Управление доступом^Beta

Чтобы разграничить права для приглашенных участников проекта или сервисных учетных записей, в Cloud Kafka используется единый сервис управления идентификацией и доступом — IAM. Управлять доступами можно централизованно из личного кабинета VK Cloud.

Список доступных участнику проекта действий в сервисе Cloud Kafka определяет:

• Базовая роль — задает набор прав, доступных по умолчанию.

• Отдельные разрешения — назначаются дополнительно, если входящих в базовую роль недостаточно.

Для сервиса Cloud Kafka нет специализированных ролей.

Роли и разрешения могут назначать только участники проекта с ролями Владелец проекта, Суперадминистратор и Администратор пользователей (IAM). При выдаче ролей и разрешений придерживайтесь принципа минимальных привилегий: пользователь должен иметь только те права, без которых невозможно выполнить его задачи.

Базовые роли Владелец проекта, Суперадминистратор и Администратор проекта получают полный доступ ко всем операциям Cloud Kafka, настраивать отдельные разрешения не нужно.

Для разграничения доступа может использоваться базовая роль Администратор пользователей (IAM) или Наблюдатель с дополнительными разрешениями. По умолчанию доступ к Cloud Kafka у этих базовых ролей ограничен:

• Администратор пользователей (IAM): нет доступа.
• Наблюдатель: только просмотр части информации о ранее созданных экземплярах сервиса Cloud Kafka.

Вы можете выдать любые разрешения, создав подходящую для вас ролевую модель.

Разрешены все действия, в том числе создание и удаление экземпляров сервиса Cloud Kafka. Участник проекта с широкими компетенциями и высокой долей ответственности может использовать этот уровень доступа. Создание новых экземпляров сервиса может увеличить затраты на инфраструктуру, а удаление — безвозвратная операция, способная нарушить работу приложения, которое использует ваш экземпляр сервиса Cloud Kafka.

Имеет почти все разрешения, кроме создания и удаления экземпляров сервиса Cloud Kafka. Может использоваться участником проекта, выполняющим роль оператора инфраструктуры или DevOps-инженера для управления уже созданными экземплярами сервиса. Также предполагает влияние на стоимость услуг, но только за счет масштабирования уже существующих экземпляров сервиса.

Не имеет доступа к управлению экземплярами сервиса, может только просматривать информацию о них, за исключением данных для аудита. Также позволяет создавать, удалять и просматривать mirror-подключения для репликации данных между кластерами Kafka. Может использоваться участниками проекта, которые работают с данными, например, разработчиками или инженерами данных.

Не может изменять параметры экземпляра сервиса Cloud Kafka и не имеет доступа к графическому интерфейсу сервиса в личном кабинете. Используется исключительно для аудита: изучение логов и истории событий, а также просмотр списка пользователей. Как правило, подходит для сотрудников службы безопасности.