- tocdepth
2
Управление доступом в облаке Advanced
Информация в этом разделе поможет организовать управление пользователями, группами, ролями и политиками в процессе предоставления пользователям доступа к облаку Advanced.
С помощью IAM возможно:
Реализовать механизм управления доступом к облачным ресурсам в рамках компании.
Предоставлять разным командам различный уровень доступа к разным средам.
Получать отчетность по потреблению ресурсов в различных разрезах.
Ресурсы в облаке Advanced разделяются на разные IAM и Enterprise-проекты с целью предоставления различным командам гранулярного контроля доступа к ресурсам.
IAM-проект — сущность для группировки и изоляции облачных ресурсов.
Enterprise-проект — сущность для логической группировки облачных ресурсов.
Проекты формируются в зависимости от:
Назначения ресурсов — общие ресурсы или конкретная система.
Типа информационной среды — разработка, тестирование, продуктивная.
Рассмотрим распределение облачных ресурсов в облаке Advanced по IAM-проектам на основе следующей схемы:
Для организации системы управления доступом (IAM) в облаке Advanced доступны два варианта реализации:
- Первый вариант
Каждая среда каждой системы — отдельный IAM-проект.
Логическая группировка по системам — Enterprise-проекты.
Права предоставляются к IAM-проектам.
- Второй вариант
Каждая система — отдельный IAM-проект.
Каждая среда каждой системы — отдельный Enterprise-проект.
Права предоставляются к Enterprise-проектам.
Описание вариантов реализации IAM, доступных в облаке Advanced, рассмотрим относительно следующих систем, сред и команд:
Облачные системы — System1 и System2.
Среды систем — у каждой системы есть тестовая и продуктивная среда.
Команды:
разработки систем;
поддержки систем;
DevOps;
управления инфраструктурой и сетью.
Первый вариант реализации системы управления доступом в облаке Advanced
Предлагаемая структура проектов:
Enterprise-проект |
IAM-проект |
Описание |
Пример ресурсов |
---|---|---|---|
default |
default |
Содержит ресурсы, общие для всех систем, развернутых в облаке. |
|
System1 |
System1_test_resources |
Содержит ресурсы, входящие в состав тестовой среды системы System1. |
|
System1 |
System1_prod_resources |
Содержит ресурсы, входящие в состав продуктивной среды системы System1. |
|
System2 |
System2_test_resources |
Содержит ресурсы, входящие в состав тестовой среды системы System2. |
|
System2 |
System2_prod_resources |
Содержит ресурсы, входящие в состав продуктивной среды системы System2. |
|
System2 |
System2_shared_resources |
Содержит ресурсы, общие для всех сред системы System2. При отсутствии подобных ресурсов проект может отсутствовать. |
|
Распределение облачных ресурсов в облаке Advanced по IAM-проектам для первого варианта реализации системы управления доступом:
Предлагаемая матрица доступа:
IAM-проект |
Роли |
||||||
---|---|---|---|---|---|---|---|
Cloud admins |
System1 developers |
System1 support team |
System2 developers |
System2 support team |
DevOps team |
Infra and networking team |
|
default |
Full access |
Read-only |
Read-only |
Read-only |
Read-only |
Read-only |
Limited write |
System1_test_resources |
Full access |
Full access |
Full access |
— |
— |
Limited write |
Read network resources |
System1_prod_resources |
Full access |
Read-only |
Limited write |
— |
— |
Limited write |
Read network resources |
System2_test_resources |
Full access |
— |
— |
Full access |
Full access |
Limited write |
Read network resources |
System2_prod_resources |
Full access |
— |
— |
Read-only |
Limited write |
Limited write |
Read network resources |
System2_shared_resources |
Full access |
— |
— |
Full access |
Full access |
Limited write |
Read network resources |
Политики доступа:
Full access — полный доступ на создание, чтение, изменение и удаление ресурсов.
Read-only — доступ на чтение ресурсов.
Limited write — доступ на создание, чтение и изменение ресурсов.
Read network resources — доступ на чтение ресурсов, относящимся к виртуальным сетям (VPC, Subnets, Peering, и т.д.).
Второй вариант реализации системы управления доступом в облаке Advanced
Предлагаемая структура проектов:
Enterprise-проект |
IAM-проект |
Описание |
Пример ресурсов |
---|---|---|---|
default |
default |
Содержит ресурсы, общие для всех систем, развернутых в облаке. |
|
System1-test |
System1 |
Содержит ресурсы, входящие в состав тестовой среды системы System1. |
|
System1-prod |
System1 |
Содержит ресурсы, входящие в состав продуктивной среды системы System1. |
|
System2-test |
System2 |
Содержит ресурсы, входящие в состав тестовой среды системы System2. |
|
System2-prod |
System2 |
Содержит ресурсы, входящие в состав продуктивной среды системы System2. |
|
System2-shared |
System2 |
Содержит ресурсы, общие для всех сред системы System2. При отсутствии подобных ресурсов проект может отсутствовать. |
|
Распределение облачных ресурсов в облаке Advanced по IAM-проектам для второго варианта реализации системы управления доступом:
Предлагаемая матрица доступа:
IAM-проект / Enterprise-проект |
Роли |
||||||
---|---|---|---|---|---|---|---|
Cloud admins |
System1 developers |
System1 support team |
System2 developers |
System2 support team |
DevOps team |
Infra and networking team |
|
System2 / — |
Full access |
— |
— |
— |
— |
Limited write |
Read network resources |
System1 / — |
Full access |
— |
— |
— |
— |
Limited write |
Read network resources |
default / — |
— |
Read-only |
Read-only |
Read-only |
Read-only |
Read-only |
Limited write |
— / System1-test |
— |
Full access |
Full access |
— |
— |
— |
— |
— / System1-prod |
— |
Read-only |
Limited write |
— |
— |
— |
— |
— / System2-test |
— |
— |
— |
Full access |
Full access |
— |
— |
— / System2-prod |
— |
— |
— |
Read-only |
Limited write |
— |
— |
— / System2-shared |
— |
— |
— |
Full access |
Full access |
— |
— |
Политики доступа:
Full access — полный доступ на создание, чтение, изменение и удаление ресурсов в рамках проекта.
Read-only — доступ на чтение ресурсов.
Limited write — доступ на создание, чтение и изменение ресурсов проекта.
Read network resources — доступ на чтение ресурсов, относящимся к виртуальным сетям (VPC, Subnets, Peering, и т.д.).
Результат использования системы управления доступом в облаке Advanced
Предлагаемые варианты реализации системы управления доступом позволяют изолировать ресурсы различных систем при их миграции в облако Advanced или при их создании. Учитывается необходимость изоляции и предоставления различного уровня доступа к различным средам систем.
Представленные варианты позволяют формировать различные варианты выгрузок по потребленным ресурсам в разрезе облачных систем клиента и их сред.
В зависимости от требований, решение может быть масштабировано на большее количество систем, сред и команд с более гранулярным уровнем контроля доступа.
Была ли статья полезной?
для Dev & Test