Назначение прав доступа
Интерфейс управления ролями и назначение наборов доступа.
Ролевая модель
Права настраиваются в контексте уровней Платформа, Тенант, Кластер и Неймспейс. Устройство модели, состав наборов доступов и разрешений описаны в Архитектуре модулей доступа и в Настройке разрешений.
Обзор
Назначение прав доступа ко всей платформе и тенантам доступно только из интерфейса платформы. Также доступно назначение прав для уровня кластера управления, клиентского кластера и неймспейса.
Права назначаются пользователям и группам путём выбора одного или нескольких наборов доступов (permissions). Подробнее о наборах и разрешениях — в разделе Настройка разрешений.
Места назначений прав доступа по уровням
Из раздела Платформа графического интерфейса доступно управление правами групп/пользователей для объектов уровней:
- все кластеры платформы;
- тенант;
- любой кластер или неймспейс. (см. скриншот ниже)
Для управления правами перейдите на вкладку нужного уровня.
Из интерфейса Кластера доступно:
- управлять правами группы или пользователя в этом кластере или неймспейсе этого кластера; (см. скриншот ниже)
- посмотреть, у каких групп/пользователей с правами на платформу есть доступ к этому кластеру. (см. скриншот ниже)
Из интерфейса Неймспейса доступно:
- управлять правами на этот неймспейс;
- посмотреть, у каких пользователей с правами на платформу или кластер есть доступ к этому неймспейсу. (см. скриншот ниже)
Вкладки выбора уровня объекта для назначения прав доступа
| Вкладка | Назначение |
|---|---|
| Платформа | Права на платформу в целом (кластер управления, клиентские кластеры) |
| Тенант | Права на тенант и все вложенные объекты. Доступ к тенантам имеют только платформенные епользователи. |
| Кластер | Права на кластер (управления или клиентский кластер). |
| Неймспейс | Права на неймспейс кластера управления или клиентского кластера. |
Вкладки «Платформа», «Тенант», «Кластер», «Неймспейс»
Со страницы Управление ролями можно:
- Назначать пользователям и группам права доступа к платформе, кластеру или неймспейсу;
- Изменять и удалять платформенные, кластерные и неймспейсные назначения прав во всех доступных пользователю кластерах и неймспейсах.
Назначение прав доступа также доступно в интерфейсе кластеров и неймспейсов. Подробнее Назначение прав доступа в кластере или неймспейсе
Назначение прав пользователю
-
Перейдите на вкладку нужного уровня (Платформа, Тенант, Кластер или Неймспейс). На открывшемся экране отображается форма назначения прав доступа.
-
Укажите уникальное имя пользователя одним из способов:
Способ 1: Выбор из каталога LDAP
Доступно при настроенной интеграции с LDAP (например, AD или openLDAP).
- В поле Уникальное имя пользователя начните вводить имя. Со второго символа выполняется поиск по каталогу.
- Выберите пользователя из списка (поиск регистронезависимый).
Если каталог не подключён, используйте ручной ввод.
Способ 2: Ручной ввод
- Выберите Ручной ввод и укажите имя пользователя в поле Уникальное имя пользователя.
Ручной ввод может потребоватьсяпри использовании внешнего провайдера аутентификации (Keycloak, Blitz и др.). При ручном вводе поиск по LDAP не выполняется.
Форма назначения прав пользователю
- Выберите наборы доступов для назначения.
- Нажмите Сохранить.
Обратите внимание! Имя пользователя после создания записи не редактируется. Чтобы изменить имя, удалите запись и создайте новую.
Назначение прав группе
- Перейдите на вкладку нужного уровня (Платформа, Тенант, Кластер или Неймспейс).
- Нажмите + рядом с таблицей Группы.
- Укажите имя группы одним из способов:
Способ 1: Выбор из каталога LDAP
Доступно при настроенной интеграции с LDAP.
- В поле Имя группы начните вводить имя. Со второго символа выполняется поиск по каталогу.
- Выберите группу из списка (поиск регистронезависимый).
Если каталог не подключён, используйте ручной ввод.
Способ 2: Ручной ввод
- Выберите Ручной ввод и укажите имя группы в поле Имя группы.
Ручной ввод может потребоваться при использовании внешнего провайдера аутентификации (Keycloak, Blitz и др.). При ручном вводе поиск по LDAP не выполняется.
- Выберите наборы доступов для назначения.
- Нажмите Сохранить.
Все пользователи, входящие в группу, получат назначенные полномочия.
Обратите внимание! Имя группы после создания записи не редактируется. Чтобы изменить имя, удалите запись и создайте новую.
Особенности назначения в тенантах
Права доступа, назначенные в тенант, применяются ко всем объектам в этом тенанте. Пользователи с доступом к тенанту получают доступ к вложенным объектам. Доступ к самим тенантам имеют только платформенные пользователи.
Тенант объединяет кластеры целиком
Если в тенанте в неймспейсах указана * (кластеры объединены целиком), для назначения доступны наборы доступов кластерного уровня.
Тенант с кластерами целиком
Тенант объединяет неймспейсы
Если тенант объединяет конкретные неймспейсы, для назначения доступны наборы доступов неймспейсного уровня.
Тенант с неймспейсами
Список наборов доступа отображается после выбора имени тенанта.
Права Kubeflow и роль в ArgoCD
Если набор доступов включает права Kubeflow или роль в ArgoCD, их применение зависит от уровня назначения:
| Уровень назначения | Доступ Kubeflow | Доступ ArgoCD |
|---|---|---|
| Платформа | Доступ к профилям Kubeflow всех кластеров. | Доступ ко всем проектам ArgoCD всех кластеров. |
| Кластер | Доступ к профилям Kubeflow выбранного кластера. | Доступ ко всем проектам ArgoCD выбранного кластера. |
| Неймспейс | Доступ к профилю Kubeflow только одного неймспейса. | Доступ к проекту ArgoCD только одного неймспейса. |
Статус применения назначений
После сохранения назначения применяются в кластер управления и клиентские кластеры. Статусная модель отображает результат применения.
Блок «Статус применения в кластере управления»
Содержит результаты применения назначений в самом кластере управления.
Кластер управления хранит объекты клиентских кластеров (API-группы: cluster.x-k8s.io, bootstrap.cluster.x-k8s.io, infrastructure.cluster.x-k8s.io, permissions.shturval.tech). Поэтому для работы с такими объектами в наборе доступа нужны платформенные разрешения. В статусах может отображаться применение в кластер управления даже для назначений уровня «кластер» или «неймспейс».
Блок «Статус применения в клиентских кластерах»
Отражает успешность применения прав доступа в кластерах, прав Kubeflow и ролей в ArgoCD.
- Уровень Платформа: количественный показатель — отношение кластеров с успешным применением к общему количеству кластеров.
- Уровень Кластер: цветовая индикация по каждому кластеру.
- Уровень Неймспейс: цветовая индикация по каждому неймспейсу.
Цветовая индикация
| Цвет | Значение |
|---|---|
| Зелёный | Назначение успешно применено. |
| Красный | При применении прав доступа возникли ошибки. |
| Серый | Применение не требуется. Такое возможно, если в наборе доступов не было запрошено выделение прав доступа, например, в ArgoCD и/или Kubeflow |
Краткий процесс назначения
- Нажмите Назначить доступ на нужном объекте (платформа, тенант, кластер, неймспейс).
- Выберите вкладку с нужным уровнем.
- Нажмите + рядом с «Пользователи» или «Группы».
- Укажите пользователя или группу (из каталога LDAP или вручную).
- Выберите наборы доступов.
- Нажмите Сохранить.
- Проверьте статус применения в блоках «Статус применения».
Отзыв назначений
Удалить назначения можно на странице Управление ролями (вкладки по уровню объекта) или в интерфейсе Управление доступом кластера и неймспейса.
Отзыв полностью всех назначений пользователя, группы доступен на странице Дерево доступов.