tocdepth

2

Управление ролями в Object Storage

Если с хранилищем работает несколько пользователей и каждому нужен определенный уровень доступа, вы можете разграничить доступ к ресурсам с помощью ролей. Роль пользователя — предустановленный набор разрешений, который определяет, какие операции с ресурсами может выполнить пользователь.

В Object Storage доступ к ресурсам разграничивается через проектные и сервисные роли.

Проектные роли

Проектные роли содержат набор разрешений для всех сервисов текущего проекта. Их можно использовать, если проект небольшой, а сложного разграничения доступа для пользователей не требуется.

В Object Storage используются несколько проектных ролей.

  • Пользователь проекта может просматривать информацию о ресурсах и скачивать объекты.

  • Пользователь сервисов может просматривать список бакетов в проекте.

  • Администратор проекта может управлять ресурсами и настраивать к ним доступ.

Если права нужно настроить более гибко, например, разрешить пользователю просматривать и редактировать настройки ACL, назначьте ему роль Пользователь сервисов.

Сервисные роли

В отличие от проектных, сервисные роли действуют только в хранилище и не влияют на другие сервисы платформы. Это позволит вам более гибко настроить доступ ресурсам хранилища. Например, чтобы не назначать пользователю роль Администратор проекта, вы можете дать полные права только на ресурсы хранилища.

В таблице ниже перечислены все доступные сервисные роли Object Storage и операции, которые разрешает каждая роль.

Роли и доступные действия

Роль

Описание

Разрешенные операции

s3e.viewer-acl

  • Разрешает просматривать настройки ACL и Bucket Policy.

  • Не дает доступа к бакету и его содержимому.

s3e.editor-acl

  • Разрешает создавать и редактировать ACL.

  • Разрешает создавать, редактировать и удалять Bucket Policy.

  • Не дает доступа к бакету и его содержимому.

s3e.viewer

  • Разрешает чтение списка бакетов, просмотр информации о бакете и регионе, в котором он хранится.

  • Разрешает чтение списка объектов в бакете, просмотре информации об объекте и его скачивание.

  • Разрешает просмотр конфигурации блокировок по умолчанию и просмотр блокировок объекта.

s3e.editor

  • Разрешает создавать и удалять бакеты, а также менять класс хранения.

  • Разрешает загружать, копировать и удалять объекты.

  • Разрешает просмотр конфигурации блокировок по умолчанию и просмотр блокировок объекта.

  • Разрешает устанавливать конфигурацию блокировок по умолчанию и устанавливать блокировку объекта.

  • Разрешает снимать бессрочную блокировку.

s3e.admin

  • Разрешает создание и редактирование проекта.

  • Наследует все перечисленные выше права.

  • Разрешает изменять и удалять настройку блокировок по умолчанию для бакета.

  • Разрешает менять тип и продолжительность блокировки для объектов с блокировкой типа Управляемая (governance).

  • Разрешает продлевать блокировку для объектов с блокировкой типа Строгая (compliance).

  • Разрешает операции CORS и BucketOwnershipControls.

Назначить проектную роль

Проектную роль можно назначить пользователю проекта и сервисному аккаунту.

Примечание

При назначении прав действует принцип иерархии: вы можете назначить только те роли, которые находятся на одном уровне с вашей, либо ниже ее. Назначить себе или другому пользователю роль выше нельзя.

Назначить проектную роль пользователю

Проектная роль доступна как для пользователей с авторизацией по логину и паролю, так и с авторизацией по SSO.

Назначить роль можно при создании пользователя или при изменении прав созданного пользователя.

Подробнее о назначении ролей — в разделе Добавление пользователей.

Назначить проектную роль сервисному аккаунту

Чтобы назначить проектную роль для сервисного аккаунта:

  1. В разделе Пользователи откройте вкладку Сервисные аккаунты.

  2. Нажмите на Вертикальное меню в строке с названием аккаунта и выберите Редактировать.

  3. Выберите роль:

    • Пользователь проекта — чтение списка ресурсов, информации о них, а также скачиванию объектов;

    • Администратор проекта — полный доступ к ресурсам хранилища.

  4. Нажмите Сохранить.

После назначения роли, сервисный аккаунт получит набор прав для работы с ресурсами.

Назначить сервисную роль

Сервисные роли можно назначать только Пользователям сервисов. Это может сделать Администратор организации, Администратор проекта и Администратор пользователей.

Роль Пользователь сервисов добавляется при создании пользователя или при изменении прав созданного пользователя. Вы можете выбрать:

  • общую роль — разрешения будут действовать на все бакеты и вложенные в них объекты;

  • роль на бакет — разрешения будут действовать на отдельный бакет.

В поле Роли выберите сервисную роль. Вы можете перечислить несколько ролей, например s3e.editor и s3e.viewer-acl.

Назначенные на бакеты права будут действовать и на вложенные объекты.

См.также

Запустили Evolution free tier
для Dev & Test
Получить