Управление доступом на основе ролей для вашего облака графических процессоров: роли, группы и служебные учетные записи теперь доступны в консоли Lambda Cloud.
Представьте себе ночную задачу, которая очищает неиспользуемые экземпляры. До недавнего времени она выполнялась с использованием чьего-то личного ключа API, что означало возможность выполнять любые действия, доступные этому человеку. В Lambda Cloud было две роли — «Администратор» (Admin) и «Участник» (Member), и каждый ключ наделял своего владельца полными правами.
Управление доступом и учетными данными (IAM) меняет это положение дел. Оно реализует управление доступом на основе ролей (RBAC) в Lambda Cloud, позволяя администраторам следовать принципу наименьших привилегий: каждый пользователь и каждая программа получают только тот уровень доступа, который необходим для их работы, и ничего лишнего. Для корпоративных команд, проходящих проверки безопасности, это теперь встроено в консоль прямо «из коробки».
Как это связано с рабочими пространствами
Рабочие пространства определяют, где находятся ваши ресурсы. IAM определяет, что именно можно делать внутри них. Чтобы выполнить действие с ресурсом в рабочем пространстве, требуется и то, и другое: членство в этом рабочем пространстве плюс роль, разрешающая данное действие.
Роли, группы и служебные учетные записи
Откройте «Учетная запись» > «Конфигурация» > «IAM» (Account > Configuration > IAM), и вы найдете вкладки для пользователей, служебных учетных записей и групп. Роли настраиваются на странице сведений каждого из них.
- Пользователи — это люди в вашей учетной записи. На странице пользователя отображаются его ключи API, группы и роли, а также там можно удалить человека.
- Служебные учетные записи (аналог сервисных аккаунтов в других облаках) предназначены для программ, таких как скрипты и конвейеры CI/CD. Каждая из них получает собственные ключи и роли. Вы также увидите несколько учетных записей, управляемых Lambda; они отмечены специальной меткой и позволяют нам выполнять операции от вашего имени, например техническое обслуживание.
- Группы объединяют пользователей и служебные учетные записи. Назначьте роль группе, и ее унаследует каждый участник. Группы также могут присоединяться к рабочим пространствам.
- Роли объединяют детализированные разрешения на уровне учетной записи или рабочего пространства. Предопределенный набор включает роли «Администратор учетной записи» (Account Admin), «Администратор IAM» (IAM Admin), «Администратор биллинга» (Billing Admin), «Владелец рабочего пространства» (Workspace Owner), «Участник рабочего пространства» (Workspace Member) и «Читатель экземпляров» (Instance Reader).
С чего начать
Предоставьте вашей автоматизации собственную учетную запись. Выберите один скрипт, который запускается с личного ключа. Создайте для него служебную учетную запись, назначьте только те роли, которые он использует, и установите срок действия для его ключа API. Служебная учетная запись может содержать два ключа одновременно, поэтому вы можете ротировать ключи и в любой момент отозвать один из них на странице сведений учетной записи. Затем удалите старый личный ключ, так как он остается активным до тех пор, пока вы это не сделаете.
Настройте группы по командам. По одной группе на команду или задачу с привязанными к ней правильными ролями. Это упрощает управление пользователями: адаптация (onboarding) нового сотрудника означает добавление его в группу, а исключение (offboarding) — удаление в одном месте.
Проверьте фактический доступ, прежде чем доверять ему. Представление фактического доступа показывает каждую роль, которую учетная запись имеет в каждом рабочем пространстве, включая все, что унаследовано от группы. Членство в группах — это легкий способ незаметного расширения прав доступа.
Полезно знать
- Администраторы учетной записи и администраторы IAM — это единственные лица, которые могут просматривать IAM или вносить в него изменения.
- Ваша существующая настройка продолжает работать. Роли «Администратор» (Admin) и «Участник» (Member) сопоставляются с «Администратором учетной записи» (Account Admin) и «Участником учетной записи» (Account Member), а текущие ключи API остаются без изменений.
- Журналы аудита охватывают ключи, учетные записи, рабочие пространства и ресурсы. Они записываются автоматически и хранятся в течение шести месяцев.
- Каждая учетная запись может содержать до 100 групп и 50 служебных учетных записей.
- IAM предоставляется бесплатно. Вы платите только за те ресурсы, которые запускаете.
Начало работы
Если вы являетесь администратором учетной записи или администратором IAM, откройте раздел IAM и создайте свою первую служебную учетную запись. На странице предопределенных ролей перечислено то, что позволяет каждая роль, а в обзоре IAM рассматривается вся модель целиком.
