Управлять доступом к S3

Доступ к ресурсам S3 регулируется:

проектами — определяют доступ в рамках изолированной группы ресурсов;
ролями — определяют доступ пользователей, сервисных пользователей и групп в рамках аккаунта и проекта.
политикой доступа — определяет доступ в рамках бакета.

При получении запроса на действие в S3 сначала проверяется доступ пользователя по ролевой модели. Если ролевая модель разрешает доступ пользователю, проверяется политика доступа, если нет — доступ запрещается.

Для доступа через API, инструменты автоматизации или по FTP используйте ключи.

Подробнее об управлении доступом в инструкции Управление доступом в продуктах Selectel.

Доступ в рамках ролей

Доступ к S3 дают роли S3 и глобальные роли, подробнее в инструкции Справочник ролей.

Группа ролей	Роль	Доступ
Роли S3	`s3.admin`	Управление всеми бакетами в проекте
	`s3.user`	Управление определенным бакетом и просмотр списка бакетов
	`s3.bucket.user`	Управление определенным бакетом
	`object_storage:admin`	Управление всеми бакетами в проекте
	`object_storage_user`	Управление определенным бакетом
Глобальные роли	`member`	Управление S3 и другими продуктами, аккаунтом, биллингом, проектами
	`billing`	Управление биллингом в S3 и других продуктах
	`iam.admin`	Управление доступами к S3 и другим продуктам
	`iam.viewer`	Просмотр доступов к S3 и другим продуктам
	`reader`	Просмотр ресурсов S3 и всех продуктов, аккаунта, биллинга, проектов

Роли S3

s3.admin

Пользователь с полным доступом к управлению S3 в рамках проекта. Не имеет доступа к S3 в других проектах и другим продуктам в своем проекте.

Области доступа	Проект
Кому можно назначить	Сервисным пользователям
Доступные операции в S3	просмотр списка бакетов в проекте; просмотр содержимого бакетов; управление объектами в бакете (загрузка, изменение, удаление и т. п.); изменение настроек бакетов; настройка политики доступа к бакету

s3.user

Роль s3.user дает доступ в бакет S3, если в нем настроена политика доступа, которая разрешает доступ к бакету этому пользователю. Степень доступа определяется настройками политики доступа. Не имеет доступа к S3 в других проектах и другим продуктам в своем проекте.

Отличается от роли s3.bucket.user только тем, что дает доступ к просмотру списка бакетов в проекте.

Области доступа	Проект
Кому можно назначить	Сервисным пользователям
Доступные операции в S3	просмотр списка бакетов в проекте; операции в бакете, которые разрешены политикой доступа

s3.bucket.user

Роль s3.bucket.user дает доступ в бакет S3, если в нем настроена политика доступа, которая разрешает доступ к бакету этому пользователю. Степень доступа определяется настройками политики доступа. Не имеет доступа к S3 в других проектах и другим продуктам в своем проекте.

Отличается роли s3.user только тем, что не дает доступ к просмотру списка бакетов в проекте.

Области доступа	Проект
Кому можно назначить	Сервисным пользователям
Доступные операции в S3	Операции в бакете, которые разрешены политикой доступа

object_storage.admin

For your information

Роль object_storage:admin скоро будет удалена, ее нельзя назначать новым пользователям. Существующие пользователи с ролью object_storage:admin продолжают работать.

Устаревшая версия роли s3.admin. Обладает идентичными правами.

object_storage_user

For your information

Роль object_storage_user скоро будет удалена, ее нельзя назначать новым пользователям. Существующие пользователи с ролью object_storage_user продолжают работать.

Устаревшая версия роли s3.user. Обладает идентичными правами.

Глобальные роли

member

Роль member дает полный доступ ко всем сервисам. Не дает доступ к управлению пользователями, сервисными пользователями, группами пользователей и федерациями.

Области доступа	аккаунт; проект
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в S3	В области доступа Аккаунт: управление S3 во всех проектах: просмотр списка бакетов во всех проектах; просмотр содержимого бакетов во всех проектах; управление объектами в бакетах (загружать, удалять и т. п.) во всех проектах; изменение настроек бакетов во всех проектах; настройка политик доступа к бакетам во всех проектах; отключение временной блокировки режима Governance у объектов и бакетов (Object Lock); управление проектами, их лимитами и квотами; управление биллингом
Доступные операции в S3	В области доступа Проект: управление S3 в выбранном проекте: просмотр списка бакетов; просмотр содержимого бакетов; управление объектами в бакете (загрузка, удаление и т. п.); изменение настроек бакетов; обход временной блокировки режима Governance (Object Lock)

billing

Роль billing дает доступ к управлению биллингом без доступа к управлению услугами.

Области доступа	Аккаунт
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в S3	управление биллингом; просмотр потребления S3

iam.admin

Роль iam.admin дает доступ к управлению пользователями и без доступа к услугам и биллингу. Не дает возможность управлять своей учетной записью: изменять разрешения, управлять уведомлениями, удалять пользователя. Первого пользователя с ролью iam.admin создает Владелец аккаунта.

Области доступа	Аккаунт
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в S3	управление пользователями панели, сервисными пользователями, группами пользователей и федерациями; выдача S3-ключей пользователям

iam.viewer

Роль iam.viewer дает доступ к просмотру всего, чем управляет iam.admin.

Области доступа	Аккаунт
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в S3	просмотр пользователей панели, сервисных пользователей, групп пользователей и федераций; просмотр S3-ключей пользователей

reader

Роль reader дает доступ к просмотру всего, чем управляет member в той же области доступа.

Области доступа	аккаунт; проект
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в S3	В области доступа Аккаунт: просмотр списка бакетов во всех проектах; просмотр содержимого бакетов во всех проектах; просмотр настроек всех проектов, их лимитов и квот; просмотр данных биллинга (баланса, банковских карт, отчетных документов, партнерской программы и т. п.)
Доступные операции в S3	В области доступа Проект: просмотр списка бакетов выбранного проекта; просмотр содержимого бакетов в выбранном проекте

Ключи для доступа через API

В зависимости от типа API пользователю понадобится:

IAM-токен для проекта (X-Auth-Token), используется для доступа через Object Storage API и Swift API. Можно выдавать только сервисным пользователям;
S3-ключ (EC2-ключ), используется для подписи запросов S3 API и доступа по FTP. Состоит из пары значений — Access Key ID и Secret Key. Можно выдавать сервисным пользователям и пользователям панели.

Выдать S3-ключ пользователю

For your information

S3-ключ (EC2-ключ) нужно выдавать пользователю, которому разрешен доступ в S3 в рамках ролевой модели. Если роль пользователя не разрешает доступ в S3, S3-ключ бесполезен.

Users with access to the control panel can issue S3 keys for themselves, but we recommend creating service users and issuing S3 keys to them.

Only the Account Owner or a user with the iam.admin role can issue S3 keys to other users. Service user cannot obtain an S3 key independently, because they do not have access to the control panel — the key must be issued to them by the Account Owner or iam.admin.

A separate key must be created for each project. Multiple keys can be issued for one project.

In the control panel, click IAM.
Go to the section for the required user type:
- Users — for users with access to the control panel;
- Service users — for service users.
Open the user page → in the Access tab.
In the S3 keys block, click Add key.
Enter a key name.
Select a project for which the key will work.
Click Generate. Two values will be generated:
- Access key — Access Key ID, a key identifier;
- Secret key — Secret Access Key, a secret key.
Click Copy and save the key — you will not be able to view it after closing the window.