Управление доступом
Чтобы разграничить права для приглашенных участников проекта или сервисных учетных записей, в Cloud Servers используется единый сервис управления идентификацией и доступом — IAM. Управлять доступами можно централизованно из личного кабинета VK Cloud.
Список доступных участнику проекта действий в сервисе Cloud Servers определяет:
- Базовая роль — определяет права пользователя на уровне всех сервисов VK Cloud.
- Специализированная роль — определяет права пользователя на уровне отдельных сервисов VK Cloud.
Настройка отдельных разрешений для Cloud Servers не поддерживается.
Роли могут назначать только участники проекта с ролями Владелец проекта, Суперадминистратор и Администратор пользователей (IAM). Выбирая роли, придерживайтесь принципа минимальных привилегий: пользователь должен иметь только те права, без которых невозможно выполнить его задачи.
Базовые роли Владелец проекта, Суперадминистратор и Администратор проекта получают полный доступ ко всем операциям Cloud Servers, настраивать отдельные роли не нужно.
Название в личном кабинете: Владелец проекта.
Роль с максимальным набором прав на проекте. Роль автоматически назначается пользователю, который сам создал проект, либо для которого проект был автоматически создан при регистрации аккаунта.
В проекте может быть только один владелец. Эту роль нельзя назначить вручную или пригласить на нее.
Название в личном кабинете: Суперадминистратор.
Роль, которая предоставляет разрешения на управление всеми ресурсами проекта. Эта роль может быть назначена пользователю только владельцем проекта.
Название в личном кабинете: Администратор проекта.
Роль, которая предоставляет разрешения на управление всеми ресурсами проекта, кроме групп пользователей и баланса.
Название в личном кабинете: Администратор пользователей (IAM).
Роль, предназначенная для управления участниками проекта на странице управления доступами. Администратор пользователей может приглашать участников в проект и удалять их из него, редактировать назначенные участникам роли. Сервисы и информация о балансе проекта для этой роли недоступны.
В сервисе Cloud Logging роль позволяет просматривать логи.
В сервисе Cloud Monitoring роль позволяет просматривать дашборды.
В сервисе Cloud Audit роль позволяет просматривать события сервиса IAM и собственные действия пользователя.
Название в личном кабинете: Наблюдатель.
Роль, которая предоставляет разрешения на просмотр большей части информации о проекте и ресурсах, но не имеет разрешений для их создания и изменения.
В сервисе Cloud Logging роль позволяет просматривать логи.
В сервисе Cloud Monitoring роль позволяет просматривать дашборды.
В сервисе Cloud Audit роль позволяет просматривать все события проекта и выгружать эти данные.
В сервисе Managed Containers роль позволяет просматривать информацию о кластере и группах узлов и получать секрет для доступа в Headlamp.
Для сервиса Cloud Servers доступно несколько специализированных ролей, которые можно использовать вместе с базовой ролью или самостоятельно.
Название в личном кабинете: Администратор виртуальных машин.
Роль предоставляет полный доступ к управлению виртуальными машинами в Cloud Servers, включая создание, изменение и удаление. Также предоставляется полный доступ к управлению сетями в Cloud Network.
Не может настраивать резервное копирование виртуальных машин с помощью Cloud Backup.
В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.
В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.
В сервисе Cloud Audit роль позволяет просматривать все события проекта.
Название в личном кабинете: Младший администратор ВМ.
Роль с теми же привилегиями, что и у роли mcs_admin_vm, но без возможности управлять группами безопасности в Cloud Network.
В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.
В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.
В сервисе Cloud Audit роль позволяет просматривать все события проекта.
Название в личном кабинете: Оператор ВМ.
Роль используется только для работы с уже созданными виртуальными машинами Cloud Servers и сетями Cloud Networks:
- запуск или остановка ВМ;
- работа с ВМ через VNC-консоль;
- подключение к ВМ через SSH или RDP;
- просмотр параметров ВМ и сетевых настроек.
В сервисе Cloud Logging роль позволяет просматривать логи.
В сервисе Cloud Monitoring роль позволяет просматривать дашборды и делать запись в систему мониторинга.
Роль не предоставляет доступ к сервису Cloud Audit.