Права доступа
Назначение прав доступа позволяет контролировать, кто и какие операции может выполнять в VK Registry. Права доступа назначаются ролям, а роли — пользователям (подробнее — в разделе Роли).
Перед созданием и назначением прав доступа VK Registry ознакомьтесь с их особенностями. Подробнее — в разделе Особенности прав доступа.
- Авторизуйтесь в VK Registry с помощью учетной записи администратора.
- Перейдите в раздел Безопасность → Права доступа.
Для создания права доступа нужен селектор содержимого (подробнее — в разделе Селекторы содержимого).
Чтобы создать право доступа на основе селектора содержимого:
-
Авторизуйтесь в VK Registry с помощью учетной записи администратора.
-
Перейдите в раздел Безопасность → Права доступа.
-
Нажмите кнопку Создать право доступа.
-
В блоке Общие параметры заполните поля:
- Имя — уникальное имя права доступа;
- (Опционально) Описание — описание права доступа.
-
В блоке Доступ заполните поля:
-
(Опционально) Формат репозитория — формат репозитория, к которому применяется право. Выберите конкретный формат или оставьте значение по умолчанию Все форматы.
-
(Опционально) Репозиторий — репозиторий, к которому применяется право доступа. Список репозиториев фильтруется по выбранному формату. Если репозиторий не указан, право применяется ко всем репозиториям выбранного формата.
-
Селектор содержимого — селектор, на основе которого создается право доступа.
-
Действия — хотя бы одно действие, доступное пользователю в пределах селектора содержимого:
- Чтение — скачивание артефактов из репозитория;
- Добавление — загрузка артефактов в репозиторий;
- Изменение — изменение существующих артефактов;
- Удаление — удаление артефактов из репозитория;
- Просмотр — отображение артефактов в репозитории.
-
-
Нажмите кнопку Сохранить.
Назначьте созданное право доступа роли, а роль — пользователям (подробнее — в разделе Роли).
Отредактировать можно только права доступа, которые созданы на основе селектора содержимого. Системные права доступа недоступны для редактирования.
Доступны для изменения все параметры кроме Имя.
- Авторизуйтесь в VK Registry с помощью учетной записи администратора.
- Перейдите в раздел Безопасность → Права доступа.
- Нажмите на имя нужного права доступа.
- Отредактируйте параметры.
- Нажмите кнопку Сохранить.
Если нужно изменить выражение CSEL, которое ограничивает доступ по пути внутри репозитория, отредактируйте соответствующий селектор содержимого или создайте и добавьте в правило новый селектор (подробнее — в разделе Селекторы содержимого).
Удалить можно только права доступа, которые созданы на основе селектора содержимого. Системные права доступа недоступны для удаления.
- Авторизуйтесь в VK Registry с помощью учетной записи администратора.
- Перейдите в раздел Безопасность → Права доступа.
- Нажмите
в строке нужного права доступа и выберите пункт Удалить. - Подтвердите удаление.
Если запрос идет через URL-адрес группового репозитория, права доступа к группе действуют на все репозитории-участники. Прямой запрос к репозиторию-участнику требует отдельных прав на него.
Применимо как к системным правам доступа (подробнее — в разделе Системные права доступа), так и к правам на основе селекторов содержимого.
Права доступа, созданные на основе селектора содержимого, не отзывают доступ, выданный другими правами. Например, если у пользователя уже есть доступ ко всему репозиторию, новое право с селектором не ограничит этот доступ. Чтобы ограничение доступа к репозиторию работало, назначайте пользователю только права доступа на основе селекторов.
Загрузка артефактов в репозитории PyPI и APT выполняется в корень, путь в запросе не указывается. Поэтому селекторы содержимого не применяются для загрузки артефактов. Право доступа на загрузку выдается только на весь репозиторий.
-
Вход в реестр Docker (
docker login, путь/v2/) не требует прав доступа к конкретному репозиторию, поэтому селекторы содержимого не применяются. -
Поиск через клиент Docker (
docker search) не ограничивается селекторами содержимого. Если разрешить действие Чтение по пути/v1/search, пользователь сможет искать по всем образам репозитория. Это может нарушить разграничение прав доступа. -
Скачивание образов можно ограничить селектором содержимого. Разрешите действие Чтение по пути к образу
path =^ "/v2/<ОБРАЗ>/". Здесь<ОБРАЗ>— это имя образа, напримерlibrary/ubuntuилиmy-project/my-image. -
Загрузку образов можно ограничить селектором содержимого. Разрешите оба действия Добавление и Изменение по пути к образу
path =^ "/v2/<ОБРАЗ>/". Путь черезlibraryдля загрузки не применяется. -
Отображение слоев образов не ограничивается селекторами содержимого. Если настроить доступ по имени образа, это не даст доступ к отдельным слоям образов ни в интерфейсе, ни через API-запросы. Пользователь увидит манифесты и теги, но не слои.
Право доступа на просмотр слоев выдается только на весь репозиторий.
Список системных прав доступа, которые есть в VK Registry по умолчанию, представлен в таблице 1.
Имя | Описание |
|---|---|
| Все права доступа |
| Все права доступа для работы с аналитическими данными |
| Все права доступа для управления ключами API |
| Все права доступа для работы с инструментами поддержки |
| Все права доступа для работы с blob-хранилищами (хранилищами бинарных данных) |
| Право доступа на создание blob-хранилищ |
| Право доступа на удаление blob-хранилищ |
| Право доступа на просмотр blob-хранилищ |
| Право доступа на редактирование blob-хранилищ |
| Все права доступа для работы с модулями |
| Право доступа на просмотр модулей |
| Все права доступа для работы с дополнительными возможностями VK Registry. Пример: аудит изменений в системе |
| Право доступа на создание дополнительных возможностей |
| Право доступа на удаление дополнительных возможностей |
| Право доступа на просмотр дополнительных возможностей |
| Право доступа на редактирование дополнительных возможностей |
| Право доступа на загрузку компонентов |
| Все права доступа для работы с хранилищами данных |
| Право доступа на создание хранилищ данных |
| Право доступа на удаление хранилищ данных |
| Право доступа на просмотр хранилищ данных |
| Право доступа на редактирование хранилищ данных |
| Право доступа на просмотр настроек аутентификации по HTTP-заголовку |
| Право доступа на редактирование настроек аутентификации по HTTP-заголовку |
| Все права доступа для работы с LDAP-подключениями |
| Право доступа на создание LDAP-подключения |
| Право доступа на удаление LDAP-подключения |
| Право доступа на просмотр LDAP-подключения |
| Право доступа на редактирование LDAP-подключения |
| Все права доступа для работы с логами |
| Право доступа на добавление маркера при работе с логами |
| Право доступа на просмотр системы логирования |
| Право доступа на редактирование системы логирования |
| Все права доступа для работы с метриками |
| Все права доступа для настроек OIDC |
| Право доступа на создание настроек OIDC |
| Право доступа на удаление настроек OIDC |
| Право доступа на просмотр настроек OIDC |
| Право доступа на редактирование настроек OIDC |
| Все права доступа для работы с правами доступа |
| Право доступа на создание прав доступа |
| Право доступа на удаление прав доступа |
| Право доступа на просмотр прав доступа |
| Право доступа на редактирование прав доступа |
| Право доступа на выполнение действия с одним или несколькими репозиториями. Здесь:
К определенным действиям относятся:
|
| Право доступа на выполнение действия с содержимым одного или нескольких репозиториев. Здесь:
К определенным действиям относятся:
|
| Все права доступа для работы с ролями |
| Право доступа на создание роли |
| Право доступа на удаление роли |
| Право доступа на просмотр роли |
| Право доступа на редактирование роли |
| Все права доступа для работы с пользовательскими скриптами на языке Groovy через REST API. Эта категория прав не управляет общим доступом к REST API |
| Право доступа на создание скриптов |
| Право доступа на просмотр списка скриптов, но не их кода |
| Право доступа на удаление скриптов |
| Право доступа на редактирование скриптов |
| Право доступа на просмотр кода скриптов |
| Право доступа на запуск скриптов |
| Право доступа к поиску |
| Полный доступ к управлению базой данных политик безопасности при работе с плагином Security Firewall |
| Право доступа на получение снимка политик безопасности при работе с плагином Security Firewall |
| Полный доступ к управлению подключением Security Manager при работе с плагином Security Firewall |
| Право доступа на удаление подключения Security Manager при работе с плагином Security Firewall |
| Право доступа на редактирование подключения Security Manager при работе с плагином Security Firewall |
| Полный доступ к управлению базой данных уязвимостей при работе с плагином Security Firewall |
| Право доступа на получение снимка данных об уязвимостях при работе с плагином Security Firewall |
| Все права доступа для работы с селекторами содержимого |
| Право доступа на создание селекторов содержимого |
| Право доступа на удаление селекторов содержимого |
| Право доступа на просмотр селекторов содержимого |
| Право доступа на редактирование селекторов содержимого |
| Все права доступа для работы с настройками |
| Право доступа на просмотр настроек |
| Право доступа на редактирование настроек |
| Право доступа на перемещение объектов в корзину |
| Право доступа на безвозвратное удаление объектов из корзины |
| Право доступа на восстановление объектов из корзины |
| Право доступа на редактирование настроек корзины |
| Право доступа на просмотр корзины: содержимое и общая информация |
| Все права доступа для работы с SSL-сертификатами |
| Право доступа на добавление SSL-сертификатов |
| Право доступа на удаление SSL-сертификатов |
| Право доступа на просмотр SSL-сертификатов |
| Право доступа на редактирование SSL-сертификатов |
| Все права доступа для работы с задачами |
| Право доступа на создание задач |
| Право доступа на удаление задач |
| Право доступа на просмотр задач |
| Право доступа на запуск запланированных задач |
| Право доступа на редактирование задач |
| Все права доступа для работы с пользователями |
| Право доступа на создание пользователей |
| Право доступа на удаление пользователей |
| Право доступа на просмотр пользователей |
| Право доступа на редактирование пользователей |
| Право доступа на смену пароля |
| Право доступа на управление своими токенами |
| Право доступа на управление настройками токенов |
| Право доступа на управление токенами других пользователей |