[Документация Yandex Cloud](../../index.md) > [Yandex Identity and Access Management](../index.md) > [Концепции](index.md) > Доступ сервисов к ресурсам пользователя

# Доступ сервисов к ресурсам пользователя


{% note warning %}

Функциональность доступна только в [регионе Россия](../../overview/concepts/region.md).

{% endnote %}


Платформа Yandex Cloud включает в себя набор [сервисов](../../overview/concepts/services.md). Некоторым сервисам для выполнения определенных задач необходим доступ к различным ресурсам в [облаке](../../resource-manager/concepts/resources-hierarchy.md#cloud) пользователя. Например, сервису Yandex Connection Manager для управления подключениями к базам данных требуются права на создание секретов Yandex Lockbox в облаке пользователя, а также права на управление созданными секретами.

Yandex Identity and Access Management позволяет управлять доступом сервисов к ресурсам в облаке пользователя, при необходимости [включая](../operations/service-control/enable-disable.md#enable) или [выключая](../operations/service-control/enable-disable.md#disable) нужные сервисы.

_Доступ сервиса_ — это совокупность прав доступа, необходимых для создания и функционирования ресурсов этого сервиса в облаке пользователя. Такие права доступа назначаются специальным сервисным аккаунтам — [сервисным агентам](#service-agent), от имени которых сервис осуществляет доступ к ресурсам пользователя в облаке.

## Статус сервиса {#access-status}

Сервисы в облаке Yandex Cloud могут иметь следующие статусы:

* `DEFAULT` — статус по умолчанию.

    У сервиса нет [сервисных агентов](#service-agent), но при попытке выполнить в сервисе операцию, требующую доступа к другим ресурсам в облаке пользователя (например, создать [подключение](../../metadata-hub/concepts/connection-manager.md) в сервисе Yandex Connection Manager), сервисные агенты будут автоматически созданы, а статус сервиса изменится на `ENABLED`.
* `ENABLED` — сервис включен. У сервиса есть сервисные агенты, сервис имеет доступ к ресурсам в облаке пользователя.

    Когда статус сервиса в облаке меняется на `ENABLED`, для этого сервиса в данном облаке автоматически создаются сервисные агенты, обладающие необходимыми правами на действия с ресурсами пользователя в этом облаке.

* `DISABLED` — сервис выключен. У сервиса нет сервисных агентов, сервис не имеет доступа к ресурсам в облаке пользователя.

    Когда статус сервиса в облаке меняется на `DISABLED`, сервисные агенты этого сервиса в данном облаке автоматически удаляются.

## Сервисные агенты {#service-agent}

_Сервисные агенты_ — это специальные системные сервисные аккаунты, принадлежащие определенным сервисам в облаке пользователя и предоставляющие таким сервисам доступ к ресурсам в этом облаке. Количество сервисных агентов и конкретный набор доступов, выданных им, могут различаться в зависимости от сервиса, которому эти сервисные агенты принадлежат.

{% note info %}

В настоящее время нельзя просмотреть или изменить набор ролей, назначенных сервисным агентам по умолчанию. В будущем такая возможность появится.

{% endnote %}

Сервисные агенты создаются в особом системном каталоге в облаке пользователя. Этот каталог управляется системой и недоступен пользователю даже при наличии у него ролей администратора или владельца облака.

У сервисного агента есть права на действия с ресурсами только в том облаке, в котором этот сервисный агент создан.

Пользователь не может напрямую создавать, удалять или назначать роли отдельным сервисным агентам. Сервисные агенты в необходимом количестве и с нужными правами доступа автоматически создаются при [включении сервисов](../operations/service-control/enable-disable.md#enable) и автоматически удаляются при их [выключении](../operations/service-control/enable-disable.md#disable). При повторном включении сервиса для него создаются новые сервисные агенты с новыми идентификаторами.


Если у сервиса есть ресурсы, использующие доступ к другим ресурсам в облаке пользователя, выключить этот сервис нельзя. Чтобы выключить такой сервис, предварительно удалите все ресурсы этого сервиса, использующие доступ к другим ресурсам в данном облаке пользователя.

Если в облаке пользователя выключить сервис, то такой сервис продолжит функционировать, но его ресурсы не смогут получать доступ к другим ресурсам в этом облаке.

## Доступом каких сервисов можно управлять {#service-list}

В настоящий момент вы можете управлять доступом следующих сервисов:

Сервис | Идентификатор
--- | ---
Yandex Compute Cloud — [Шифрование дисков](../../compute/concepts/encryption.md) | `disk-encryption`
[Yandex DataSphere](../../datasphere/index.md) | `datasphere`
Yandex MetaData Hub — [Connection Manager](../../metadata-hub/concepts/connection-manager.md) | `connection-manager`
Yandex Security Deck — [Контроль данных (DSPM)](../../security-deck/concepts/dspm.md) | `dspm`
[Yandex WebSQL](../../websql/index.md) | `websql`
[Yandex Cloud Registry](../../cloud-registry/index.md) | `cloud-registry`
Yandex Serverless Integrations — [EventRouter](../../serverless-integrations/concepts/index.md#eventrouter) | `serverless-eventrouter`
[SourceCraft](https://sourcecraft.dev/portal/docs/ru) | `src-integration`

В будущем у администраторов облака появится возможность управлять доступами всех сервисов, требующих прав на действия с ресурсами в облаке Yandex Cloud. С помощью [CLI](../../cli/cli-ref/iam/cli-ref/service-control/list.md) вы можете [получить](../operations/service-control/list-get.md#list) актуальный список сервисов, доступом которых можно управлять.

Управлять доступом сервисов к ресурсам могут пользователи с ролью [администратора](../../resource-manager/security/index.md#resource-manager-admin) или [владельца](../../resource-manager/security/index.md#resource-manager-clouds-owner) облака.

#### Полезные ссылки {#see-also}

* [Получение статусов сервисов](../operations/service-control/list-get.md)
* [Включение и выключение сервиса](../operations/service-control/enable-disable.md)