Yandex Cloud
Поиск
Связаться с намиПодключиться
  • Документация
  • Блог
  • Все сервисы
  • Статус работы сервисов
    • Популярные
    • Инфраструктура и сеть
    • Платформа данных
    • Контейнеры
    • Инструменты разработчика
    • Бессерверные вычисления
    • Безопасность
    • Мониторинг и управление ресурсами
    • Машинное обучение
    • Бизнес-инструменты
  • Все решения
    • По отраслям
    • По типу задач
    • Экономика платформы
    • Безопасность
    • Техническая поддержка
    • Каталог партнёров
    • Обучение и сертификация
    • Облако для стартапов
    • Облако для крупного бизнеса
    • Центр технологий для общества
    • Облако для интеграторов
    • Поддержка IT-бизнеса
    • Облако для фрилансеров
    • Обучение и сертификация
    • Блог
    • Документация
    • Контент-программа
    • Мероприятия и вебинары
    • Контакты, чаты и сообщества
    • Идеи
    • Истории успеха
    • Тарифы Yandex Cloud
    • Промоакции и free tier
    • Правила тарификации
  • Документация
  • Блог
Проект Яндекса
© 2025 ООО «Яндекс.Облако»
Yandex Object Storage
    • Обзор
    • Identity and Access Management
    • Список управления доступом (ACL)
    • Политика доступа (Bucket Policy)
    • Публичный доступ
    • Подписанные (pre-signed) URL
    • Security Token Service
  • Справочник Terraform
  • Метрики Monitoring
  • Аудитные логи Audit Trails
  • Логи бакета
  • История изменений
  • Вопросы и ответы
  • Обучающие курсы

В этой статье:

  • Об управлении доступом
  • На какие ресурсы можно назначить роль
  • Какие роли действуют в сервисе
  • Сервисные роли
  • Примитивные роли
  • См. также
  1. Управление доступом
  2. Identity and Access Management

Управление доступом с помощью Yandex Identity and Access Management

Статья создана
Yandex Cloud
Обновлена 1 апреля 2025 г.
  • Об управлении доступом
  • На какие ресурсы можно назначить роль
  • Какие роли действуют в сервисе
    • Сервисные роли
    • Примитивные роли
  • См. также

В Object Storage реализовано несколько механизмов для управления доступом к ресурсам. Алгоритм взаимодействия этих механизмов см. в Обзор способов управления доступом в Object Storage.

В этом разделе вы узнаете:

  • на какие ресурсы можно назначить роль;
  • какие роли действуют в сервисе.

Об управлении доступомОб управлении доступом

Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, федеративным пользователям, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.

Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль storage.admin или одна из следующих ролей:

  • admin;
  • resource-manager.admin;
  • organization-manager.admin;
  • resource-manager.clouds.owner;
  • organization-manager.organizations.owner.

На какие ресурсы можно назначить рольНа какие ресурсы можно назначить роль

В консоли управления, с помощью Yandex Cloud CLI, API или Terraform вы можете назначить роль на организацию, облако, каталог или отдельный бакет. Назначенные роли будут действовать и на вложенные ресурсы.

О том, как управлять доступом к бакетам и объектам в них, см. раздел Список управления доступом (ACL).

Какие роли действуют в сервисеКакие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные ролиСервисные роли

storage.viewerstorage.viewer

Роль storage.viewer дает доступ на чтение списка бакетов, их настроек и данных в бакетах.

storage.configViewerstorage.configViewer

Роль storage.configViewer позволяет просматривать настройки безопасности бакетов и объектов в них, но не дает доступа к данным внутри бакета.

storage.configurerstorage.configurer

Роль storage.configurer позволяет управлять настройками жизненных циклов объектов, хостинга статических сайтов, политики доступа и CORS.

Не позволяет управлять настройками списка управления доступом (ACL) и настройками публичного доступа. Не предоставляет доступа к данным в бакете.

storage.uploaderstorage.uploader

Роль storage.uploader позволяет загружать объекты в бакет, в том числе перезаписывать загруженные ранее. Также роль позволяет просматривать список объектов в бакете и скачивать их, поскольку роль storage.uploader наследует права роли storage.viewer.

Роль не позволяет удалять объекты и конфигурировать бакет.

storage.editorstorage.editor

Роль storage.editor позволяет выполнять любые операции с бакетами и объектами в каталоге: создавать, удалять и изменять их, в том числе создать публично доступный бакет.

Роль не позволяет управлять настройками списка управления доступом (ACL).

storage.adminstorage.admin

Роль storage.admin предназначена для управления сервисом Object Storage.

Пользователи с этой ролью могут:

  • создавать бакеты;
  • удалять бакеты;
  • назначать список управления доступом (ACL);
  • управлять всеми объектами бакета;
  • управлять всеми веб-сайтами бакета;
  • настраивать другие параметры бакета и объектов в нем.

Роль позволяет предоставлять доступ другим пользователям к бакету или конкретному объекту в нем.

Выдать данную роль может администратор облака (роль admin).

Примитивные ролиПримитивные роли

Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.

auditorauditor

Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.

Например, пользователи с этой ролью могут:

  • просматривать информацию о ресурсе;
  • просматривать метаданные ресурса;
  • просматривать список операций с ресурсом.

Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.

viewerviewer

Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.

Включает разрешения, предоставляемые ролью auditor.

В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.

editoreditor

Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.

Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.

Включает разрешения, предоставляемые ролью viewer.

adminadmin

Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.

Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.

Включает разрешения, предоставляемые ролью editor.

Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.

Подробнее о примитивных ролях см. в справочнике ролей Yandex Cloud.

См. такжеСм. также

  • Настройка прав доступа к бакету с помощью Identity and Access Management

Была ли статья полезна?

Предыдущая
Обзор
Следующая
Список управления доступом (ACL)
Проект Яндекса
© 2025 ООО «Яндекс.Облако»