İstifadəçilər, rollar və miqyaslar
Üzvlərin, xidmət hesablarının, rolların, rol təyinatlarının və miqyasların təşkilatınızda girişə nəzarət etmək üçün birlikdə necə işlədiyini anlayın.
Identity & Access Management təşkilatınıza kimin daxil ola bildiyini və orada nə edə bildiyini idarə edir. Üzvün və ya xidmət hesabının (service account) nə edə bildiyi onun rol təyinatlarından irəli gəlir: subyektə (principal) müəyyən miqyasda (scope) verilmiş rol. Bu məqalə həmin hissələrin hər birini izah edir.
Təşkilat və miqyaslar
Tenant da adlanan təşkilatınızda bir və ya bir neçə abunəlik (subscription), hər abunəlikdə isə layihələr (project) olur. Resurslar, məsələn, virtual maşınlar (instance) və disklər (volume), layihələrdə yerləşir. Tenant-lar, abunəliklər, layihələr və regionlar səhifəsinə baxın.
Üzvlər, xidmət hesabları və fərdi rollar (custom role) bütün təşkilata aiddir. Rol təyinatı iki miqyasdan birində tətbiq olunur:
- Abunəlik. Təyinat abunəliyə və onun içindəki hər layihəyə tətbiq olunur.
- Layihə. Təyinat yalnız həmin layihəyə tətbiq olunur.
Məsələn, Production abunəliyində təyin edilmiş rol onun web-platform və data-platform layihələrində tətbiq olunur. web-platform layihəsində təyin edilmiş eyni rol yalnız orada tətbiq olunur.
Subyektlər
Subyekt rol verilə bilən kimlikdir.
- Üzvlər insanlardır. Onlar konsola e-poçt ünvanı və parolla, iki faktorlu autentifikasiya (two-factor authentication) aktiv olduqda isə həm də autentifikator tətbiqindən (authenticator app) alınan kodla daxil olur. Üzvləri dəvət (invitation) yolu ilə əlavə edirsiniz. Üzvləri dəvət edin və idarə edin səhifəsinə baxın.
- Xidmət hesabları avtomatlaşdırma üçün maşın kimlikləridir. Onlar konsola daxil olmur; REST API-ni sirləri (secret)
sak_live_ilə başlayan açarlarla çağırırlar. Xidmət hesabları və API tokenləri səhifəsinə baxın.
Sirri pc_live_ ilə başlayan API tokeni (API token) ayrıca subyekt deyil. O, token üçün seçilmiş icazə (permission) miqyasları ilə məhdudlaşaraq onu yaradan üzvün adından işləyir.
Rollar və icazələr
Rol icazələr toplusudur. Hər icazə resursu üçün, məsələn, Compute / Instances, Networking və ya Identity & Access üçün, rol None, Read və ya Manage verir. Read sahibinə resursa baxmağa, Manage isə ona baxmağa və onu dəyişməyə imkan verir.
- Daxildə qurulmuş rollar (built-in role). Owner, Contributor, Reader və Billing Operator. Onları dəyişə bilməzsiniz.
- Fərdi rollar. Sıfırdan və ya başqa rolu klonlamaqla müəyyən etdiyiniz rollar. Məsələn, fərdi rol Networking və Load Balancers üzrə Manage, qalan hər şey üzrə isə Read verə bilər.
Daxildə qurulmuş və fərdi rollardan istifadə edin səhifəsinə baxın.
Rol təyinatları
Rol təyinatı subyektə müəyyən miqyasda rol verir: məsələn, üzvə web-platform layihəsində Contributor rolu. Üzvün və ya xidmət hesabının müxtəlif miqyaslarda müxtəlif rollarla bir neçə təyinatı ola bilər.
Hər sorğuda platforma subyektin layihəyə tətbiq olunan rol təyinatlarını yoxlayır və sorğuya yalnız onlar lazımi girişi verdikdə icazə verir. Bir neçə təyinat tətbiq olunduqda onlar toplanır: hər icazə resursu üçün onlardan hər hansı birinin ən yüksək səviyyəsi tətbiq olunur. Məsələn, Production abunəliyində Reader rolu, web-platform layihəsində isə Contributor rolu olan üzv web-platform layihəsində resursları dəyişə və Production abunəliyinin digər layihələrindəki resurslara baxa bilər.
Bəzi ödəniş resursları bütöv abunəliyə aiddir: hesab-fakturalar (invoice), ödəniş üsulları (payment method), kreditlər və öhdəliklər (commitment). Onlar üçün yalnız abunəlikdəki təyinatlar nəzərə alınır: layihədə təyin edilmiş rol, hətta Owner rolu belə, onlara giriş vermir. Cost Explorer, xərc xülasəsi və büdcələr (budget) layihədə təyin edilmiş rolla da işləyir və bu halda yalnız həmin layihəni əhatə edir.
Təyinatları kim dəyişə bilər və onlar daha nəyi müəyyən edir:
- Rol vermə. Müəyyən miqyasda rol təyin etmək üçün həmin miqyasda sizə Owner rolu və ya Identity & Access üzrə Manage girişi olan fərdi rol lazımdır; abunəlik üçün bu rol abunəliyin özündə verilmiş olmalıdır. Orada yalnız dərəcəsi sizin rolunuzdan yüksək olmayan və icazələri özünüzdə olan rolları verə bilərsiniz. Fərdi rol yalnız onun icazə verdiyi miqyaslarda təyin edilə bilər.
- Təşkilat səviyyəsində parametrlər. İki faktorlu autentifikasiyanı tələb etmək və OpenStack API girişini aktivləşdirmək və ya qeyri-aktiv etmək üçün abunəlikdə daxildə qurulmuş Owner rolu lazımdır. Fərdi rol və ya tək layihədəki Owner rolu kifayət deyil.
- Layihə yaradılması. Abunəlikdə layihə yaratmaq üçün abunəlikdə Owner rolu və ya ayrıca layihə yaratma icazəsi lazımdır. Üzvə layihə yaratmağa icazə verin bölməsinə baxın.
- OpenStack girişi. Subyektin layihədəki rolu onun tətbiq giriş məlumatlarının (application credential) orada hansı OpenStack rollarına malik ola bildiyini də müəyyən edir. OpenStack API Access nədir? səhifəsinə baxın.
Autentifikasiya
- Parol. Üzvlər dəvəti qəbul edərkən öz parollarını seçir.
- İki faktorlu autentifikasiya. Üzvlər girişə autentifikator tətbiqindən alınan kodu əlavə edə bilər, sahib isə bunu üzvlər üçün məcburi edə bilər. İki faktorlu autentifikasiyanı məcburi edin səhifəsinə baxın.
- Seanslar. Daxil olmuş hər brauzerin sonlandıra bildiyiniz seansı var. Seansları idarə edin səhifəsinə baxın.
- Əlavə təsdiqləmə (step-up verification). Bir neçə həssas əməliyyat, hətta açıq seansda da, autentifikator tətbiqinizdən yeni kod tələb edir. Əlavə təsdiqləmə bölməsinə baxın.