Справочник ролей и привилегий

Справочник ролей и привилегий#

Полная информация о встроенных ролях и привилегиях, на которых они основаны, необходима для понимания их назначения и создания собственных ролей в системе RBAC.

Встроенные роли делятся на два вида:

  • предоставляющие привилегии на все ресурсы определенного типа в пределах одной организации (в Automation Controller и Event-Driven Automation название такой роли начинается со слова Organization);

  • предоставляющие привилегии по отношению к конкретному ресурсу.

Роли шлюза платформы#

Шлюз платформы управляет общими для всех компонентов объектами – организациями и командами пользователей. Роли шлюза назначаются на уровне всей платформы и определяют доступ к этим общим объектам, тогда как роли отдельных компонентов (Automation Controller, Private Automation Hub, Event-Driven Automation) регулируют доступ к ресурсам внутри организаций.

Роль

Описание

Platform Auditor

Глобальный просмотр всех объектов платформы без права их изменения

Organization Admin

Полный доступ к организации и всем ее объектам, включая управление командами пользователей организации

Organization Member

Членство в организации с доступом к ее объектам

Team Admin

Управление одной командой пользователей и наследование всех назначенных ей ролей

Team Member

Наследование всех ролей, назначенных команде пользователей

Роли в Automation Controller#

Для настройки и применения Automation Controller используют роли, позволяющие управлять шаблонами заданий, проектами, инвентарными списками, полномочиями и другими ресурсами. Роль объединяет привилегии, необходимые для запуска, редактирования, делегирования привилегий и просмотра информации о ресурсах.

Automation Controller предоставляет следующие виды встроенных ролей:

  • Platform Auditor – системная роль, предоставляющая глобальный доступ на просмотр всех ресурсов платформы, включая ресурсы Automation Controller, без права их изменения;

  • роль, предоставляющая административные привилегии на определенный тип ресурсов в рамках конкретной организации;

  • роль, предоставляющая определенные привилегии на заданный ресурс.

Роли на типы ресурсов#

Каждая из перечисленных ролей предоставляет полные административные привилегии на определенный тип ресурсов внутри заданной организации:

Роль

Описание

Organization Admin

Полный контроль над организацией и всеми ее ресурсами

Organization Approval

Согласование действий в узлах графов, представляющих потоки заданий

Organization Audit

Просмотр ресурсов

Organization Credential Admin

Управление полномочиями

Organization Execute

Запуск исполняемых объектов

Organization ExecutionEnvironment Admin

Управление средами исполнения

Organization Inventory Admin

Управление инвентарными списками

Organization JobTemplate Admin

Управление шаблонами заданий

Organization Member

Использование назначенных ресурсов

Organization NotificationTemplate Admin

Управление шаблонами уведомлений

Organization Project Admin

Управление проектами

Organization WorkflowJobTemplate Admin

Управление шаблонами потока заданий

Роли на определенный ресурс#

Каждая из следующих ролей предоставляет привилегии только на один определенный ресурс:

Роль

Описание

Credential Admin

Все привилегии по отношению к заданному полномочию

Credential Use

Использование полномочия

ExecutionEnvironment Admin

Управление средой исполнения

InstanceGroup Admin

Управление группой исполняющих узлов

InstanceGroup Use

Использование группы исполняющих узлов

Inventory Adhoc

Выполнение одиночных команд для заданного инвентаря

Inventory Admin

Управление инвентарным списком

Inventory Update

Обновление инвентарного списка

Inventory Use

Использование инвентарного списка при запуске заданий

JobTemplate Admin

Управление шаблоном задания

JobTemplate Execute

Запуск шаблона задания без возможности редактирования

NotificationTemplate Admin

Управление шаблоном уведомлений

Project Admin

Управление проектом

Project Update

Запуск обновления проекта (SCM Sync)

Project Use

Использование проекта в шаблонах заданий

Team Admin

Управление командой

Team Member

Наследование привилегий, назначенных команде

WorkflowJobTemplate Admin

Управление шаблоном потока заданий

WorkflowJobTemplate Execute

Запуск шаблона потока заданий без возможности редактирования

WorkflowJobTemplate Approve

Одобрение или отклонение запуска шаблона потока заданий, если включено подтверждение

Роли в Private Automation Hub#

В компоненте Private Automation Hub ролевое управление регулирует доступ к коллекциям, контейнерам и пространствам имен. Роли определяют, кто может публиковать, изменять, модерировать и использовать контент.

В компоненте Private Automation Hub роли можно разделить на два вида:

  • системная роль, действующая на уровне всего Private Automation Hub;

  • ресурсная роль, назначающаяся на конкретный ресурс.

Системные роли#

К системным относятся следующие роли:

Роль

Описание

galaxy.content_admin

Полный контроль над всеми типами контента в Private Automation Hub

galaxy.collection_admin

Все привилегии по управлению коллекциями в Private Automation Hub

galaxy.collection_curator

Согласование, отмена и синхронизация коллекций из внешних репозиториев.

galaxy.execution_environment_admin

Управление всеми средами исполнения

System Auditor

Просмотр всех объектов Private Automation Hub без права их изменения

Роли на определенный ресурс#

Каждая из следующих ролей предоставляет привилегии только на один определенный ресурс:

Роль

Описание

galaxy.ansible_repository_owner

Управление репозиторием Ansible

galaxy.collection_remote_owner

Управление взаимодействием с внешним реестром

galaxy.execution_environment_publisher

Публикация образов среды исполнения и управление ими

galaxy.execution_environment_namespace_owner

Полный контроль над средой исполнения в пределах пространства имен

galaxy.execution_environment_collaborator

Изменение существующей среды исполнения

galaxy.collection_namespace_owner

Управление пространством имен

galaxy.collection_publisher

Добавление коллекций в пространство имен

galaxy.task_admin

Управление задачами Private Automation Hub: просмотр, изменение и удаление

Team Admin

Управление одной командой и наследование всех назначений ролей этой команды

Team Member, Galaxy Team Member

Наследование привилегий, назначенных команде

Примечание

Помимо перечисленных ролей Private Automation Hub определяет низкоуровневые встроенные роли на отдельные типы содержимого (с префиксами ansible., container. и core., например ansible.ansiblerepository_owner или container.containerrepository_owner). Каждая такая роль соответствует набору привилегий на один тип содержимого и используется для тонкой настройки доступа.

Роли в Event-Driven Automation#

В компоненте Event-Driven Automation роли управляют объектами автоматизации: активациями, проектами, средами принятия решений и потоками событий.

Роли на типы ресурсов#

Каждая из перечисленных ролей предоставляет полные административные привилегии на определенный тип ресурсов внутри заданной организации:

Роль

Описание

Organization Activation Admin

Управление активациями сводов правил

Organization Admin

Полный контроль над организацией и всеми ее ресурсами

Organization Auditor

Просмотр ресурсов

Organization Contributor

Создание, изменение ресурсов организации, а также управление активациями сводов правил

Organization Decision Environment Admin

Управление средами принятия решений

Organization Eda Credential Admin

Управление полномочиями Event-Driven Automation

Organization Editor

Создание и изменение ресурсов

Organization Event Stream Admin

Управление потоками событий

Organization Member

Участник организации с доступом к ее ресурсам

Organization Operator

Управление запуском активаций и просмотр ресурсов

Organization Project Admin

Управление проектами

Organization Viewer

Просмотр ресурсов организации

Роли на определенный ресурс#

Каждая из следующих ролей предоставляет привилегии только на один определенный ресурс:

Роль

Описание

Activation Admin

Управление активацией свода правил и связанными с ней ресурсами

Activation Use

Использование активации свода правил

Decision Environment Admin

Управление средой принятия решений

Decision Environment Use

Использование среды принятия решений

Eda Credential Admin

Управление полномочиями Event-Driven Automation

Eda Credential Use

Использование полномочий Event-Driven Automation

Event Stream Admin

Управление потоком событий

Event Stream Use

Использование потока событий

Project Admin

Управление проектом и связанными сводами правил

Project Use

Использование проекта при создании активаций сводов правил

Team Admin

Управление командой

Team Member

Наследование привилегий, назначенных команде

Привилегии Automation Controller#

Ниже приведены привилегии Automation Controller, предоставляемые ими действия и связанные роли.

Привилегии организации#

Привилегии организации определяют доступ к управлению организацией и членству в ней.

Привилегия (permission)

Действие

Типовые роли

Add organization

Создание

Суперпользователь платформы

View organization

Просмотр

Organization Admin, Organization Member, Platform Auditor

Change organization

Изменение

Organization Admin

Delete organization

Удаление

Суперпользователь платформы

Member organization

Членство в организации

Organization Member, Organization Admin

Привилегии проекта#

Привилегии проекта определяют доступ к управлению проектом и его использованию.

Привилегия (permission)

Действие

Типовые роли

Add project

Создание

Organization Admin

View project

Просмотр

Organization Admin, Organization Member, Project Admin, Platform Auditor

Change project

Изменение

Organization Admin, Project Admin

Delete project

Удаление

Organization Admin, Project Admin

Use project

Использование в шаблоне заданий

Organization Admin, Project Use, JobTemplate Admin

Update project

Синхронизация

Organization Admin, Project Admin

Привилегии шаблона задания#

Привилегии шаблона задания определяют доступ к управлению им.

Привилегия (permission)

Действие

Типовые роли

View job template

Просмотр

Organization Admin, Organization Member, JobTemplate Admin, Platform Auditor

Change job template

Изменение

Organization Admin, JobTemplate Admin

Delete job template

Удаление

Organization Admin, JobTemplate Admin

Execute job template

Запуск задания

Organization Admin, Organization Execute, JobTemplate Admin, JobTemplate Execute

Привилегии инвентаря#

Привилегии инвентаря определяют доступ к описанию инвентаря и использованию его в шаблонах заданий.

Привилегия (permission)

Действие

Типовые роли

Add inventory

Создание

Organization Admin

View inventory

Просмотр

Organization Admin, Organization Member, Inventory Admin, Platform Auditor

Change inventory

Изменение

Organization Admin, Inventory Admin

Delete inventory

Удаление

Organization Admin, Inventory Admin

Use inventory

Использование в JobTemplate

Organization Admin, Inventory Use, JobTemplate Admin

Ad hoc inventory

Выполнение одиночных команд

Organization Admin, Inventory Admin

Привилегии полномочий#

Привилегии полномочий определяют доступ к управлению ими и использованию в шаблонах заданий.

Привилегия (permission)

Действие

Типовые роли

Add credential

Создание

Organization Admin

View credential

Просмотр

Organization Admin, Organization Member, Credential Admin, Platform Auditor

Change credential

Изменение

Organization Admin, Credential Admin

Delete credential

Удаление

Organization Admin, Credential Admin

Use credential

Использование в JobTemplate

Organization Admin, Credential Admin, Credential Use

Привилегии среды исполнения#

Привилегии среды исполнения определяют доступ к управлению ее параметрами.

Привилегия (permission)

Действие

Типовые роли

Add execution environment

Создание

Organization Admin, Organization ExecutionEnvironment Admin

Change execution environment

Изменение

Organization Admin, Organization ExecutionEnvironment Admin, ExecutionEnvironment Admin

Delete execution environment

Удаление

Organization Admin, Organization ExecutionEnvironment Admin, ExecutionEnvironment Admin

Привилегии команды#

Эти привилегии определяют доступ к возможности управления командами и членству в них.

Привилегия (permission)

Действие

Типовые роли

Add team

Создание команд

Organization Admin

View team

Просмотр команд

Organization Admin, Organization Member, Team Admin, Platform Auditor

Change team

Изменение команды

Organization Admin, Team Admin

Delete team

Удаление команды

Organization Admin, Team Admin

Member team

Членство в команде (наследование ролей команды)

Team Member

Привилегии потоков заданий#

Эти привилегии определяют доступ к возможности управления потоками заданий, их запуску и согласованию узлов в графах потоков.

Привилегия (permission)

Действие

Типовые роли

Add workflow job template

Создание

Organization Admin

View workflow job template

Просмотр

Organization Admin, Organization Member, WorkflowJobTemplate Admin, Platform Auditor

Change workflow job template

Изменение

Organization Admin, WorkflowJobTemplate Admin

Delete workflow job template

Удаление

Organization Admin, WorkflowJobTemplate Admin

Execute workflow job template

Запуск

Organization Admin, Organization Execute, WorkflowJobTemplate Admin, WorkflowJobTemplate Execute

Approve workflow job template

Согласование узлов графа

Organization Admin, WorkflowJobTemplate Approve

Привилегии задания#

Отдельные встроенные роли и привилегии на задания не предусмотрены: доступ к заданию наследуется от роли на шаблон задания, из которого оно было запущено (см. привилегии шаблона задания).

Действует следующий порядок:

  • просмотр истории выполнения заданий доступен тем, кто может просматривать соответствующий шаблон задания (JobTemplate Admin, Organization Admin, Organization Member, Platform Auditor);

  • отмена выполнения задания доступна ролям, управляющим его шаблоном (JobTemplate Admin, Organization Admin);

  • удаление заданий из истории выполнения доступно администратору организации (Organization Admin).

Привилегии Private Automation Hub#

Ниже приведены привилегии Private Automation Hub, предоставляемые ими действия и связанные роли. Private Automation Hub использует как глобальные привилегии, так и привилегии, привязанные к конкретным объектам (namespace, repository, container namespace и другие).

Глобальные привилегии#

Глобальные привилегии действуют на уровне всего Private Automation Hub и не привязаны к конкретным объектам.

Привилегия (permission)

Действие

Типовые роли

galaxy.add_namespace

Создание пространств имен

galaxy.content_admin, galaxy.collection_admin

galaxy.change_namespace

Изменение пространств имен

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_publisher, galaxy.collection_namespace_owner

galaxy.delete_namespace

Удаление пространств имен

galaxy.content_admin, galaxy.collection_admin

ansible.add_ansiblerepository

Создание репозитория коллекций

galaxy.content_admin, galaxy.collection_admin

Привилегии пространств имен#

Эти привилегии определяют доступ к управлению пространствами имен и публикации коллекций в их рамках.

Привилегия (permission)

Действие

Типовые роли

galaxy.upload_to_namespace

Публикация коллекций

galaxy.collection_namespace_owner, galaxy.collection_publisher

Привилегии внешних репозиториев#

Эти привилегии определяют доступ к управлению внешними репозиториями.

Привилегия (permission)

Действие

Типовые роли

ansible.change_collectionremote

Изменение

galaxy.collection_remote_owner

ansible.delete_collectionremote

Удаление

galaxy.collection_remote_owner

ansible.manage_roles_collectionremote

Управление ролями

galaxy.collection_remote_owner

ansible.view_collectionremote

Просмотр

galaxy.collection_remote_owner

Привилегии сред исполнения#

Эти привилегии определяют доступ к управлению средами исполнения.

Привилегия (permission)

Действие

Типовые роли

container.namespace_push_containerdistribution

Публикация образа среды исполнения

galaxy.execution_environment_publisher

container.namespace_change_containerdistribution

Изменение образа среды исполнения

galaxy.execution_environment_collaborator

container.manage_roles_containernamespace

Управление ролями container namespace

galaxy.execution_environment_namespace_owner

container.change_containernamespace

Изменение container namespace

galaxy.execution_environment_namespace_owner

Привилегии репозитория коллекций#

Эти привилегии определяют доступ к управлению репозиториями коллекций (Ansible Repository).

Привилегия (permission)

Действие

Типовые роли

ansible.view_ansiblerepository

Просмотр репозитория

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_curator, galaxy.ansible_repository_owner

ansible.change_ansiblerepository

Изменение параметров репозитория

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_curator, galaxy.ansible_repository_owner

ansible.delete_ansiblerepository

Удаление репозитория

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_curator, galaxy.ansible_repository_owner

ansible.manage_roles_ansiblerepository

Управление ролями репозитория

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_curator, galaxy.ansible_repository_owner

ansible.modify_ansible_repo_content

Управление содержимым репозитория

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_curator, galaxy.ansible_repository_owner

ansible.rebuild_metadata_ansiblerepository

Пересборка метаданных репозитория

ansible.ansiblerepository_owner (системная роль Pulp)

ansible.repair_ansiblerepository

Восстановление репозитория

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_curator, galaxy.ansible_repository_owner

ansible.sign_ansiblerepository

Подпись репозитория

galaxy.content_admin, galaxy.collection_admin, galaxy.collection_curator, galaxy.ansible_repository_owner

ansible.sync_ansiblerepository

Синхронизация репозитория

ansible.ansiblerepository_owner (системная роль Pulp)

Привилегии Event-Driven Automation#

Ниже приведены привилегии Event-Driven Automation, предоставляемые ими действия и связанные роли.

Привилегии организации#

Эти привилегии определяют доступ к возможности управления организациями в Event-Driven Automation.

Привилегия (permission)

Действие

Типовые роли

Add organization

Создание

Суперпользователь платформы

View organization

Просмотр

Organization Admin, Organization Viewer

Change organization

Изменение

Organization Admin

Delete organization

Удаление

Суперпользователь платформы

Привилегии проекта#

Эти привилегии определяют доступ к возможности управления проектом и его обновления в Event-Driven Automation.

Привилегия (permission)

Действие

Типовые роли

Add project

Создание

Organization Admin

View project

Просмотр

Organization Admin, Organization Viewer, Project Use

Change project

Изменение

Project Admin

Delete project

Удаление

Project Admin

Sync project

Синхронизация

Project Admin

Привилегии активации сводов правил#

Эти привилегии определяют доступ к возможности управления активациями сводов правил.

Привилегия (permission)

Действие

Типовые роли

Add activation

Создание

Organization Activation Admin, Organization Admin, Organization Contributor

View activation

Просмотр

Organization Viewer, Activation Use

Change activation

Изменение

Project Admin

Delete activation

Удаление

Project Admin

Enable activation

Включение

Activation Admin, Organization Activation Admin, Organization Admin, Organization Contributor, Organization Operator

Disable activation

Отключение

Activation Admin, Organization Activation Admin, Organization Admin, Organization Contributor, Organization Operator

Restart activation

Перезапуск

Activation Admin, Organization Activation Admin, Organization Admin, Organization Contributor, Organization Operator

Привилегии потока событий#

Эти привилегии определяют доступ к возможности управления потоками событий.

Привилегия (permission)

Действие

Типовые роли

Add event stream

Создание

Organization Admin

View event stream

Просмотр

Organization Viewer

Change event stream

Изменение

Organization Admin

Delete event stream

Удаление

Organization Admin

Привилегии полномочий#

Эти привилегии определяют доступ к возможности управления полномочиями в Event-Driven Automation.

Привилегия (permission)

Действие

Типовые роли

Add credential

Создание

Organization Admin

View credential

Просмотр

Organization Viewer

Change credential

Изменение

Eda Credential Admin

Delete credential

Удаление

Eda Credential Admin