- tocdepth
2
Управление доступом и правами на платформе Advanced
Платформа Advanced предоставляет систему ролей и политик доступов к ресурсам в облаке для выполнения определенных операций разными проектными командами, динамического распределения ресурсов и повышения безопасности. Логическое разграничение доступов и группировка по проектам возможны с помощью сервисов Identity and Access Management и Enterprise Project Service.
Например, когда внутри одной компании существует несколько архитектурно различающихся облачных систем, то их удобно изолировать друг от друга с помощью IAM-проектов. При этом с помощью EPS можно выдать доступ на редактирование группам разработчиков к отдельным ресурсам в IAM-проектах, группе администраторов предоставить полный доступ ко всем ресурсам во всех IAM-проектах, а тестировщикам обеспечить доступ только на чтение.
В этой статье разберем управление двумя проектами с разным набором ресурсов в каждом из них, а также назначим доступы для разных ролей пользователей внутри этих систем.
Об IAM и EPS
- Identity and Access Management (IAM)
Система управления пользователями, группами пользователей, ролями и политиками, с помощью которых администратор контролирует доступ к облачным ресурсам. IAM-пользователем может быть сотрудник или приложение в корпоративной инфраструктуре. IAM позволяет создавать проекты, которые предоставляют изолированный доступ к ресурсам для департаментов, проектных команд и другим группам пользователей.
- Enterprise Project Management Service (EPS)
Система управления корпоративными проектами. EPS позволяет гибко настраивать пользовательские политики и управлять доступом к облачным ресурсам на уровне проекта и организации.
Различие этих сервисов в том, что IAM изолирует ресурсы (например, виртуальную машину нельзя добавить в сеть другого проекта), а EPS не изолирует. И более того, EPS позволяет объединять ресурсы из разных IAM-проектов.
Еще одно различие заключается в предоставлении доступа к ресурсам: IAM-проект дает доступ ко всем экземплярам конкретного сервиса (например, ко всем ВМ), а EPS позволяет дать права только на часть ресурсов.
Архитектура решения
- Концепция:
Создается два IAM-проекта («System-1» и «System-2») с разными выделенными ресурсами в них. Они взаимодействуют с IAM-проектом («default»), в котором содержатся общие ресурсы первого и второго проекта.
Управление доступами внутри IAM организовано по группам пользователей EPS, которые различаются правами: «System-1-test», «System-1-prod», «System-2-test», «System-2-shared», «System-2-prod» с помощью EPS-проекта.
Допустим, в команде есть роли: девопсы (DevOps), администраторы (Admins), сетевые инженеры (Network Admins), разработчики (Developers), тестировщики (Testers), служба поддержки (Support). Концепция подразумевает, что:
Девопсы получат доступ на чтение и изменение всех ресурсов внутри всех систем, но не смогут добавлять или удалять пользователей.
Админы будут иметь полные права на тенант.
Сетевые инженеры смогут просматривать и изменять ресурсы в своем IAM-проекте.
У разработчиков будет доступ на все изменения, но только внутри своего проекта, при этом для продовой и тестовой среды доступы будут различаться.
Тестировщики смогут только просматривать ресурсы внутри своего проекта.
Служба поддержки получит доступ только на просмотр ресурсов внутри своего IAM-проекта.
- Проекты формируются в зависимости от:
Назначения ресурсов — общие или конкретная система.
Среды — разработка, тестирование, продуктивная.
- IAM-проекты на схеме:
default — общие для глобальной облачной инфраструктуры ресурсы.
System-1 — все ресурсы, относящиеся к первому проекту. Физически изолированы от ресурсов других проектов.
System-2 — все ресурсы, относящиеся ко второму проекту. Физически изолированы от ресурсов других проектов.
- EPS (Enterprise Project Management Service) проекты на схеме:
default — логическая группировка общих ресурсов.
System-1-test — доступ пользователей к тестовой среде проекта «System-1».
System-1-prod — доступ пользователей к продуктивной среде проекта «System-1».
System-2-test — доступ пользователей к тестовой среде проекта «System-2».
System-2-prod — доступ пользователей к продуктивной среде проекта «System-2».
System-2-shared — общие ресурсы для команд «System-2-test» и «System-2-prod» нескольких сред проекта «System-2».
Командам предоставляются отдельные права на часть ресурсов IAM-проекта в соответствии с Enterprise-проектами.
Сервис |
Проект |
Роль |
Доступ |
---|---|---|---|
IAM |
System-1 |
Cloud-admins |
Tenant Admin |
IAM |
System-1 |
DevOps |
ReadAndWrite |
IAM |
System-1 |
Сетевые инженеры |
IAM ReadOnlyAccess |
IAM |
System-2 |
Cloud-admins |
Tenant Admin |
IAM |
System-2 |
DevOps |
ReadAndWrite |
IAM |
System-2 |
Сетевые инженеры |
IAM ReadOnlyAccess |
IAM |
default |
System-1 Developers |
IAM ReadOnlyAccess |
IAM |
default |
System-1 Support |
IAM ReadOnlyAccess |
IAM |
default |
System-2 Developers |
IAM ReadOnlyAccess |
IAM |
default |
System-2 Support |
IAM ReadOnlyAccess |
IAM |
default |
DevOps |
IAM ReadOnlyAccess |
IAM |
default |
Сетевые инженеры |
ReadAndWrite |
EPS |
System-1-test |
Developers |
Full Access |
EPS |
System-1-test |
Support |
Full Access |
EPS |
System-1-prod |
Developers |
IAM ReadOnlyAccess |
EPS |
System-1-prod |
Support |
ReadAndWrite |
EPS |
System-2-test |
Developers |
Full Access |
EPS |
System-2-test |
Support |
Full Access |
EPS |
System-2-prod |
Developers |
ReadAndWrite |
EPS |
System-2-prod |
Support |
IAM ReadOnlyAccess |
EPS |
System-2-shared |
Developers |
Full Access |
EPS |
System-2-shared |
Support |
Full Access |
Перед началом работы
Для примера работы с проектом используются предварительно настроенные ресурсы платформы Advanced:
Внимание
Перед реализацией схемы распределения доступов по нескольким проектам IAM убедитесь, что квота позволяет создавать проекты. Чтобы расширить квоту, обратитесь в техническую поддержку.
Размер квоты можно посмотреть в разделе My Quotas:
В консоли управления нажмите на значок
(My Quotas) в правом верхнем углу окна.
Найдите сервис Identity and Access Management и посмотрите квоту.
Создание двух проектов с помощью IAM
Создадим два IAM-проекта с ресурсами:
Войдите в консоль управления Advanced в роли администратора.
В меню выберите
.На вкладке Users создайте пользователей, если они ранее не были созданы.
См.также
В панели слева выберите Projects и нажмите Create Project.
Дайте название проекту и сохраните его. В нашем примере это «System-1».
В панели слева выберите Users Groups и нажмите Create User Group.
Введите название группы (например, «Cloud-admins») и нажмите OK.
Нажмите на название группы, чтобы добавить разрешения и пользователей в нее.
На вкладке Permissions нажмите Assign Permissions.
Отметьте разрешение с полным доступом к ресурсам — Tenant Administrator.
Нажмите OK.
Перейдите на вкладку Users и нажмите Add.
Отметьте всех пользователей, которые будут находиться в группе администраторов.
Нажмите OK.
Повторите данные действия с группами пользователей — Developers, Network Admins. Дайте соответствующие разрешения для них.
Первый проект создан, создайте второй проект. В нашем примере он называется «System-2».
Разграничение доступов с помощью EPS
Для разграничения доступов по средам создадим пять групп пользователей. Это тестовая и продуктивная среда для System-1, а также тестовая, продуктивная и общая среда для System-2.
Войдите в консоль управления Advanced в роли администратора.
В шапке профиля Advanced, в правом верхнем углу, найдите ваш логин и нажмите на стрелку вниз.
В выпадающем меню выберите Enterprise Management.
В правом верхнем углу нажмите на кнопку Create Enterprise Project.
Откроется окно с двумя полями для заполнения:
Name — назовите проект. В нашем примере название — «System-1-test».
Description — описание.
После создания нажмите на название нового EPS, чтобы настроить группы пользователей и разрешения для них:
В настройках EPS перейдите на вкладку Permissions.
Нажмите Assign Permissions.
Выберите группу пользователей, созданную ранее в проекте IAM. В нашем примере такие группы называются «Developers» и «Support». Так как доступы у этих групп одинаковые, то их можно добавить в один EPS-проект.
Нажмите Next и настройте политику. Для данной группы в этом примере используется «Full Access».
Для сохранения настроек нажмите OK.
Теперь пользователи из групп «Developers» и «Support» имеют полный доступ для работы с ресурсами «System-1-test». При входе в проект пользователи из этих групп будут видеть все ресурсы и у них будет возможность создать, изменить или удалить экземпляр ресурса.
Создайте продуктивную среду для «System-1-prod», где для пользователей среды будет отдельный доступ.
По аналогии с первым EPS-проектом создайте еще один. В нашем примере он будет называться «System-1-prod».
После создания нажмите на название нового EPS, чтобы настроить группы пользователей и разрешения для них:
В настройках EPS перейдите на вкладку Permissions.
Нажмите Assign Permissions.
Выберите группу пользователей, созданную ранее в проекте IAM «Developers».
Нажмите Next и настройте политику. Для данной группы в этом примере используется «ReadAndWrite».
Для сохранения настроек нажмите OK.
Повторите эти действия для других проектов (в примере это «System-2» и «default»). После этого ресурсы в проектах будут разграничены, а пользователи в разных контурах будут иметь только те права, которые задал администратор.
В этом примере показано, как можно структурировать доступы к нескольким проектам с разграниченными средами ресурсов с помощью IAM, а также, как назначить разрешения только на необходимые действия с ресурсами для каждой группы пользователей в зависимости от роли.
Была ли статья полезной?
для Dev & Test