Политики и группы#

Пользователю необходимо явным образом предоставить права для работы с конкретным сервисом К2 Облака. Права — привилегии в терминологии IAM — предоставляются путём назначения пользователю политик, где описываются разрешённые действия (разрешения). Как правило, пользователю назначается несколько политик, совокупность которых описывает имеющиеся у него привилегии. Описания политик хранятся в виде документа в формате JSON.

Чтобы не предоставлять привилегии каждому пользователю по отдельности, К2 Облако использует механизм групп. Как и пользователям, группам можно назначить собственные политики. При включении в группу пользователь получает все привилегии этой группы. Пользователя можно включить в несколько групп. Полученные в результате привилегии объединяются с привилегиями, которые пользователю предоставляют индивидуальные политики.

Политики и группы делятся на глобальные и проектные в зависимости от того, действия с какими сервисами они разрешают. Глобальные политики предоставляют разрешения на глобальные сервисы, проектные, соответственно, — на проектные. Одной группе нельзя назначать разные типы политик, т. е. группа может быть либо глобальной, либо проектной. При назначении пользователю проектной политики или включении его в проектную группу указывается проект, в котором ему предоставляются соответствующие привилегии.

Внимание

Для управления привилегиями пользователей мы советуем использовать группы вместо политик, так как это позволяет упростить предоставление привилегий: их не надо выдавать каждому пользователю индивидуально.

Политики#

Политики описывают набор разрешений на действия, которые пользователь может выполнять с облачными ресурсами. Например, пользователю можно разрешить запускать и останавливать экземпляры, но не удалять их.

Политики могут быть глобальными или проектными в зависимости от того, действия с какими сервисами они разрешают. В одной политике нельзя смешивать разрешения на сервисы разных типов. При назначении пользователю проектной политики необходимо указать проект, в котором ему предоставляются соответствующие привилегии.

Вы можете определить собственные или использовать предопределённые политики, которые предоставляет К2 Облако. По умолчанию в К2 Облаке доступны следующие политики:

Глобальные политики#

Политика

Описание

BillingFullAccess

Полный доступ к биллинговой информации

IAMFullAccess

Полный набор разрешений для администрирования пользователей, проектов и групп в рамках IAM
Проектные политики#

Политика

Описание

AutoScalingFullAccess

Полный набор разрешений для работы с группами экземпляров и управления политиками масштабирования

BackupFullAccess

Полный набор разрешений для управления резервным копированием

BackupOperationsPolicy

Все действия с резервными копиями за исключением их удаления

CloudTrailFullAccess

Полный набор разрешений для работы с журналом действий

CloudWatchFullAccess

Полный набор разрешений для работы с сервисом мониторинга

CloudWatchReadOnlyAccess

Набор разрешений для доступа к сервису мониторинга в режиме просмотра

EC2FullAccess

Полный набор разрешений для управления инфраструктурным сервисом

EC2ReadOnlyAccess

Набор разрешений для доступа к инфраструктурному сервису в режиме просмотра

EFSFullAccess

Полный набор разрешений для работы с Elastic File System

EKSClusterPolicy

Необходимые разрешения для сервисного пользователя для доступа ко всем провайдерам кластера Kubernetes

EKSClusterAutoscalerPolicy

Необходимые разрешения для специального пользователя в провайдере Cluster Autoscaler для масштабирования групп рабочих узлов

EKSCSIPolicy

Необходимые разрешения для специального пользователя в EBS-провайдере для управления дисками

EKSNLBPolicy

Необходимые разрешения для специального пользователя в ELB-провайдере для управления балансировщиками нагрузки

EKSFullAccess

Полный набор разрешений для управления кластерами Kubernetes

ELBFullAccess

Полный набор разрешений для управления балансировщиками нагрузки

PaaSBackupPolicy

Необходимый набор разрешений для сервиса PaaS для выполнения резервного копирования

PaaSFullAccess

Полный набор разрешений для управления всеми сервисами PaaS

RCFullAccess

Полный набор разрешений для доступа к удалённой консоли через Web

RCReadOnlyAccess

Набор разрешений для доступа к удалённой консоли через Web в режиме просмотра

RGTFullAccess

Полный набор разрешений для управления тегами ресурсов

Route53FullAccess

Полный набор разрешений для управления сервисом DNS

S3FullAccess

Полный набор разрешений для работы с объектным хранилищем

SQSFullAccess

Полный набор разрешений для управления очередями сообщений

Важно

Политика CloudTrailFullAccess позволяет пользователю контролировать события во всех проектах компании независимо от того, в каком проекте они были добавлены.

Создать политику#

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Политики. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Нажмите Создать.

  4. На открывшейся странице задайте имя политики, тип политики (глобальная или проектная) и, опционально, описание.

  5. Для добавления разрешений в политику:

    • В блоке Настройки разрешений откройте вкладку Форма и выберите сервис из раскрывающегося списка.

    • Во вложенном блоке Настройка разрешений выберите разрешённые действия. Если вы хотите разрешить все действия с сервисом, установите флаг Доступные разрешения.

    • Для разрешения действий с другим сервисом нажмите Добавить и задайте следующий набор разрешений.

    Примечание

    Мастер создания политики предоставляет возможность задать и редактировать политику непосредственно в формате JSON. Для этого переключитесь на вкладку JSON-редактор.

  6. После добавления всех необходимых разрешений нажмите Создать.

Изменить разрешения#

При добавлении разрешений все пользователи, которым назначена эта политика, получат соответствующие привилегии. Например, если вы добавили разрешение на удаление экземпляров, то они смогут удалять экземпляры. Однако при удалении разрешений из политики у некоторых пользователей могут остаться соответствующие привилегии, если они предоставляются другими политиками, которые им назначены, или группами, в которые они входят.

Важно

Предопределённые политики изменить нельзя.

Чтобы изменить разрешения, которые предоставляет политика:

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Политики. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Выберите политику в списке ресурсов. Для быстрого нахождения политики вы можете воспользоваться поиском по имени и описанию.

  4. Нажмите Редактировать политику на всплывающей панели действий.

  5. На открывшейся странице вы можете изменить описание политики и предоставленные разрешения для сервисов.

    Чтобы добавить разрешения для сервиса, который не включён в политику:

    • В блоке Настройки разрешений на вкладке Форма нажмите Добавить.

    • Выберите сервис из раскрывающегося списка в появившемся блоке.

    • Во вложенном блоке Настройка разрешений выберите разрешённые действия. Если вы хотите разрешить все действия с сервисом, установите флаг Доступные разрешения.

    Чтобы изменить разрешения для сервиса, который включён в политику:

    • На вкладке Форма найдите блок с разрешениями для сервиса.

    • Установите или снимите флаг возле действия, которое вы хотите добавить или исключить из числа разрешённых.

    Чтобы удалить разрешения на все действия с сервисом:

    • На вкладке Форма найдите блок с разрешениями для сервиса.

    • Снимите флаги возле всех разрешённых действий, если разрешены не все действия. Снимите флаг возле имени сервиса, если разрешены все действия.

    Примечание

    Вы можете изменить разрешения в редакторе JSON. Для этого переключитесь на вкладку JSON-редактор.

  6. После внесения всех необходимых изменений нажмите Сохранить.

Вы можете также изменить разрешения на странице политики на вкладке Информация.

Дублировать политику#

Вы можете создать политику на основе уже существующей.

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Политики. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Выберите политику в списке ресурсов. Для быстрого нахождения политики вы можете воспользоваться поиском по имени и описанию.

  4. Нажмите Дублировать политику на всплывающей панели действий.

  5. На открывшейся странице задайте имя для новой политики. Вы можете также изменить описание политики и настроить предоставленные разрешения для сервисов:

    Чтобы добавить разрешения для сервиса, который не включён в политику:

    • В блоке Настройки разрешений на вкладке Форма нажмите Добавить.

    • Выберите сервис из раскрывающегося списка в появившемся блоке.

    • Во вложенном блоке Настройка разрешений выберите разрешённые действия. Если вы хотите разрешить все действия с сервисом, установите флаг Доступные разрешения.

    Чтобы изменить разрешения для сервиса, который включён в политику:

    • На вкладке Форма найдите блок с разрешениями для сервиса.

    • Установите или снимите флаг возле действия, которое вы хотите добавить или исключить из числа разрешённых.

    Примечание

    Разрешения можно настроить в редакторе JSON. Для этого переключитесь на вкладку JSON-редактор.

  6. После внесения всех необходимых изменений нажмите Создать.

Просмотреть политику в формате JSON#

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Политики. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Выберите политику в списке ресурсов. Для быстрого нахождения политики вы можете воспользоваться поиском по имени и описанию.

  4. Нажмите Показать JSON на всплывающей панели действий.

  5. После просмотра политики нажмите для закрытия окна.

Описание политики в формате JSON можно также посмотреть на странице политики. Для этого на вкладке Информация в блоке Разрешения политики переключитесь на вкладку JSON-формат.

Удалить политику#

Прежде чем удалять политику, её надо удалить у всех пользователей, которым она назначена, и из всех групп, в которые она добавлена.

Примечание

Предопределённые политики удалить нельзя.

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Политики. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Выберите политику в списке ресурсов. Для быстрого нахождения политики вы можете воспользоваться поиском по имени и описанию.

  4. Нажмите Удалить на всплывающей панели действий.

  5. Подтвердите действие в открывшемся окне.

Вы можете также удалить политику на её странице на вкладке Информация.

Группы#

Использование групп позволяет предоставлять одинаковые привилегии сразу всем членам группы, а не назначать их каждому пользователю индивидуально. При включении в группу пользователь получает все привилегии, которые предоставляет эта группа. При изменении разрешений группы привилегии автоматически изменятся у всех входящих в неё пользователей.

Привилегии группы определяются тем, какие политики ей назначены. В зависимости от типа — глобальная или проектная — группам могут быть назначены только политики соответствующего типа. При включении пользователей в проектную группу необходимо указать проект, в котором им будут предоставлены привилегии группы.

Вы можете создать собственные группы, либо использовать предопределённые группы, которые предоставляет К2 Облако. По умолчанию в К2 Облаке доступны следующие группы:

Группа

Тип

Описание

Применяемые политики

ActivityLogAdministrators
(администраторы журнала событий)

Проектная

Полный набор разрешений для работы с сервисом Журнал действий

CloudTrailFullAccess
S3FullAccess

AutoScalingAdministrators
(администраторы сервиса Auto Scaling)

Проектная

Полный набор разрешений для работы с сервисом Auto Scaling

AutoScalingFullAccess

BackupAdministrators
(администраторы резервного копирования)

Проектная

Полный набор разрешений для управления резервным копированием

BackupFullAccess

BackupOperators
(пользователи резервного копирования)

Проектная

Все действия с резервными копиями за исключением их удаления

BackupOperationsPolicy

BillingAdministrators
(администраторы биллинга)

Глобальная

Полный доступ к биллинговой информации

BillingFullAccess

CloudAdministrators
(администраторы облака)

Проектная

Полный набор разрешений для работы со всеми ресурсами проекта, кроме доступа к сервису Журнал действий и удаления резервных копий

AutoScalingFullAccess
BackupOperationsPolicy
CloudWatchFullAccess
EC2FullAccess
EFSFullAccess
EKSFullAccess
ELBFullAccess
PaaSFullAccess
RCFullAccess
RGTFullAccess
Route53FullAccess
S3FullAccess
SQSFullAccess

ELBAdministrators
(администраторы балансировщиков нагрузки)

Проектная

Полный набор разрешений для работы с балансировщиками нагрузки

ELBFullAccess

IAMAdministrators
(администраторы IAM)

Глобальная

Полный набор разрешений для администрирования пользователей и проектов в рамках IAM

IAMFullAccess

InstanceAdministrators
(администраторы экземпляров)

Проектная

Необходимые привилегии для работы с экземплярами

CloudWatchFullAccess
EC2FullAccess
RCFullAccess

InstanceViewers
(пользователи экземпляров)

Проектная

Необходимые привилегии для доступа к экземплярам в режиме просмотра

CloudWatchReadOnlyAccess
EC2ReadOnlyAccess
RCReadOnlyAccess

ObjectStorageAdministrators (администраторы объектного хранилища)

Проектная

Полный набор разрешений для работы с объектным хранилищем

S3FullAccess

Route53Administrators (администраторы сервиса DNS)

Проектная

Полный набор разрешений для работы с сервисом DNS

Route53FullAccess

Создать группу#

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Группы. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Нажмите Создать.

  4. На открывшейся странице задайте имя для группы и выберите тип группы (глобальная или проектная).

  5. В блоке Политики выберите политики, которые следует добавить в группу. Для быстрого нахождения политики вы можете воспользоваться поиском по её имени.

  6. После добавления всех необходимых политик нажмите Создать.

Изменить назначенные политики#

Вы можете назначить группе другие политики после её создания. В результате изменятся соответствующие привилегии у пользователей, которые входят в эту группу.

Важно

Для предопределённых групп нельзя изменить назначенные им политики.

Чтобы изменить назначенные группе политики:

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Группы. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Найдите группу в списке ресурсов. Для быстрого нахождения группы вы можете воспользоваться поиском по её имени. Нажмите на имя группы для перехода на её страницу.

  4. В блоке Список политик нажмите на для внесения изменений в список политик.

  5. Найдите нужные политики в дереве политик. Для быстрого нахождения политики вы можете воспользоваться поиском по её имени. Включённые в группу политики отображаются в окне справа от дерева политик.

    Для добавления политики в группу выберите её (установите возле политики). Для удаления политики из группы снимите возле имени политики, либо нажмите на возле имени политики в окне справа от дерева политик.

  6. Нажмите Сохранить.

Вы можете также изменить назначенные политики на вкладке Информация и политики на странице группы.

Изменить состав пользователей группы#

Добавить пользователей в группу#

При добавлении пользователей в проектную группу необходимо указать проект, в котором им будут предоставлены привилегии данной группы.

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Группы. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Найдите группу в списке ресурсов. Для быстрого нахождения группы вы можете воспользоваться поиском по её имени. Нажмите на имя группы для перехода на её страницу.

  4. Откройте вкладку Пользователи и нажмите Добавить пользователей.

  5. Для проектной группы выберите проект, разрешения на работу с которым будут предоставлены пользователям. В случае глобальной группы поле Проект отсутствует.

  6. В поле Пользователи выберите добавляемых пользователей из раскрывающегося списка.

  7. Для завершения операции нажмите Добавить.

Удалить пользователей из группы#

В случае проектной группы один и тот же пользователь может иметь привилегии в нескольких проектах. Соответственно, для удаления пользователя из группы надо выбрать все проекты, где пользователю предоставлены привилегии.

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Группы. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Найдите группу в списке ресурсов. Для быстрого нахождения группы вы можете воспользоваться поиском по её имени. Нажмите на имя группы для перехода на её страницу.

  4. Откройте вкладку Пользователи. В случае проектной группы в селекторе выбора проектов выберите Все проекты.

  5. Выберите в таблице ресурсов пользователя или пользователей, которых вы хотите удалить из группы. Для быстрого нахождения конкретного пользователя можно воспользоваться поиском по его имени. В случае проектной группы необходимо выбрать все вхождения пользователя.

  6. Нажмите Удалить на всплывающей панели действий.

  7. Подтвердите удаление в открывшемся окне.

Отменить групповые привилегии в проекте#

Чтобы отменить привилегии пользователя в конкретном проекте в случае проектной группы:

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Группы. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Найдите группу в списке ресурсов. Для быстрого нахождения группы вы можете воспользоваться поиском по её имени. Нажмите на имя группы для перехода на её страницу.

  4. Откройте вкладку Пользователи и выберите нужный проект в селекторе проектов.

  5. Выберите в таблице ресурсов пользователя или пользователей, у которых необходимо отозвать групповые привилегии в выбранном проекте. Для быстрого нахождения конкретного пользователя можно воспользоваться поиском по его имени.

  6. Нажмите Удалить на всплывающей панели действий.

  7. Подтвердите действие в открывшемся окне.

Удалить группу#

Примечание

Прежде чем удалять группу, необходимо удалить из неё всех пользователей.

  1. В веб-интерфейсе раскройте боковое меню, нажав на иконку .

  2. Перейдите в раздел IAM Группы. Для быстрого нахождения раздела вы можете воспользоваться поиском по меню.

  3. Выберите группу в списке ресурсов. Для быстрого нахождения группы вы можете воспользоваться поиском по её имени.

  4. Нажмите Удалить на всплывающей панели действий.

  5. Подтвердите действие в открывшемся окне.

Вы можете также удалить группу на её странице.