Перейти к основному содержимому

Разрешения пользователей и групп

Разрешение (Permission) определяет, какие операции и над какой группой ресурсов может выполнять пользователь. Состоит из области доступа и роли.

Разрешение можно назначить разным субъектам: пользователю панели, сервисному пользователю или группе. Одному субъекту можно назначить несколько разрешений.

Разрешение можно назначить:

Отслеживать активность пользователей и актуальность их доступов можно с помощью обзора разрешений.

Разрешения можно экспортировать в виде JSON-файла и импортировать другим пользователям или группам.

Области доступа

Область доступа — группа ресурсов, на которую выдается разрешение. Областью доступа разрешения может быть:

  • аккаунт (account) — все ресурсы аккаунта, в том числе ресурсы всех проектов;
  • проекты (project) — ресурсы выбранных проектов.

Роли⁠​

Роль — это набор предопределенных прав, которые определяют, какие действия пользователь может выполнять над ресурсами определенного типа или настройками аккаунта. Роль дает доступ в рамках области доступа, которая указана в разрешении.

В зависимости от типа пользователя ему можно назначать роли в разных областях доступа. Подробнее о возможностях каждой роли в инструкции Справочник ролей.

Обзор разрешений

Обзор разрешений позволяет отслеживать доступы пользователей. Это помогает проводить аудит пользователей и сокращать риски компрометации аккаунта.

Чтобы выполнить обзор разрешений, в панели управления в верхнем меню нажмите IAM → раздел Обзор разрешений. Вы можете отслеживать метрики:

  • по привилегированным пользователям, которые имеют максимальные права в аккаунте — комбинацию разрешений с ролями member и iam.admin;
  • неактивным пользователям, которые не проходили аутентификацию в аккаунте более 30 дней;
  • пользователям с дублированием разрешений, у которых назначены одинаковые разрешения индивидуально и через группу;
  • пользователям, у которых были неудачные попытки входа за последние 30 дней.

Чтобы отобразить список пользователей:

  • по определенной метрике — в блоке с метрикой нажмите ;
  • по собственному фильтру — справа от строки поиска нажмите и настройте фильтр.

Вы также можете выгрузить аудит-логи по определенному пользователю.

Экспортировать разрешения пользователя или группы

Разрешения будут экспортированы в файле формата .json.

Экспортированные разрешения можно импортировать:

  1. В панели управления в верхнем меню нажмите IAM.

  2. Перейдите в раздел с нужным типом пользователей:

  3. Откройте страницу пользователя → вкладка Разрешения и группы.

  4. В блоке Разрешения нажмите Редактировать.

  5. В блоке Настройки доступа нажмите Экспорт.