[Документация Yandex Cloud](../index.md) > [Yandex Identity and Access Management](index.md) > Начало работы > Обзор

# Начало работы с Identity and Access Management

Сервис Yandex Identity and Access Management позволяет управлять доступом к ресурсам Yandex Cloud. Благодаря IAM операции над ресурсами могут выполнять только пользователи с нужными правами доступа.

## Ресурсная модель Yandex Cloud {#resource-model}

Все сервисы платформы Yandex Cloud построены на принципах общей _ресурсно-ролевой модели_ взаимодействия. При работе с сервисами Yandex Cloud вы создаете _ресурсы_: [виртуальные машины](../compute/concepts/vm.md), кластеры управляемых баз данных, [реестры](../container-registry/concepts/registry.md), [секреты](../lockbox/concepts/secret.md) и многие другие. Большинство сервисов хранит создаваемые ресурсы в [каталогах](../resource-manager/concepts/resources-hierarchy.md#folder). Каталоги принадлежат [облакам](../resource-manager/concepts/resources-hierarchy.md#cloud), а облака — организациям.

_Организации_ — это логические сущности, которые объединяют разные типы ресурсов и пользователей в единое рабочее пространство. Организации не взаимодействуют между собой — их ресурсы изолированы друг от друга.

Внутри организации вы можете настроить доступ к ресурсу на следующих [уровнях](../resource-manager/concepts/resources-hierarchy.md#access-rights-inheritance):

* организация;
* облако;
* каталог;
* отдельный ресурс, если сервис поддерживает разграничение доступа на этом уровне.

Такой подход помогает реализовать _принцип минимальных привилегий_ — предоставлять пользователям только те права, без которых невозможно выполнить их задачи.

## Управление доступом {#access-management}

Управление доступом в Yandex Cloud построено на политике [Role Based Access Control](https://en.wikipedia.org/wiki/Role-based_access_control) (RBAC). Чтобы предоставить доступ к ресурсу, вы назначаете [роли](concepts/access-control/roles.md) на ресурс [субъектам](#subjects). Вы также можете назначить роль на родительский ресурс, от которого вложенные ресурсы [наследуют права доступа](concepts/access-control/index.md#inheritance). Например, назначить роль на каталог или облако, в котором находятся виртуальные машины.

В Yandex Cloud предопределены [роли](roles-reference.md) и [ресурсы, на которые можно назначать роли](concepts/access-control/resources-with-access-control.md). Пользователи не могут создавать собственные роли.

[Назначать роли](operations/roles/grant.md) могут только пользователи, у которых есть как минимум примитивная роль `admin` или сервисная роль `<название_сервиса>.admin` на отдельный ресурс или на один из родительских ресурсов. Уровень выдаваемых прав не должен быть выше, чем у пользователя, который их выдает.

{% cut "Пример" %}

Назначить роль на отдельную ВМ может пользователь с одной из следующих ролей:

* `admin`;
* `compute.admin`;
* `resource-manager.clouds.owner`;
* `organization-manager.admin`;
* `organization-manager.organizations.owner`.

Пользователю должна быть назначена одна из этих ролей на один из следующих ресурсов:

* ВМ;
* каталог, которому принадлежит ВМ;
* облако, в котором находится каталог;
* вся организация.

{% endcut %}

Если вы хотите запретить субъекту доступ к ресурсу, [отзовите](operations/roles/revoke.md) у него соответствующие роли на этот ресурс и на ресурсы, от которых наследуются права доступа.

## Субъекты в ролевой модели Yandex Cloud {#subjects}

Роли на ресурс выдаются [субъектам](concepts/access-control/index.md#subject). Каждому субъекту можно выдать несколько ролей.

Существуют следующие типы субъектов:

* [Аккаунт на Яндексе](concepts/users/accounts.md#passport) — ваш аккаунт на Яндексе или в Яндекс 360.
* [Сервисный аккаунт](concepts/users/service-accounts.md) — дополнительный аккаунт, с помощью которого программы могут выполнять операции в Yandex Cloud. Сервисные аккаунты бесплатны и позволяют гибко управлять доступами ваших программ.
* [Федеративный аккаунт](concepts/users/accounts.md#saml-federation) — аккаунт пользователя федерации удостоверений, например из Active Directory.
* [Аккаунт локального пользователя](concepts/users/accounts.md#local) — аккаунт пользователя, созданный локально в [организации](../organization/concepts/organization.md) Yandex Identity Hub в [пуле пользователей](../organization/concepts/user-pools.md).
* [Группа пользователей](../organization/concepts/groups.md) — группа, в которой пользователи обладают одинаковыми правами доступа.
* [Системная группа](concepts/access-control/system-group.md) — предустановленная в IAM группа пользователей.

## Взаимодействие с сервисом Yandex Identity Hub {#organization}

Сервисы IAM и [Yandex Identity Hub](../organization/index.md) тесно связаны, так как Yandex Identity Hub тоже предоставляет возможности управления доступом, но на уровне организации. Например, с помощью Yandex Identity Hub можно централизованно [управлять пользователями](../organization/operations/manage-users.md), в том числе приглашать новых.

Также вы можете [создавать федерации и управлять ими](../organization/operations/setup-federation.md), чтобы проходить аутентификацию Single Sign-On в Yandex Cloud через своего поставщика удостоверений.

[Управление группами пользователей](../organization/operations/manage-groups.md) тоже проходит в Yandex Identity Hub. Например, с помощью сервиса вы можете выдать права доступа группе. Чтобы использовать другие интерфейсы Yandex Cloud для настройки прав доступа группы, сначала создайте ее и добавьте в нее участников в Yandex Identity Hub. После этого вы сможете, например, выдать группе права на каталог в консоли управления.

## Что дальше {#whats-next}

* Узнайте, [как начать работать с Yandex Identity Hub](../organization/quickstart.md).
* Прочитайте, для чего нужен и [как создать платежный аккаунт](../getting-started/individuals/registration.md).
* Узнайте, [как организованы ресурсы и управление доступом в Yandex Cloud](../overview/roles-and-resources.md).
* [Научитесь управлять доступом к ресурсам](quickstart.md).
* Посмотрите, [какие типы аккаунтов существуют в Yandex Cloud](concepts/users/accounts.md) и [как работать с сервисными аккаунтами](quickstart-sa.md).
* Ознакомьтесь со [способами аутентификации в Yandex Cloud](concepts/authorization/index.md).