Kullanıcılar, roller ve kapsamlar
Üyelerin, servis hesaplarının, rollerin, rol atamalarının ve kapsamların kuruluşunuzda erişimi denetlemek için birlikte nasıl çalıştığını öğrenin.
Identity & Access Management, kuruluşunuza kimin giriş yapabileceğini ve orada neler yapabileceğini denetler. Bir üyenin veya servis hesabının neler yapabileceği, rol atamalarından gelir: kimliğe bir kapsamda verilen bir rol. Bu makale bu parçaların her birini açıklar.
Kuruluş ve kapsamlar
Kuruluşunuz (tenant olarak da adlandırılır) bir veya daha fazla abonelik, her abonelik de projeler barındırır. Sanal makineler ve diskler gibi kaynaklar projelerde bulunur. Bkz. Kuruluşlar, abonelikler, projeler ve bölgeler.
Üyeler, servis hesapları ve özel roller kuruluşun tamamına aittir. Bir rol ataması iki kapsamdan birinde geçerli olur:
- Abonelik. Atama, aboneliğe ve içindeki her projeye uygulanır.
- Proje. Atama yalnızca o projeye uygulanır.
Örneğin Production aboneliğinde atanan bir rol, bu aboneliğin web-platform ve data-platform projelerinde geçerli olur. Aynı rol web-platform projesinde atanırsa yalnızca orada geçerli olur.
Kimlikler
Kimlik (principal), rol verilebilen bir varlıktır.
- Üyeler kişilerdir. Konsola e-posta adresleri ve parolalarıyla, iki adımlı doğrulama açıksa ayrıca bir kimlik doğrulayıcı uygulamasından alınan kodla giriş yaparlar. Üyeleri davetle eklersiniz. Bkz. Üyeleri davet etme ve yönetme.
- Servis hesapları, otomasyon için makine kimlikleridir. Konsola giriş yapmazlar; REST API’yi, gizli anahtarları
sak_live_ile başlayan anahtarlarla çağırırlar. Bkz. Servis hesapları ve API belirteçleri.
Gizli anahtarı pc_live_ ile başlayan bir API belirteci, kendi başına bir kimlik değildir. Belirteci oluşturan üye olarak, belirteç için seçilen izin kapsamlarıyla sınırlı şekilde işlem yapar.
Roller ve izinler
Rol, bir izinler kümesidir. Rol, Compute / Instances, Networking veya Identity & Access gibi her izin kaynağı için Yok, Oku veya Yönet erişimi verir. Oku, rolü taşıyanın kaynağı görüntülemesine; Yönet ise kaynağı görüntülemesine ve değiştirmesine izin verir.
- Yerleşik roller. Sahip, Katkıda bulunan, Okuyucu ve Faturalama Operatörü. Bu rolleri değiştiremezsiniz.
- Özel roller. Sıfırdan ya da başka bir rolü klonlayarak tanımladığınız roller. Örneğin bir özel rol, Networking ve Load Balancers için Yönet, diğer her şey için Oku erişimi verebilir.
Bkz. Yerleşik ve özel rolleri kullanma.
Rol atamaları
Rol ataması, bir kimliğe bir kapsamda bir rol verir: örneğin bir üyeye web-platform projesinde Katkıda bulunan rolü. Bir üyenin veya servis hesabının, farklı kapsamlarda farklı rollerle birden çok ataması olabilir.
Platform her istekte kimliğin projeye uygulanan rol atamalarını denetler ve isteğe yalnızca bu atamalar gereken erişimi veriyorsa izin verir. Birden çok atama geçerli olduğunda bunlar toplanır: her izin kaynağı için atamalardan herhangi birindeki en yüksek düzey geçerli olur. Örneğin Production aboneliğinde Okuyucu rolüne, web-platform projesinde Katkıda bulunan rolüne sahip olan bir üye, web-platform projesindeki kaynakları değiştirebilir ve Production aboneliğinin diğer projelerindeki kaynakları görüntüleyebilir.
Bazı faturalandırma kaynakları aboneliğin tamamına aittir: faturalar, ödeme yöntemleri, krediler ve taahhütler. Bunlar için yalnızca abonelikteki atamalar sayılır: bir projede atanan rol, Sahip rolü olsa bile bunlara erişim vermez. Maliyet Gezgini, maliyet özeti ve bütçeler bir projede atanan rolle de çalışır ve bu durumda yalnızca o projeyi kapsar.
Atamaları kimin değiştirebileceği ve başka hangi kararları kimin verebileceği:
- Rol verme. Bir kapsamda rol atamak için o kapsamda Sahip rolüne ya da Identity & Access için Yönet erişimi olan özel bir role sahip olmanız gerekir; abonelik için bu rol aboneliğin kendisinde verilmiş olmalıdır. Orada yalnızca kendi rolünüzden daha üst düzeyde olmayan ve izinlerine kendiniz sahip olduğunuz rolleri verebilirsiniz. Bir özel rol yalnızca izin verdiği kapsamlarda atanabilir.
- Kuruluş genelindeki ayarlar. İki adımlı doğrulamayı zorunlu kılmak ve OpenStack API erişimini açıp kapatmak, abonelikte yerleşik Sahip rolünü gerektirir. Özel bir rol veya tek bir projedeki Sahip rolü yeterli değildir.
- Proje oluşturma. Bir abonelikte proje oluşturmak, abonelikte Sahip rolünü veya ayrı bir proje oluşturma iznini gerektirir. Bkz. Bir üyenin proje oluşturmasına izin verme.
- OpenStack erişimi. Bir kimliğin projedeki rolü, o kimliğin uygulama kimlik bilgilerinin orada hangi OpenStack rollerine sahip olabileceğini de belirler. Bkz. OpenStack API Access nedir?
Kimlik doğrulama
- Parola. Üyeler davetlerini kabul ederken kendi parolalarını seçer.
- İki adımlı doğrulama. Üyeler girişlerine bir kimlik doğrulayıcı uygulamasından alınan kodu ekleyebilir; bir sahip bunu üyeler için zorunlu kılabilir. Bkz. İki adımlı doğrulamayı zorunlu kılma.
- Oturumlar. Giriş yapılmış her tarayıcının, sonlandırabileceğiniz bir oturumu vardır. Bkz. Oturumları yönetme.
- Ek doğrulama (step-up). Birkaç hassas eylem, açık bir oturumda bile kimlik doğrulayıcı uygulamanızdan yeni bir kod ister. Bkz. Ek doğrulama (step-up).