Управление доступом

Чтобы разграничить права для приглашенных участников проекта или сервисных учетных записей, в Cloud Audit используется единый сервис управления идентификацией и доступом — IAM. Управлять доступами можно централизованно из личного кабинета VK Cloud.

Список доступных участнику проекта действий в сервисе Cloud Audit определяет:

• Базовая роль — определяет права пользователя на уровне всех сервисов VK Cloud.
• Специализированная роль — определяет права пользователя на уровне отдельных сервисов VK Cloud.

Настройка отдельных разрешений для Cloud Audit не поддерживается.

Роли могут назначать только участники проекта с ролями Владелец проекта, Суперадминистратор и Администратор пользователей (IAM). Выбирая роли, придерживайтесь принципа минимальных привилегий: пользователь должен иметь только те права, без которых невозможно выполнить его задачи.

Базовые роли Владелец проекта, Суперадминистратор и Администратор проекта получают полный доступ ко всем операциям Cloud Audit, настраивать отдельные роли не нужно.

Название в личном кабинете: Владелец проекта.

Роль с максимальным набором прав на проекте. Роль автоматически назначается пользователю, который сам создал проект, либо для которого проект был автоматически создан при регистрации аккаунта.

В проекте может быть только один владелец. Эту роль нельзя назначить вручную или пригласить на нее.

Название в личном кабинете: Суперадминистратор.

Роль, которая предоставляет разрешения на управление всеми ресурсами проекта. Эта роль может быть назначена пользователю только владельцем проекта.

Название в личном кабинете: Администратор проекта.

Роль, которая предоставляет разрешения на управление всеми ресурсами проекта, кроме групп пользователей и баланса.

Название в личном кабинете: Администратор пользователей (IAM).

Роль, предназначенная для управления участниками проекта на странице управления доступами. Администратор пользователей может приглашать участников в проект и удалять их из него, редактировать назначенные участникам роли. Сервисы и информация о балансе проекта для этой роли недоступны.

В сервисе Cloud Logging роль позволяет просматривать логи.

В сервисе Cloud Monitoring роль позволяет просматривать дашборды.

В сервисе Cloud Audit роль позволяет просматривать события сервиса IAM и собственные действия пользователя.

Название в личном кабинете: Наблюдатель.

Роль, которая предоставляет разрешения на просмотр большей части информации о проекте и ресурсах, но не имеет разрешений для их создания и изменения.

В сервисе Cloud Logging роль позволяет просматривать логи.

В сервисе Cloud Monitoring роль позволяет просматривать дашборды.

В сервисе Cloud Audit роль позволяет просматривать все события проекта и выгружать эти данные.

В сервисе Managed Containers роль позволяет просматривать информацию о кластере и группах узлов и получать секрет для доступа в Headlamp.

Для Cloud Audit своих специализированных ролей нет, но права на определенные действия есть у специализированных ролей для других сервисов VK Cloud.

Название в личном кабинете: Администратор биллинга.

Роль, которая предоставляет все разрешения на управление балансом и функциями биллинга.

В сервисе Cloud Logging роль позволяет просматривать логи.

Роль не предоставляет доступ к сервису Cloud Monitoring.

В сервисе Cloud Audit роль позволяет просматривать события биллинга и собственные действия пользователя, а также выгружать эти данные.

Название в личном кабинете: Администратор сети.

Роль позволяет создавать, изменять и удалять сетевые настройки, в том числе управлять балансировщиками нагрузки и DNS-зонами.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.

В сервисе Cloud Audit роль позволяет просматривать события сервиса Cloud Network и собственные действия пользователя, а также выгружать эти данные.

Название в личном кабинете: Администратор сетевой безопасности.

Роль позволяет создавать, изменять и удалять списки контроля доступа (ACL). Обеспечивает доступ ко всем объектам сетевой подсистемы.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать дашборды.

Роль не предоставляет доступ к сервису Cloud Audit.

Название в личном кабинете: Администратор внутренних сетей.

Роль позволяет:

• просматривать все данные в сервисах виртуальных сетей и DNS;
• создавать и редактировать виртуальные сети и подсети, маршрутизаторы;
• добавлять в проект Floating IP.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.

Роль не предоставляет доступ к сервису Cloud Audit.

Название в личном кабинете: Аудитор Kubernetes.

Роль с разрешениями на просмотр сервиса Managed Containers.

Пользователь с этой ролью может:

• просматривать информацию о кластере и группах узлов;
• получать секрет для доступа в Headlamp;
• получать файл kubeconfig.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.

В сервисе Cloud Audit роль позволяет просматривать события сервиса Managed Containers и собственные действия пользователя, а также выгружать эти данные.

Название в личном кабинете: Оператор Kubernetes.

Роль с разрешениями для работы в сервисе Managed Containers. Некоторые действия доступны только в определенном состоянии кластера. Например, установка и удаление аддонов возможны, только если кластер запущен.

Пользователь с этой ролью может:

• запускать и останавливать кластеры;
• отображать информацию о кластере и группах узлов;
• получать файл kubeconfig;
• получать секрет для доступа в Headlamp;
• обновлять версию кластера;
• изменять тип виртуальной машины;
• изменять размер диска Prometheus;
• добавлять или удалять группу узлов;
• изменять настройки масштабирования групп узлов;
• изменять метки (labels) и ограничения (taints);
• устанавливать или удалять аддоны.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.

В сервисе Cloud Audit роль позволяет просматривать события сервиса Managed Containers и собственные действия пользователя, а также выгружать эти данные.

Название в личном кабинете: Администратор Kubernetes.

Роль с максимально широким набором разрешений для работы с сервисом Managed Containers. Некоторые действия доступны только в определенном состоянии кластера. Например, установка и удаление аддонов возможны, только если кластер запущен.

Пользователь с этой ролью может:

• создавать и удалять кластеры;
• запускать и останавливать кластеры;
• отображать информацию о кластере и группах узлов;
• получать файл kubeconfig;
• получать секрет для доступа в Headlamp;
• обновлять версию кластера;
• изменять тип виртуальной машины;
• изменять размер диска Prometheus;
• добавлять или удалять группу узлов;
• изменять настройки масштабирования групп узлов;
• изменять метки (labels) и ограничения (taints);
• устанавливать или удалять аддоны.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.

В сервисе Cloud Audit роль позволяет просматривать события сервиса Managed Containers и собственные действия пользователя, а также выгружать эти данные.

Название в личном кабинете: Администратор виртуальных машин.

Роль предоставляет полный доступ к управлению виртуальными машинами в Cloud Servers, включая создание, изменение и удаление. Также предоставляется полный доступ к управлению сетями в Cloud Network.

Не может настраивать резервное копирование виртуальных машин с помощью Cloud Backup.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.

В сервисе Cloud Audit роль позволяет просматривать все события проекта.

Название в личном кабинете: Младший администратор ВМ.

Роль с теми же привилегиями, что и у роли mcs_admin_vm, но без возможности управлять группами безопасности в Cloud Network.

В сервисе Cloud Logging роль позволяет просматривать логи и генерировать учетные данные.

В сервисе Cloud Monitoring роль позволяет просматривать, создавать и редактировать дашборды, а также делать запись в систему мониторинга.

В сервисе Cloud Audit роль позволяет просматривать все события проекта.

Название в личном кабинете: Оператор ВМ.

Роль используется только для работы с уже созданными виртуальными машинами Cloud Servers и сетями Cloud Networks:

• запуск или остановка ВМ;
• работа с ВМ через VNC-консоль;
• подключение к ВМ через SSH или RDP;
• просмотр параметров ВМ и сетевых настроек.

В сервисе Cloud Logging роль позволяет просматривать логи.

В сервисе Cloud Monitoring роль позволяет просматривать дашборды и делать запись в систему мониторинга.

Роль не предоставляет доступ к сервису Cloud Audit.