Управлять доступом к менеджеру секретов

Доступ к менеджеру секретов регулируется:

проектами — определяют доступ в рамках изолированной группы ресурсов;
ролями — определяют доступ пользователей панели, сервисных пользователей и групп в рамках аккаунта и проекта.

Доступ в рамках проектов

Все секреты менеджера секретов добавляются в определенном проекте. Вы можете группировать секреты по разным проектам и настраивать разрешения пользователей в зависимости от того, в какие проекты у них должен быть доступ.

Доступ в рамках ролей

Доступ к менеджеру секретов дают роли менеджера секретов и глобальные роли. Подробнее о типах ролей в инструкции Справочник ролей.

Группа ролей	Роль	Доступ
Роли менеджера секретов	secrets.admin	Управление секретами
	secrets.viewer	Просмотр секретов
	secrets.consumer	Просмотр и использование секретов
Глобальные роли	member	Управление менеджером секретов и другими продуктами, аккаунтом, биллингом, проектами
	iam.admin	Управление доступами к менеджеру секретов и другим продуктам
	iam.viewer	Просмотр доступов к менеджеру секретов и другим продуктам
	reader	Просмотр секретов менеджера секретов и всех продуктов, аккаунта, биллинга, проектов

Роли менеджера секретов

secrets.admin

Роль secrets.admin дает доступ к управлению секретами в менеджере секретов.

Области доступа	аккаунт; проект
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в менеджере секретов	В области доступа Аккаунт: управление секретами (добавление, удаление) во всех проектах; управление версиями секретов (добавление, изменение текущей версии, удаление) во всех проектах; просмотр содержимого секретов во всех проектах
Доступные операции в менеджере секретов	В области доступа Проект: управление секретами (добавление, удаление) в своем проекте; управление версиями секретов (добавление, изменение текущей версии, удаление) в своем проекте; просмотр содержимого секретов в своем проекте

secrets.viewer

Роль secrets.viewer дает доступ к просмотру всего, чем управляет secrets.admin.

Области доступа	аккаунт; проект
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в менеджере секретов	В области доступа Аккаунт: просмотр списка секретов и информации о них, кроме содержимого секретов, во всех проектах
Доступные операции в менеджере секретов	В области доступа Проект: просмотр списка секретов и информации о них, кроме содержимого секретов, в своем проекте

secrets.consumer

Роль secrets.consumer дает доступ к просмотру и использованию секретов в менеджере секретов.

Области доступа	аккаунт; проект
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в менеджере секретов	В области доступа Аккаунт: просмотр списка секретов и информации о них во всех проектах; просмотр содержимого секретов во всех проектах
Доступные операции в менеджере секретов	В области доступа Проект: просмотр списка секретов и информации о них в своем проекте; просмотр содержимого секретов в своем проекте

Глобальные роли

member

Роль member дает полный доступ ко всем сервисам. Не дает доступ к управлению пользователями панели, сервисными пользователями, группами пользователей и федерациями.

Области доступа	аккаунт; проект
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в менеджере секретов	В области доступа Аккаунт: управление секретами (добавление, удаление) во всех проектах; управление версиями секретов (добавление, изменение текущей версии, удаление) во всех проектах; просмотр содержимого секретов во всех проектах
Доступные операции в менеджере секретов	В области доступа Проект: управление секретами (добавление, удаление) в своем проекте; управление версиями секретов (добавление, изменение текущей версии, удаление) в своем проекте; просмотр содержимого секретов в своем проекте

iam.admin

Роль iam.admin дает доступ к управлению пользователями и не дает доступ к управлению продуктом и биллингом. Не дает возможность управлять своей учетной записью: изменять разрешения, управлять уведомлениями, удалять пользователя. Первого пользователя с ролью iam.admin создает Владелец аккаунта.

Области доступа	Аккаунт
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в менеджере секретов	Управление пользователями панели, сервисными пользователями и группами пользователей

iam.viewer

Роль iam.viewer дает доступ к просмотру всего, чем управляет iam.admin.

Области доступа	Аккаунт
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в менеджере секретов	Просмотр пользователей панели, сервисных пользователей и групп пользователей

reader

Роль reader дает доступ к просмотру всего, чем управляет member в той же области доступа.

Области доступа	аккаунт; проект
Кому можно назначить	пользователям; сервисным пользователям; группам пользователей
Доступные операции в менеджере секретов	В области доступа Аккаунт: просмотр списка секретов и информации о них, кроме содержимого секретов, во всех проектах
Доступные операции в менеджере секретов	В области доступа Проект: просмотр списка секретов и информации о них, кроме содержимого секретов, в своем проекте