Связаться с экспертомПопробовать бесплатно
Создавайте контент и получайте гранты!Готовы написать своё руководство? Участвуйте в контент-программе и получайте гранты на работу с облачными сервисами!
Подробнее о программе
Проект Яндекса
© 2026 ООО «Яндекс.Облако»

Назначить права доступа

Статья создана
Обновлена 25 марта 2026 г.

Вы можете назначить роли пользователям, группам и сервисным аккаунтам. Права доступа назначаются на двух уровнях:

  • На уровне кластера — с помощью ресурса ClusterAccessBinding. Роль действует на всю организацию.
  • На уровне проекта — с помощью ресурса AccessBinding. Роль действует в рамках конкретного пространства имен.

Примечание

Для назначения прав доступа на уровне кластера необходимы права администратора организации.

Назначить роль на уровне кластера

Используйте ресурс ClusterAccessBinding для назначения ролей на уровне организации.

Назначить роль пользователю

  1. В консоли управления перейдите в раздел Управление доступом.
  2. На странице Права доступа нажмите Назначить роль.
  3. В поле Субъект выберите Пользователь.
  4. Выберите пользователя из списка.
  5. В поле Роль выберите нужную роль.
  6. Нажмите Сохранить.

  1. Создайте файл user-role-binding.yaml:

    apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: ClusterAccessBinding
metadata:
  name: user-admin-role
spec:
  roleID: admin
  subject:
    kind: User
    name: username

    Где:

    • metadata.name — уникальное имя привязки роли.
    • roleID — идентификатор роли (например, admin, editor, viewer).
    • kind — тип субъекта. Для пользователя укажите User.
    • name — имя пользователя (username для локальных пользователей или name_id для пользователей из SAML-федерации).

  2. Примените конфигурацию:

    kubectl apply -f user-role-binding.yaml

  3. Проверьте созданную привязку:

    kubectl get clusteraccessbinding user-admin-role

Назначить роль группе

  1. В консоли управления перейдите в раздел Управление доступом.
  2. На странице Права доступа нажмите Назначить роль.
  3. В поле Субъект выберите Группа.
  4. Выберите группу из списка.
  5. В поле Роль выберите нужную роль.
  6. Нажмите Сохранить.

  1. Создайте файл group-role-binding.yaml:

    apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: ClusterAccessBinding
metadata:
  name: stackland-cluster-admins
spec:
  roleID: admin
  subject:
    kind: Group
    name: stackland-cluster-admins

    Где:

    • metadata.name — уникальное имя привязки роли.
    • roleID — идентификатор роли.
    • kind — тип субъекта. Для группы укажите Group.
    • name — имя группы.

  2. Примените конфигурацию:

    kubectl apply -f group-role-binding.yaml

  3. Проверьте созданную привязку:

    kubectl get clusteraccessbinding stackland-cluster-admins

Назначить роль на уровне проекта

Используйте ресурс AccessBinding для назначения ролей в рамках конкретного пространства имен.

Назначить роль пользователю в проекте

  1. Создайте файл user-project-role-binding.yaml:

    apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: AccessBinding
metadata:
  name: bob-is-storage-admin
  namespace: warehouse
spec:
  roleID: storage.admin
  subject:
    kind: User
    name: bob@stackland

    Где:

    • metadata.name — уникальное имя привязки роли.
    • metadata.namespace — пространство имен, в котором назначается роль.
    • roleID — идентификатор роли.
    • kind — тип субъекта. Для пользователя укажите User.
    • name — имя пользователя.

  2. Примените конфигурацию:

    kubectl apply -f user-project-role-binding.yaml

  3. Проверьте созданную привязку:

    kubectl get accessbinding bob-is-storage-admin -n warehouse

Назначить роль сервисному аккаунту в проекте

  1. Создайте файл sa-role-binding.yaml:

    apiVersion: iam.stackland.yandex.cloud/v1alpha1
kind: AccessBinding
metadata:
  namespace: warehouse
  name: app-sa-is-storage-viewer
spec:
  roleID: storage.viewer
  subject:
    kind: ServiceAccount
    name: app-sa
    namespace: warehouse

    Где:

    • metadata.name — уникальное имя привязки роли.
    • metadata.namespace — пространство имен, в котором назначается роль.
    • roleID — идентификатор роли.
    • kind — тип субъекта. Для сервисного аккаунта укажите ServiceAccount.
    • name — имя сервисного аккаунта.
    • namespace — пространство имен, в котором создан сервисный аккаунт.

  2. Примените конфигурацию:

    kubectl apply -f sa-role-binding.yaml

  3. Проверьте созданную привязку:

    kubectl get accessbinding app-sa-is-storage-viewer -n warehouse

Доступные роли

Основные роли в системе:

  • admin — полный доступ ко всем ресурсам организации.
  • editor — права на создание и изменение ресурсов.
  • viewer — права только на просмотр ресурсов.

Для получения полного списка доступных ролей обратитесь к разделу Управление доступом.

Отозвать роль

  1. В консоли управления перейдите в раздел Управление доступом.
  2. На странице Права доступа найдите нужную привязку роли.
  3. Нажмите значок и выберите Удалить.
  4. Подтвердите удаление.

Для отзыва роли на уровне кластера удалите ресурс ClusterAccessBinding:

kubectl delete clusteraccessbinding <имя_привязки>

Для отзыва роли на уровне проекта удалите ресурс AccessBinding:

kubectl delete accessbinding <имя_привязки> -n <namespace>

Что дальше

Предыдущая
Подключить SAML-федерацию
Следующая
Создать кластер PostgreSQL