другом внешнем источнике.

Пользователи с этой ролью могут:

просматривать информацию о сессиях синхронизации агента Identity Hub AD Sync Agent с сервисом Identity Hub, а также создавать и изменять такие сессии;
просматривать информацию о пулах пользователей и о настройках синхронизации в пулах пользователей;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
привязывать группы пользователей к пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать информацию о пользователях Identity Hub, создавать, изменять, активировать, деактивировать, удалять пользователей, а также изменять пароли и другие данные пользователей Identity Hub.

Включает разрешения, предоставляемые ролью organization-manager.userpools.extGroupsManager.

organization-manager.userpools.auditor

Роль organization-manager.userpools.auditor позволяет просматривать информацию о пулах пользователей и пользователях организации.

Пользователи с этой ролью могут:

просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
просматривать информацию о доменах, привязанных к пулам пользователей;
просматривать список пользователей организации и сведения в профилях пользователей (кроме номера телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать список групп, в которые входят пользователи;
просматривать атрибуты федеративных и локальных пользователей.

organization-manager.userpools.viewer

Роль organization-manager.userpools.viewer позволяет просматривать информацию о пулах пользователей, а также список пользователей организации и информацию о них.

Пользователи с этой ролью могут:

просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
просматривать информацию о доменах, привязанных к пулам пользователей;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
просматривать события аудита пользователя;
просматривать список групп, в которые входят пользователи;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролями organization-manager.userpools.auditor и organization-manager.userpools.extGroupsViewer.

organization-manager.userpools.editor

Роль organization-manager.userpools.editor позволяет управлять пулами пользователей и входящими в них пользователями.

Пользователи с этой ролью могут:

просматривать информацию о пулах пользователей и назначенных правах доступа к ним;
создавать, изменять и удалять пулы пользователей;
просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
создавать, удалять, активировать и деактивировать локальных пользователей, входящих в пулы пользователей;
изменять данные пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
отзывать refresh-токены пользователей;
просматривать события аудита пользователя;
просматривать список групп, в которые входят пользователи;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролями organization-manager.userpools.userAdmin и organization-manager.userpools.viewer.

organization-manager.userpools.userAdmin

Роль organization-manager.userpools.userAdmin позволяет управлять локальными пользователями организации, входящими в пулы пользователей.

Пользователи с этой ролью могут:

просматривать список пользователей организации, информацию о них (включая номер телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
создавать, удалять, активировать и деактивировать локальных пользователей, входящих в пулы пользователей;
изменять данные пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
отзывать refresh-токены пользователей;
просматривать список групп, в которые входят пользователи;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролью iam.userAccounts.refreshTokenRevoker.

organization-manager.userpools.admin

Роль organization-manager.userpools.admin позволяет управлять пулами пользователей и доступом к ним, а также управлять входящими в них пользователями.

Пользователи с этой ролью могут:

просматривать информацию о пулах пользователей, а также создавать, изменять и удалять пулы пользователей;
просматривать информацию о назначенных правах доступа к пулам пользователей и изменять такие права доступа;
просматривать информацию о доменах, привязанных к пулам пользователей, а также добавлять, подтверждать и удалять домены;
просматривать список пользователей организации, информацию о них (включая номер телефона), дату последней аутентификации, а также дату последней верификации федеративных и локальных аккаунтов с помощью двухфакторной аутентификации;
создавать, удалять, активировать и деактивировать локальных пользователей, входящих в пулы пользователей;
изменять данные пользователей: имя пользователя, пароль, домен, адрес электронной почты, а также ФИО и телефон;
удалять факторы MFA федеративных и локальных аккаунтов пользователей;
сбрасывать дату верификации федеративных и локальных аккаунтов пользователей;
отзывать refresh-токены пользователей;
просматривать события аудита пользователя;
просматривать список групп, в которые входят пользователи;
просматривать список и информацию о группах пользователей Identity Hub, привязанных к пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике;
привязывать группы пользователей к пулам пользователей в процессе синхронизации с пользовательскими группами в каталоге Active Directory или другом внешнем источнике, а также отвязывать их;
просматривать атрибуты федеративных и локальных пользователей.

Включает разрешения, предоставляемые ролями organization-manager.userpools.editor, organization-manager.userpools.extGroupsManager и organization-manager.userpools.extGroupsCleaner.

organization-manager.idpInstances.billingViewer

Роль organization-manager.idpInstances.billingViewer позволяет просматривать список пользователей, которые в текущем отчетном периоде используют квоту для аутентификации в Identity Hub, а также информацию о подписке на платные возможности сервиса Identity Hub и статистике использования квот по этой подписке.

organization-manager.idpInstances.billingAdmin

Роль organization-manager.idpInstances.billingAdmin позволяет управлять подпиской на платные возможности сервиса Identity Hub.

Пользователи с этой ролью могут:

привязывать сервис Identity Hub к платежному аккаунту;
просматривать информацию о подписке на платные возможности сервиса Identity Hub;
просматривать информацию о статистике использования квот по подписке на платные возможности сервиса Identity Hub, а также изменять эти квоты;
просматривать список пользователей, которые в текущем отчетном периоде используют квоту для аутентификации в Identity Hub.

Включает разрешения, предоставляемые ролью organization-manager.idpInstances.billingViewer.

Примитивные роли

Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.

auditor

Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.

Например, пользователи с этой ролью могут:

просматривать информацию о ресурсе;
просматривать метаданные ресурса;
просматривать список операций с ресурсом.

Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.

viewer

Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.

Включает разрешения, предоставляемые ролью auditor.

В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.

editor

Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.

Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.

Включает разрешения, предоставляемые ролью viewer.

admin

Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.

Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.

Включает разрешения, предоставляемые ролью editor.

Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.

Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.

Назначить пользователя администратором организации

Чтобы дать пользователю права на управление организацией, назначьте ему роль organization-manager.admin.

Назначить роль пользователю

Назначать роли в Yandex Identity Hub могут администраторы и владельцы организации. Вы можете назначать пользователям не только роли для управления организацией, но и роли для доступа к ресурсам облаков, подключенных к вашей организации.

О том, какие роли доступны в Yandex Cloud и какие разрешения в них входят, читайте в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

Интерфейс Cloud Center

CLI

Terraform

API

Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.
На панели слева выберите Права доступа.
Если у нужного пользователя уже есть хотя бы одна роль, в строке с этим пользователем нажмите значок и выберите Назначить роли.

Если нужного пользователя нет в списке, в правом верхнем углу страницы нажмите кнопку Назначить роли. В открывшемся окне выберите пользователя из списка или воспользуйтесь строкой поиска.
Нажмите кнопку Добавить роль и выберите роль, которую хотите назначить пользователю. Вы можете назначить несколько ролей.

Описание доступных ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.
Нажмите кнопку Сохранить.

Выберите роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.
Получите идентификатор пользователя.
Назначьте роль с помощью команды:
```
yc <имя_сервиса> <ресурс> add-access-binding <имя_или_идентификатор_ресурса> \
    --role <идентификатор_роли> \
    --subject <тип_субъекта>:<идентификатор_субъекта>
```
- <имя_сервиса> — имя сервиса, на чей ресурс назначается роль, например organization-manager.
- <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
- <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.
- --role — идентификатор роли, например organization-manager.admin.
- --subject — тип и идентификатор субъекта, которому назначается роль.
Например, назначьте роль администратора для организации с идентификатором bpf3crucp1v2********:
```
yc organization-manager organization add-access-binding bpf3crucp1v2******** \
    --role organization-manager.admin \
    --subject userAccount:aje6o61dvog2********
```

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Опишите в конфигурационном файле параметры назначаемых ролей:
- organization_id — идентификатор организации.
- role — роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud. Для каждой роли можно использовать только один yandex_organization manager_organization_iam_binding.
- members — массив идентификаторов пользователей, которым будет назначена роль:
  - userAccount:{user_id} — идентификатор аккаунта пользователя на Яндексе.
  - serviceAccount:{service_account_id} — идентификатор сервисного аккаунта.
  - federatedUser:{federated_user_id} — идентификатор федеративного пользователя.
Пример структуры конфигурационного файла:
```
resource "yandex_organizationmanager_organization_iam_binding" "editor" {
  organization_id = "<идентификатор_организации>"
  role = "editor"
  members = [
   "federatedUser:<идентификатор_пользователя>",
  ]
}
```
Более подробную информацию о ресурсах, которые вы можете создать с помощью Terraform, см. в документации провайдера.
Проверьте корректность конфигурационных файлов.
1. В командной строке перейдите в папку, где вы создали конфигурационный файл.
2. Выполните проверку с помощью команды:
```
terraform plan
```
Если конфигурация описана верно, в терминале отобразится список назначенных ролей. Если в конфигурации есть ошибки, Terraform на них укажет.
Назначьте роли.

Если в конфигурации нет ошибок, выполните команду:
```
terraform apply
```
После этого в указанной организации будут назначены роли.

Воспользуйтесь методом updateAccessBindings для соответствующего ресурса.

Выберите роль, которую хотите назначить. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.
Получите идентификатор пользователя.

Сформируйте тело запроса, например, в файле body.json. В свойстве action укажите ADD, а в свойстве subject — тип userAccount и идентификатор пользователя:

Пример файла body.json:

{
  "accessBindingDeltas": [{
    "action": "ADD",
    "accessBinding": {
      "roleId": "organization-manager.admin",
      "subject": {
        "id": "gfei8n54hmfh********",
        "type": "userAccount"
      }
    }
  }]
}

Назначьте роль. Например, для организации с идентификатором bpf3crucp1v2********:
```
export ORGANIZATION_ID=bpf3crucp1v2********
export IAM_TOKEN=CggaAT********
curl \
  --request POST \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ${IAM_TOKEN}" \
  --data '@body.json' \
  "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"
```
Вы можете ознакомиться с подробной инструкцией назначения роли для соответствующего ресурса в документации Yandex Identity and Access Management и Yandex Resource Manager:

Аналогичным образом можно назначить роль на организацию сервисному аккаунту.

Отозвать роль у пользователя

Если вы хотите запретить пользователю доступ к ресурсу, отзовите у него соответствующие роли на этот ресурс и на ресурсы, от которых наследуются права доступа. Подробнее об управлении доступом в Yandex Cloud читайте в документации Yandex Identity and Access Management.

Отозвать роль может пользователь с ролью администратора organization-manager.admin или владельца organization-manager.organizations.owner организации. О том, как назначить пользователю роль, читайте в разделе Роли.

Интерфейс Cloud Center

CLI

API

Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.
На панели слева выберите Права доступа.
Найдите в списке нужного пользователя. При необходимости воспользуйтесь строкой поиска или фильтром.
В строке с нужным пользователем нажмите значок и выберите Назначить роли. В открывшемся окне:
1. Нажмите значок рядом с ролью, чтобы удалить ее.
2. Нажмите кнопку Сохранить.

Чтобы отозвать роль у субъекта, удалите права доступа для соответствующего ресурса:

Посмотрите, кому и какие роли назначены на ресурс:
```
yc <имя_сервиса> <ресурс> list-access-bindings <имя_или_идентификатор_ресурса>
```
- <имя_сервиса> — имя сервиса, которому принадлежит ресурс, например organization-manager.
- <ресурс> — категория ресурса. Для организации всегда имеет значение organization.
- <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса. Для организации в качестве имени используйте техническое название.
Например, посмотрите, кому и какие роли назначены в организации с идентификатором bpf3crucp1v2********:
```
yc organization-manager organization list-access-bindings bpf3crucp1v2********
```
Результат:
```
+------------------------------------------+--------------+----------------------+
|                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
+------------------------------------------+--------------+----------------------+
| organization-manager.organizations.owner | userAccount  | aje3r40rsemj******** |
| organization-manager.admin               | userAccount  | aje6o61dvog2******** |
+------------------------------------------+--------------+----------------------+
```
Чтобы удалить права доступа, выполните команду:
```
yc <имя_сервиса> <ресурс> remove-access-binding <имя_или_идентификатор_ресурса> \
    --role <идентификатор_роли> \
    --subject <тип_субъекта>:<идентификатор_субъекта>
```
- --role — идентификатор роли, которую надо отозвать, например organization-manager.admin.
- --subject — тип и идентификатор субъекта, у которого отзывается роль.
Например, чтобы отозвать роль у пользователя с идентификатором aje6o61dvog2********:
```
yc organization-manager organization remove-access-binding bpf3crucp1v2******** \
    --role organization-manager.admin \
    --subject userAccount:aje6o61dvog2********
```

Чтобы отозвать роль у субъекта, удалите права доступа для соответствующего ресурса:

Посмотрите, кому и какие роли назначены на ресурс с помощью метода listAccessBindings. Например, чтобы посмотреть роли в организации с идентификатором bpf3crucp1v2********:

export ORGANIZATION_ID=bpf3crucp1v2********
export IAM_TOKEN=CggaAT********
curl \
  --header "Authorization: Bearer ${IAM_TOKEN}" \
  "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:listAccessBindings"

Результат:

{
"accessBindings": [
{
  "subject": {
  "id": "aje6o61dvog2********",
  "type": "userAccount"
  },
  "roleId": "organization-manager.admin"
}
]
}

Сформируйте тело запроса, например в файле body.json. В теле запроса укажите, какие права доступа необходимо удалить. Например, отзовите у пользователя aje6o61dvog2******** роль organization-manager.admin:

Пример файла body.json:
```
{
  "accessBindingDeltas": [{
    "action": "REMOVE",
    "accessBinding": {
      "roleId": "organization-manager.admin",
      "subject": {
        "id": "aje6o61dvog2********",
        "type": "userAccount"
      }
    }
  }]
}
```

Отзовите роль, удалив указанные права доступа:

export ORGANIZATION_ID=bpf3crucp1v2********
export IAM_TOKEN=CggaAT********
curl \
  --request POST \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ${IAM_TOKEN}" \
  --data '@body.json' \
  "https://organization-manager.api.cloud.yandex.net/organization-manager/v1/organizations/${ORGANIZATION_ID}:updateAccessBindings"

Назначить роль группе пользователей

Назначьте группе пользователей роль, чтобы предоставить доступ к какому-либо ресурсу. Воспользуйтесь инструкцией Настроить доступ к управлению группой, чтобы дать субъекту права на доступ к группе.

В сервисе Yandex Identity Hub группе можно назначить роль на организацию, облако, каталог, другую группу или сервисный аккаунт.

Назначить роль на облако или каталог

Консоль управления

CLI

Terraform

API

Войдите в консоль управления с учетной записью администратора или владельца облака.
В левой части экрана нажмите на строку с именем облака или каталога, на который вы хотите назначить роль группе пользователей.
В верхней части экрана перейдите на вкладку Права доступа и нажмите кнопку Настроить доступ. В открывшемся окне:
1. Перейдите на вкладку Группы и выберите группу или воспользуйтесь поиском по названию группы.
  
  Вы также можете назначить роль одной из системных групп:
  - All users in organization X — в группу входят все пользователи организации X.
  - All users in federation N — в группу входят все пользователи федерации N.
2. Нажмите кнопку Добавить роль и выберите роль, которую хотите назначить группе на облако или каталог, который вы выбрали ранее. Вы можете назначить несколько ролей.
3. Нажмите Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Выберите роль из справочника ролей Yandex Cloud.
Назначьте роль с помощью команды:
```
yc <имя_сервиса> <ресурс> add-access-binding <имя_или_идентификатор_ресурса> \
  --role <идентификатор_роли> \
  --subject group:<идентификатор_группы>
```
Где:
- --role — идентификатор роли, например, resource-manager.clouds.owner.
- --subject group — идентификатор группы, которой назначается роль.
  
  Для того чтобы назначить роль одной из системных групп, вместо параметра --subject используйте параметр --organization-users <идентификатор_организации> или --federation-users <идентификатор_федерации>, передав в нем соответственно идентификатор организации или федерации удостоверений, всем пользователям, которым вы хотите назначить роль.
  
  Вы также можете назначить роль системной группе с помощью параметра --subject. Для этого передайте в нем идентификатор субъекта, соответствующий выбранной системной группе.
Например, назначьте роль resource-manager.viewer на облако mycloud:
```
yc resource-manager cloud add-access-binding mycloud \
  --role resource-manager.viewer \
  --subject group:aje6o61dvog2********
```

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Добавьте в конфигурационный файл параметры ресурса, укажите нужную роль и группу:
```
resource "yandex_resourcemanager_cloud_iam_member" "admin" {
  cloud_id    = "<идентификатор_облака>"
  role        = "<идентификатор_роли>"
  member      = "group:<идентификатор_группы>"
}
```
Где:
- cloud_id — идентификатор облака. Вы также можете назначить роль внутри отдельного каталога. Для этого вместо cloud_id укажите folder_id и нужный идентификатор каталога в параметрах ресурса.
- role — назначаемая роль. Обязательный параметр.
- member — группа, которой назначается роль. Указывается в виде group:<идентификатор_группы>. Обязательный параметр.
  
  Для того чтобы назначить роль одной из системных групп, в параметре member укажите:
  - system:group:organization:<идентификатор_организации>:users — чтобы назначить роль системной группе All users in organization X;
  - system:group:federation:<идентификатор_федерации>:users — чтобы назначить роль системной группе All users in federation N.
Более подробную информацию о параметрах ресурса yandex_resourcemanager_cloud_iam_member см. в документации провайдера.
Создайте ресурсы:
1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.
2. Проверьте корректность конфигурационного файла с помощью команды:
```
terraform validate
```
  Если конфигурация является корректной, появится сообщение:
```
Success! The configuration is valid.
```
3. Выполните команду:
```
terraform plan
```
  В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.
4. Примените изменения конфигурации:
```
terraform apply
```
5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.
После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:
```
terraform plan
```
Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.
Разверните облачные ресурсы.
1. Если в конфигурации нет ошибок, выполните команду:
```
terraform apply
```
2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.
После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурса можно в консоли управления или с помощью команды CLI:
```
yc resource-manager folder list-access-bindings <имя_или_идентификатор_папки>
```

Воспользуйтесь методом REST API updateAccessBindings для соответствующего ресурса.

Выберите роль из справочника ролей Yandex Cloud.

Сформируйте тело запроса, например в файле body.json. В свойстве action укажите ADD, а в свойстве subject - тип group и идентификатор группы:

body.json:

{
  "accessBindingDeltas": [{
    "action": "ADD",
    "accessBinding": {
      "roleId": "editor",
      "subject": {
        "id": "<идентификатор_группы>",
        "type": "group"
      }
    }
  }]
}

Назначьте роль сервисному аккаунту. Например, на каталог с идентификатором b1gvmob95yys********:

export FOLDER_ID=b1gvmob95yys********
export IAM_TOKEN=CggaAT********
curl \
  --request POST \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ${IAM_TOKEN}" \
  --data '@body.json' \
  "https://resource-manager.api.cloud.yandex.net/resource-manager/v1/folders/${FOLDER_ID}:updateAccessBindings"

Вы можете ознакомиться с подробной инструкцией назначения роли для соответствующего ресурса:

Назначить роль на организацию

Интерфейс Cloud Center

CLI

Terraform

Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.
На панели слева выберите Права доступа.
Справа сверху нажмите кнопку Назначить роли.
Перейдите на вкладку Группы и выберите группу или воспользуйтесь поиском по названию группы.

Вы также можете назначить роль одной из системных групп:
- All users in organization X — в группу входят все пользователи организации X.
- All users in federation N — в группу входят все пользователи федерации N.
Нажмите кнопку Добавить роль и выберите роль, которую хотите назначить группе на организацию. Вы можете назначить несколько ролей.
Нажмите кнопку Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

Назначьте роль для группы:
```
yc organization-manager organization add-access-binding \
  --subject group:<идентификатор_группы> \
  --role <идентификатор_роли> \
  --organization-users <идентификатор_организации> \
  --federation-users <идентификатор_федерации>
```
Для того чтобы назначить роль одной из системных групп, вместо параметра --subject используйте параметр --organization-users <идентификатор_организации> или --federation-users <идентификатор_федерации>. Передайте в нем соответственно идентификатор организации или федерации удостоверений, всем пользователям которых вы хотите назначить роль.

Вы также можете назначить роль системной группе с помощью параметра --subject. Для этого передайте в нем идентификатор субъекта, соответствующий выбранной системной группе.

Проверьте, что запрошенные права были выданы:

yc organization-manager organization list-access-bindings <идентификатор_организации>

Ответ содержит список всех ролей, выданных пользователям и группам в организации:

+------------------------------------------+--------------+----------------------+
|                 ROLE ID                  | SUBJECT TYPE |      SUBJECT ID      |
+------------------------------------------+--------------+----------------------+
| organization-manager.admin               | userAccount  | ajev1p2345lj******** |
| organization-manager.organizations.owner | userAccount  | ajev1p2345lj******** |
| editor                                   | group        | ajev1p2345lj******** |
| viewer                                   | group        | ajev1p2345lj******** |
+------------------------------------------+--------------+----------------------+

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Добавьте в конфигурационный файл параметры ресурса, укажите нужную роль и группу:
```
resource "yandex_organizationmanager_organization_iam_member" "users-editors" {
  organization_id = "<идентификатор_организации>"
  role            = "<идентификатор_роли>"
  member          = "group:<идентификатор_группы>"
}
```
Где:
- organization_id — идентификатор организации. Обязательный параметр.
- role — назначаемая роль. Обязательный параметр.
- member — группа, которой назначается роль. Указывается в виде group:<идентификатор_группы>. Обязательный параметр.
  
  Для того чтобы назначить роль одной из системных групп, в параметре member укажите:
  - system:group:organization:<идентификатор_организации>:users — чтобы назначить роль системной группе All users in organization X;
  - system:group:federation:<идентификатор_федерации>:users — чтобы назначить роль системной группе All users in federation N.
Более подробную информацию о параметрах ресурса yandex_organizationmanager_organization_iam_member см. в документации провайдера.
Создайте ресурсы:
1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.
2. Проверьте корректность конфигурационного файла с помощью команды:
```
terraform validate
```
  Если конфигурация является корректной, появится сообщение:
```
Success! The configuration is valid.
```
3. Выполните команду:
```
terraform plan
```
  В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.
4. Примените изменения конфигурации:
```
terraform apply
```
5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.
После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить создание ресурсов можно в интерфейсе Cloud Center или с помощью команды CLI:
```
yc resource-manager folder list-access-bindings <имя_или_идентификатор_папки>
```

Какие роли назначены в организации

Вы можете посмотреть все роли, назначенные субъектам в организации:

Интерфейс Cloud Center

CLI

API

Войдите в сервис Yandex Identity Hub с учетной записью администратора или владельца организации.
На панели слева выберите Права доступа.
На странице Права доступа отобразится информация о пользователях и ролях, которые им назначены.

Если у вас несколько организаций, вы можете переключиться на нужную. Для этого в левом верхнем углу экрана рядом с названием текущей организации нажмите значок и выберите нужную организацию.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Получите список доступных организаций:

yc organization-manager organization list

Результат:

+----------------------+-----------------------------+-------------------------+--------+
|          ID          |            NAME             |          TITLE          | LABELS |
+----------------------+-----------------------------+-------------------------+--------+
| bpf1smsil5q0******** | org1-technical-name         | Organization One        |        |
| bpf2c65rqcl8******** | org2-technical-name         | Organization Two        |        |
| bpfaidqca8vd******** | org3-technical-name         | Organization Three      |        |
+----------------------+-----------------------------+-------------------------+--------+

Из колонки ID скопируйте идентификатор нужной организации.

Посмотрите описание команды CLI для получения списка ролей, назначенных в организации:
```
yc organization-manager organization list-access-bindings --help
```

Получите перечень ролей, назначенных в организации, указав ее имя или идентификатор:

yc organization-manager organization list-access-bindings <идентификатор_организации>

Результат:

+------------------------------------------+----------------+----------------------+
|                 ROLE ID                  |  SUBJECT TYPE  |      SUBJECT ID      |
+------------------------------------------+----------------+----------------------+
| auditor                                  | serviceAccount | ajefbjkmgjt1******** |
| admin                                    | userAccount    | asefbskmgjt1******** |
| organization-manager.organizations.owner | userAccount    | ajcfabjkmgjt******** |
+------------------------------------------+----------------+----------------------+

Воспользуйтесь методом REST API ListAccessBindings для ресурса Organization или вызовом gRPC API OrganizationService/ListAccessBindings.

Управление доступом в Yandex Identity Hub

На какие ресурсы можно назначить рольНа какие ресурсы можно назначить роль

Какие роли действуют в сервисеКакие роли действуют в сервисе

Сервисные ролиСервисные роли

organization-manager.auditororganization-manager.auditor

organization-manager.viewerorganization-manager.viewer

organization-manager.editororganization-manager.editor

organization-manager.adminorganization-manager.admin

organization-manager.organizations.ownerorganization-manager.organizations.owner

organization-manager.federations.extGroupsViewerorganization-manager.federations.extGroupsViewer

organization-manager.federations.extGroupsManagerorganization-manager.federations.extGroupsManager

organization-manager.federations.extGroupsCleanerorganization-manager.federations.extGroupsCleaner

organization-manager.federations.auditororganization-manager.federations.auditor

organization-manager.federations.viewerorganization-manager.federations.viewer

organization-manager.federations.editororganization-manager.federations.editor

organization-manager.federations.userAdminorganization-manager.federations.userAdmin

organization-manager.federations.adminorganization-manager.federations.admin

organization-manager.osLogins.viewerorganization-manager.osLogins.viewer

organization-manager.osLogins.adminorganization-manager.osLogins.admin

organization-manager.groups.externalCreatororganization-manager.groups.externalCreator

organization-manager.groups.externalConverterorganization-manager.groups.externalConverter

organization-manager.groups.externalManagerorganization-manager.groups.externalManager

organization-manager.groups.editororganization-manager.groups.editor

organization-manager.groups.memberAdminorganization-manager.groups.memberAdmin

organization-manager.groups.adminorganization-manager.groups.admin

organization-manager.users.viewerorganization-manager.users.viewer

organization-manager.passportUserAdminorganization-manager.passportUserAdmin

organization-manager.oauthApplications.auditororganization-manager.oauthApplications.auditor

organization-manager.oauthApplications.viewerorganization-manager.oauthApplications.viewer

organization-manager.oauthApplications.editororganization-manager.oauthApplications.editor

organization-manager.oauthApplications.userAdminorganization-manager.oauthApplications.userAdmin

organization-manager.oauthApplications.adminorganization-manager.oauthApplications.admin

organization-manager.samlApplications.auditororganization-manager.samlApplications.auditor

organization-manager.samlApplications.viewerorganization-manager.samlApplications.viewer

organization-manager.samlApplications.editororganization-manager.samlApplications.editor

organization-manager.samlApplications.userAdminorganization-manager.samlApplications.userAdmin

organization-manager.samlApplications.adminorganization-manager.samlApplications.admin

organization-manager.userpools.extGroupsViewerorganization-manager.userpools.extGroupsViewer

organization-manager.userpools.extGroupsManagerorganization-manager.userpools.extGroupsManager

organization-manager.userpools.extGroupsCleanerorganization-manager.userpools.extGroupsCleaner

organization-manager.userpools.syncAgentorganization-manager.userpools.syncAgent

organization-manager.userpools.auditororganization-manager.userpools.auditor

organization-manager.userpools.viewerorganization-manager.userpools.viewer

organization-manager.userpools.editororganization-manager.userpools.editor

organization-manager.userpools.userAdminorganization-manager.userpools.userAdmin

organization-manager.userpools.adminorganization-manager.userpools.admin

organization-manager.idpInstances.billingViewerorganization-manager.idpInstances.billingViewer

organization-manager.idpInstances.billingAdminorganization-manager.idpInstances.billingAdmin

Примитивные ролиПримитивные роли

auditorauditor

viewerviewer

editoreditor

adminadmin

Назначить пользователя администратором организацииНазначить пользователя администратором организации

Назначить роль пользователюНазначить роль пользователю

Отозвать роль у пользователяОтозвать роль у пользователя

Назначить роль группе пользователейНазначить роль группе пользователей

Назначить роль на облако или каталогНазначить роль на облако или каталог

Назначить роль на организациюНазначить роль на организацию

Какие роли назначены в организацииКакие роли назначены в организации

Была ли статья полезна?

На какие ресурсы можно назначить роль

Какие роли действуют в сервисе

Сервисные роли

organization-manager.auditor

organization-manager.viewer

organization-manager.editor

organization-manager.admin

organization-manager.organizations.owner

organization-manager.federations.extGroupsViewer

organization-manager.federations.extGroupsManager

organization-manager.federations.extGroupsCleaner

organization-manager.federations.auditor

organization-manager.federations.viewer

organization-manager.federations.editor

organization-manager.federations.userAdmin

organization-manager.federations.admin

organization-manager.osLogins.viewer

organization-manager.osLogins.admin

organization-manager.groups.externalCreator

organization-manager.groups.externalConverter

organization-manager.groups.externalManager

organization-manager.groups.editor

organization-manager.groups.memberAdmin

organization-manager.groups.admin

organization-manager.users.viewer

organization-manager.passportUserAdmin

organization-manager.oauthApplications.auditor

organization-manager.oauthApplications.viewer

organization-manager.oauthApplications.editor

organization-manager.oauthApplications.userAdmin

organization-manager.oauthApplications.admin

organization-manager.samlApplications.auditor

organization-manager.samlApplications.viewer

organization-manager.samlApplications.editor

organization-manager.samlApplications.userAdmin

organization-manager.samlApplications.admin

organization-manager.userpools.extGroupsViewer

organization-manager.userpools.extGroupsManager

organization-manager.userpools.extGroupsCleaner

organization-manager.userpools.syncAgent

organization-manager.userpools.auditor

organization-manager.userpools.viewer

organization-manager.userpools.editor

organization-manager.userpools.userAdmin

organization-manager.userpools.admin

organization-manager.idpInstances.billingViewer

organization-manager.idpInstances.billingAdmin

Примитивные роли

auditor

viewer

editor

admin

Назначить пользователя администратором организации

Назначить роль пользователю

Отозвать роль у пользователя

Назначить роль группе пользователей

Назначить роль на облако или каталог

Назначить роль на организацию

Какие роли назначены в организации