Управление доступом с помощью Yandex Identity and Access Management

Статья создана

Обновлена 17 октября 2025 г.

В Object Storage реализовано несколько механизмов для управления доступом к ресурсам. Алгоритм взаимодействия этих механизмов см. в Обзор способов управления доступом в Object Storage.

В этом разделе вы узнаете:

Об управлении доступом

Все операции в Yandex Cloud проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, локальному пользователю, федеративному пользователю, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.

Назначать роли на ресурс могут пользователи, у которых на этот ресурс есть роль storage.admin или одна из следующих ролей:

admin;
resource-manager.admin;
organization-manager.admin;
resource-manager.clouds.owner;
organization-manager.organizations.owner.

На какие ресурсы можно назначить роль

В консоли управления, с помощью Yandex Cloud CLI, API или Terraform вы можете назначить роль на организацию, облако, каталог или отдельный бакет. Назначенные роли будут действовать и на вложенные ресурсы.

О том, как управлять доступом к бакетам и объектам в них, см. раздел Список управления доступом (ACL).

Какие роли действуют в сервисе

На диаграмме показано, какие роли есть в сервисе и как они наследуют разрешения друг друга. Например, в editor входят все разрешения viewer. После диаграммы дано описание каждой роли.

Сервисные роли

storage.viewer

Роль storage.viewer позволяет читать данные в бакетах, просматривать информацию о бакетах и объектах в них, а также о каталоге и квотах сервиса Object Storage.