Устранение ошибки Forbidden при работе от имени сервисного аккаунта

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Чтобы назначить сервисному аккаунту роль на облако или каталог, выполните команду:

yc resource-manager <категория_ресурса> add-access-binding <имя_или_идентификатор_ресурса> \
  --role <идентификатор_роли> \
  --service-account-id <идентификатор_сервисного_аккаунта>

Где:

• <категория_ресурса> — cloud, чтобы назначить роль на облако, или folder, чтобы назначить роль на каталог.
• <имя_или_идентификатор_ресурса> — имя или идентификатор ресурса, на который назначается роль.
• --role — идентификатор роли, например viewer.
• --service-account-id — идентификатор сервисного аккаунта, которому назначается роль.

Например, чтобы назначить сервисному аккаунту роль на каталог:

1. Выберите роль, которую хотите назначить сервисному аккаунту. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

2. Узнайте идентификатор сервисного аккаунта по его имени:

   yc iam service-account get <имя_сервисного_аккаунта>
   

   Результат:

   id: aje6o61dvog2********
   folder_id: b1gvmob95yys********
   created_at: "2018-10-15T18:01:25Z"
   name: my-robot
   

   Если вы не знаете имя сервисного аккаунта, получите список сервисных аккаунтов с их идентификаторами:

   yc iam service-account list
   

   Результат:

   +----------------------+------------------+-----------------+
   |          ID          |       NAME       |   DESCRIPTION   |
   +----------------------+------------------+-----------------+
   | aje6o61dvog2******** | my-robot         | my description  |
   +----------------------+------------------+-----------------+
   

3. Назначьте роль сервисному аккаунту, используя его идентификатор:

   yc resource-manager folder add-access-binding <имя_или_идентификатор_каталога> \
     --role <роль> \
     --service-account-id <идентификатор_сервисного_аккаунта>
   

   Где:

   • --role — идентификатор роли, которую нужно назначить.
   • --service-account-id — идентификатор сервисного аккаунта. Также вы можете использовать параметр --service-account-name и указать логин пользователя вместо идентификатора.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Опишите в конфигурационном файле параметры ресурсов, которые необходимо создать.

   Пример структуры конфигурационного файла для назначения роли на каталог:

   resource "yandex_resourcemanager_folder_iam_member" "admin-account-iam" {
     folder_id   = "<идентификатор_каталога>"
     role        = "<роль>"
     member      = "serviceAccount:<идентификатор_сервисного_аккаунта>"
   }
   

   Где:

   • folder_id — идентификатор каталога. Обязательный параметр.

   • role — назначаемая роль. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud. Обязательный параметр.

   • member — обозначение субъекта, которому назначается роль. Для сервисного аккаунта укажите serviceAccount:<идентификатор_сервисного_аккаунта>.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора — <тип_субъекта>:<идентификатор>. Возможные обозначения субъектов:

     Тип субъекта	Обозначение субъекта
     userAccount	userAccount:<идентификатор_пользователя>
     serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>
     federatedUser	federatedUser:<идентификатор_пользователя>
     group	group:<идентификатор_группы>
     system	system:allAuthenticatedUsers (группа All authenticated users)
     	system:allUsers (группа All users)
     	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

   Подробнее о ресурсах, которые вы можете создать с помощью Terraform, читайте в документации провайдера.

2. Создайте ресурсы:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   После этого будут назначены права доступа к каталогу. Проверить назначение роли можно в консоли управления или с помощью команды CLI:

   yc resource-manager folder list-access-bindings <имя_или_идентификатор_каталога>
   

Чтобы назначить сервисному аккаунту роль на облако или каталог, воспользуйтесь методом REST API updateAccessBindings для ресурса Cloud или Folder:

1. Выберите роль, которую хотите назначить сервисному аккаунту. Описание ролей можно найти в документации Yandex Identity and Access Management в справочнике ролей Yandex Cloud.

2. Узнайте ID каталога с сервисными аккаунтами.

3. Получите IAM-токен для аутентификации в API Yandex Cloud.

4. Получите список сервисных аккаунтов в каталоге, чтобы узнать их идентификаторы:

   export FOLDER_ID=<идентификатор_каталога>
   export IAM_TOKEN=<IAM-токен>
   curl \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     "https://iam.api.cloud.yandex.net/iam/v1/serviceAccounts?folderId=${FOLDER_ID}"
   

   Результат:

   {
    "serviceAccounts": [
     {
      "id": "ajebqtreob2d********",
      "folderId": "b1gvmob95yys********",
      "createdAt": "2018-10-18T13:42:40Z",
      "name": "my-robot",
      "description": "my description"
     }
    ]
   }
   

5. Сформируйте тело запроса, например в файле body.json. В свойстве action укажите ADD:

   {
     "accessBindingDeltas": [{
       "action": "ADD",
       "accessBinding": {
         "roleId": "<роль>",
         "subject": {
           "id": "<идентификатор_сервисного_аккаунта>",
           "type": "serviceAccount"
         }
       }
     }]
   }
   

   Где:

   • roleId — назначаемая роль.

   • subject — субъект, которому назначается роль.

     Обозначения субъектов

     Для обозначения субъекта используется комбинация типа и уникального идентификатора в полях запроса subject.type и subject.id. Возможные комбинации:

     subject.type	subject.id
     userAccount	<идентификатор_пользователя>
     serviceAccount	<идентификатор_сервисного_аккаунта>
     federatedUser	<идентификатор_пользователя>
     group	<идентификатор_группы>
     system	allAuthenticatedUsers (группа All authenticated users)
     	allUsers (группа All users)
     	group:organization:<идентификатор_организации>:users (группа All users in organization X)
     	group:federation:<идентификатор_федерации>:users (группа All users in federation N)
     	group:userpool:<идентификатор_пула>:users (группа All users in userpool P)

6. Назначьте роль сервисному аккаунту. Например, на каталог с идентификатором b1gvmob95yys********:

   export FOLDER_ID=b1gvmob95yys********
   export IAM_TOKEN=CggaAT********
   curl \
     --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     "https://resource-manager.api.cloud.yandex.net/resource-manager/v1/folders/${FOLDER_ID}:updateAccessBindings"