Перейти к основному содержимому

Разрешения пользователей и групп

Разрешение (Permission) определяет, какие операции и над какой группой ресурсов может выполнять пользователь. Состоит из области доступа и роли.

Разрешение можно назначить разным субъектам: пользователю панели, сервисному пользователю или группе. Одному субъекту можно назначить несколько разрешений.

Разрешение можно назначить:

Разрешения можно экспортировать в виде JSON-файла и импортировать другим пользователям или группам.

Области доступа

Область доступа — группа ресурсов, на которую выдается разрешение. Областью доступа разрешения может быть:

  • аккаунт (account) — все ресурсы аккаунта, в том числе ресурсы всех проектов;
  • проекты (project) — ресурсы выбранных проектов.

Роли⁠​

Роль — это набор предопределенных прав, которые определяют, какие действия пользователь может выполнять над ресурсами определенного типа или настройками аккаунта. Роль дает доступ в рамках области доступа, которая указана в разрешении.

В зависимости от типа пользователя ему можно назначать роли в разных областях доступа. Подробнее о возможностях каждой роли в инструкции Справочник ролей.

Обзор разрешений

Обзор разрешений позволяет проводить аудит доступов и активности пользователей по разным категориям риска. Регулярный аудит доступов помогает сократить риски компрометации аккаунта.

Выполнять обзор разрешений может Владелец аккаунта и пользователи с ролью iam.admin.

Категории риска

  • высокий риск:

    • привилегированные пользователи, которые имеют максимальные права в аккаунте — комбинацию разрешений с ролями member и iam.admin;
    • неактивные пользователи, которые не проходили аутентификацию в аккаунте более 30 дней;

  • средний риск:

    • пользователи с дублированием разрешений, у которых назначены одинаковые разрешения индивидуально и через группу;
    • пользователи, у которых были неудачные попытки входа за последние 30 дней.

Выполнить обзор разрешений

  1. В панели управления в верхнем меню нажмите IAM.

  2. Перейдите в раздел Обзор разрешений.

  3. Опционально: отфильтруйте список пользователей. Чтобы отобразить пользователей:

    • по определенной категории риска — в блоке с категорией нажмите . Если включить несколько категорий, отобразятся пользователи, которые подпадают хотя бы под одну из них;
    • по собственному фильтру — справа от строки поиска нажмите и настройте фильтр.

    Если одновременно выбрать категории риска и настроить собственный фильтр, будут отображены те пользователи из выбранных категорий, которые удовлетворяют условиям фильтра.

  4. Посмотрите список пользователей.

  5. Опционально: посмотрите информацию по определенному пользователю:

    5.1. В строке пользователя нажмите и посмотрите информацию о его разрешениях.

    5.2. Выгрузите аудит-логи по пользователю.

  6. Опционально: чтобы выгрузить список с информацией о пользователях в формате .csv или .json, нажмите и выберите Экспорт в CSV или Экспорт в JSON. Если на шаге 3 вы настраивали фильтры, в выгрузке пользователи будут отфильтрованы.

Экспортировать разрешения пользователя или группы

Разрешения будут экспортированы в файле формата .json.

Экспортированные разрешения можно импортировать:

  1. В панели управления в верхнем меню нажмите IAM.

  2. Перейдите в раздел с нужным типом пользователей:

  3. Откройте страницу пользователя → вкладка Разрешения и группы.

  4. В блоке Разрешения нажмите Редактировать.

  5. В блоке Настройки доступа нажмите Экспорт.