IAM-роли

Для управления доступом к ресурсам сервиса Object Storage можно использовать:

При назначении ролей рекомендуется придерживаться принципа минимальных привилегий.

Описание ролей

На схеме показаны роли и особенности наследования разрешений:

Сервисные роли

storage.bucket.policyViewer

Роль storage.bucket.policyViewer позволяет получать текущую политику бакета.

storage.bucket.policyEditor

Роль storage.bucket.policyEditor позволяет получать текущую политику бакета и добавлять новые политики.

Роль включает все разрешения роли storage.bucket.policyViewer.

storage.bucket.objectViewer

Роль storage.bucket.objectViewer позволяет просматривать информацию об объектах в бакете и составных загрузках, а также скачивать объекты из бакета.

С этой ролью вы можете:

получать список объектов в бакете;
получать список версий объекта;
получать список тегов, назначенных объекту;
получать список составных загрузок в бакете;
получать список частей составной загрузки;
скачивать объекты из бакета.

storage.bucket.viewer

Роль storage.bucket.viewer позволяет просматривать информацию о бакете, объектах в бакете и составных загрузках, а также скачивать объекты из бакета.

С этой ролью вы можете:

получать список объектов в бакете;
получать список версий объекта;
получать список тегов, назначенных объекту;
получать список составных загрузок в бакете;
получать список частей составной загрузки;
просматривать настройки жизненного цикла для объектов в бакете;
просматривать текущие политики бакета;
просматривать информацию о статусе версионирования;
просматривать информацию о шифровании;
просматривать настройки CORS;
просматривать настройки логирования бакета.
скачивать объекты из бакета.

Роль включает все разрешения для роли storage.bucket.objectViewer.

storage.bucket.objectEditor

Роль storage.bucket.objectEditor позволяет просматривать информацию о бакете, объектах в бакете и составных загрузках, а также управлять объектами.

С этой ролью вы можете:

получать список объектов в бакете;
получать список версий объекта;
получать список тегов, назначенных объекту;
получать список составных загрузок в бакете;
получать список частей составной загрузки;
просматривать настройки жизненного цикла для объектов в бакете;
просматривать текущие политики бакета;
просматривать информацию о статусе версионирования;
просматривать информацию о шифровании;
просматривать настройки CORS;
просматривать настройки логирования бакета.
загружать и скачивать объекты;
удалять объекты;
добавлять и удалять теги объектов.

Роль включает все разрешения роли storage.bucket.viewer.

storage.bucket.editor

Роль storage.bucket.editor позволяет просматривать информацию о бакете, объектах в бакете и составных загрузках, а также управлять бакетами и объектами.

С этой ролью вы можете:

получать список объектов в бакете;
получать список версий объекта;
получать список тегов, назначенных объекту;
получать список составных загрузок в бакете;
получать список частей составной загрузки;
просматривать настройки жизненного цикла для объектов в бакете;
просматривать текущие политики бакета;
просматривать информацию о статусе версионирования;
просматривать информацию о шифровании;
просматривать настройки CORS;
просматривать настройки логирования бакета.
загружать и скачивать объекты;
удалять объекты;
добавлять и удалять теги объектов;
создавать, редактировать и удалять бакеты.

Роль включает все разрешения роли storage.bucket.viewer.

storage.bucket.admin

Роль storage.bucket.admin позволяет просматривать информацию о бакете, объектах в бакете и составных загрузках, а также управлять бакетами, объектами и доступом к бакетам.

С этой ролью вы можете:

получать список объектов в бакете;
получать список версий объекта;
получать список тегов, назначенных объекту;
получать список составных загрузок в бакете;
получать список частей составной загрузки;
просматривать настройки жизненного цикла для объектов в бакете;
просматривать текущие политики бакета;
просматривать информацию о статусе версионирования;
просматривать информацию о шифровании;
просматривать настройки CORS;
просматривать настройки логирования бакета.
загружать и скачивать объекты;
удалять объекты;
добавлять и удалять теги объектов;
создавать, редактировать и удалять бакеты;
управлять доступом к бакетам.

Роль включает все разрешения ролей storage.bucket.viewer и storage.bucket.editor.