[Документация Yandex Cloud](../../../index.md) > [Yandex Object Storage](../../index.md) > [Пошаговые инструкции](../index.md) > Бакеты > Настройка публичного доступа к бакету # Настройка публичного доступа к бакету В Object Storage реализовано несколько механизмов для управления доступом к ресурсам. Алгоритм взаимодействия этих механизмов приведен в [Обзор способов управления доступом в Object Storage](../../security/overview.md). По умолчанию [бакеты](../../concepts/bucket.md) создаются с ограниченным [доступом](../../concepts/bucket.md#bucket-access). Вы можете открыть публичный доступ: - [На чтение объектов](../../s3/api-ref/object/get.md) в бакете. - [К списку объектов](../../s3/api-ref/bucket/listobjects.md) в бакете. - На чтение настроек: - [CORS](../../s3/api-ref/cors/get.md) - [Хостинг статического сайта](../../s3/api-ref/hosting/get.md) - [Жизненные циклы объектов](../../s3/api-ref/lifecycles/get.md) Публичный доступ к каждой операции выдается отдельно. То есть, если вы открыли доступ только на чтение объектов, то операции получения списка объектов и настроек бакета недоступны анонимному пользователю. ## Открыть публичный доступ {#open-public-access} {% note warning %} Публичный доступ предоставляется неограниченному кругу анонимных пользователей. Используйте его только в случае, когда нет возможности применить другие механизмы предоставления доступа. {% endnote %} {% list tabs group=instructions %} - Консоль управления {#console} 1. В [консоли управления](https://kz.console.yandex.cloud) откройте каталог. 1. [Перейдите](https://kz.console.yandex.cloud/link/storage) в сервис **Object Storage**. 1. Выберите бакет, для которого вы хотите настроить публичный доступ. 1. На панели слева выберите ![image](../../../_assets/console-icons/wrench.svg) **Настройки**. 1. Выберите вкладку **Основные**. 1. Включите публичный доступ для нужных типов операций. 1. Нажмите **Сохранить**. - Yandex Cloud CLI {#cli} Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), [установите и инициализируйте его](../../../cli/quickstart.md#install). По умолчанию используется каталог, указанный при [создании](../../../cli/operations/profile/profile-create.md) профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду `yc config set folder-id <идентификатор_каталога>`. Также для любой команды вы можете указать другой каталог с помощью параметров `--folder-name` или `--folder-id`. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа. 1. Посмотрите описание команды CLI для изменения бакета: ```bash yc storage bucket update --help ``` 1. Получите список бакетов в каталоге по умолчанию: ```bash yc storage bucket list ``` Результат: ```text +------------------+----------------------+-------------+-----------------------+---------------------+ | NAME | FOLDER ID | MAX SIZE | DEFAULT STORAGE CLASS | CREATED AT | +------------------+----------------------+-------------+-----------------------+---------------------+ | first-bucket | b1gmit33ngp6******** | 53687091200 | STANDARD | 2022-12-16 13:58:18 | +------------------+----------------------+-------------+-----------------------+---------------------+ ``` 1. Сохраните имя бакета (столбец `NAME`), к которому нужно открыть публичный доступ. 1. Откройте публичный доступ к операциям с бакетом: ```bash yc storage bucket update \ --name <имя_бакета> \ --public-read \ --public-list \ --public-config-read ``` Где: * `--name` — имя бакета, к которому нужно открыть публичный доступ. * `--public-read` — флаг для включения публичного доступа на чтение объектов в бакете. * `--public-list` — флаг для включения публичного доступа на просмотр списка объектов в бакете. * `--public-config-read` — флаг для включения публичного доступа на чтение настроек в бакете. `name` — обязательный параметр. Остальные параметры необязательны. По умолчанию публичный доступ к бакету выключен. Результат: ```text name: first-bucket folder_id: b1gmit33ngp6******** anonymous_access_flags: read: true list: true config_read: true default_storage_class: STANDARD versioning: VERSIONING_DISABLED max_size: "53687091200" acl: {} created_at: "2022-12-16T13:58:18.933814Z" ``` - Terraform {#tf} {% note info %} Если вы работаете с Object Storage через Terraform от имени [сервисного аккаунта](../../../iam/concepts/users/service-accounts.md), [назначьте](../../../iam/operations/sa/assign-role-for-sa.md) сервисному аккаунту нужную [роль](../../security/index.md#roles-list), например `storage.admin`, на каталог, в котором будут создаваться ресурсы. {% endnote %} [Terraform](https://www.terraform.io/) позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить. Terraform распространяется под лицензией [Business Source License](https://github.com/hashicorp/terraform/blob/main/LICENSE), а [провайдер Yandex Cloud для Terraform](https://github.com/yandex-cloud/terraform-provider-yandex) — под лицензией [MPL-2.0](https://www.mozilla.org/en-US/MPL/2.0/). Подробная информация о ресурсах провайдера в документации на сайте [Terraform](https://www.terraform.io/docs/providers/yandex/index.html) или в [зеркале](../../../terraform/index.md). Если у вас еще нет Terraform, [установите его и настройте провайдер Yandex Cloud](../../../tutorials/infrastructure-management/terraform-quickstart.md#install-terraform). Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, [аутентифицируйтесь](../../../terraform/authentication.md) соответствующим способом. {% note warning %} Для корректной работы Terraform в [регионе Казахстан](../../../overview/concepts/region.md) укажите в конфигурационном файле Terraform в блоке `provider` эндпоинты API Yandex Cloud и Object Storage: ```hcl provider "yandex" { zone = "kz1-a" endpoint = "api.yandexcloud.kz:443" storage_endpoint = "https://storage.yandexcloud.kz" } ``` Подробнее о настройках провайдера в разделе [Настройте провайдер](../../../tutorials/infrastructure-management/terraform-quickstart.md#configure-provider). {% endnote %} Чтобы открыть публичный доступ к операциям с бакетом: 1. Откройте файл конфигурации Terraform и добавьте блок `anonymous_access_flags` во фрагмент с описанием бакета. ```hcl resource "yandex_storage_bucket" "log_bucket" { access_key = "<идентификатор_статического_ключа>" secret_key = "<секретный_ключ>" bucket = "<имя_бакета>" anonymous_access_flags { read = true list = true config_read = true } } ``` Где: * `access_key` — идентификатор [статического ключа доступа](../../../iam/concepts/authorization/access-key.md). {% note info %} Кроме статических ключей доступа для аутентификации в Object Storage можно использовать IAM-токен. Подробнее смотрите в разделе [Создание бакета](create.md) и в [документации провайдера](../../../terraform/resources/storage_object.md). {% endnote %} * `secret_key` — значение секретного ключа доступа. * `bucket` — имя бакета, к которому нужно открыть публичный доступ. * `anonymous_access_flags` — параметры публичного доступа: * `read` — публичный доступ на чтение объектов в бакете. * `list` — публичный доступ к списку объектов в бакете. * `config_read` — публичный доступ к чтению настроек бакета. Более подробная информация о параметрах ресурса `yandex_storage_bucket` в Terraform приведена в [документации провайдера](../../../terraform/resources/storage_bucket.md#bucket-anonymous-access-flags). 1. Проверьте корректность конфигурационных файлов. 1. В командной строке перейдите в папку, где вы создали конфигурационный файл. 1. Выполните проверку с помощью команды: ``` terraform plan ``` Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет. 1. Разверните облачные ресурсы. 1. Если в конфигурации нет ошибок, выполните команду: ``` terraform apply ``` 1. Подтвердите создание ресурсов: введите в терминал слово `yes` и нажмите **Enter**. После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить появление ресурсов и их настройки можно в [консоли управления](https://kz.console.yandex.cloud). - API {#api} Чтобы открыть публичный доступ к операциям с бакетом, воспользуйтесь методом REST API [update](../../api-ref/Bucket/update.md) для ресурса [Bucket](../../api-ref/Bucket/index.md) или вызовом gRPC API [BucketService/Update](../../api-ref/grpc/Bucket/update.md). {% endlist %} {% note info %} Если для бакета настроена запрещающая [политика доступа](policy.md), открыть публичный доступ не получится. {% endnote %} ## Закрыть публичный доступ {#close-public-access} {% list tabs group=instructions %} - Консоль управления {#console} 1. В [консоли управления](https://kz.console.yandex.cloud) выберите каталог. 1. [Перейдите](https://kz.console.yandex.cloud/link/storage) в сервис **Object Storage**. 1. Выберите бакет, для которого вы хотите закрыть публичный доступ. 1. На панели слева выберите ![image](../../../_assets/console-icons/wrench.svg) **Настройки**. 1. Выберите вкладку **Основные**. 1. Включите ограниченный доступ для нужных типов операций. 1. Нажмите **Сохранить**. - Yandex Cloud CLI {#cli} Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), [установите и инициализируйте его](../../../cli/quickstart.md#install). По умолчанию используется каталог, указанный при [создании](../../../cli/operations/profile/profile-create.md) профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду `yc config set folder-id <идентификатор_каталога>`. Также для любой команды вы можете указать другой каталог с помощью параметров `--folder-name` или `--folder-id`. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа. 1. Посмотрите описание команды CLI для изменения бакета: ```bash yc storage bucket update --help ``` 1. Получите список бакетов в каталоге по умолчанию: ```bash yc storage bucket list ``` Результат: ```text +------------------+----------------------+-------------+-----------------------+---------------------+ | NAME | FOLDER ID | MAX SIZE | DEFAULT STORAGE CLASS | CREATED AT | +------------------+----------------------+-------------+-----------------------+---------------------+ | first-bucket | b1gmit33ngp6******** | 53687091200 | STANDARD | 2022-12-16 13:58:18 | +------------------+----------------------+-------------+-----------------------+---------------------+ ``` 1. Сохраните имя бакета (столбец `NAME`), к которому нужно закрыть публичный доступ. 1. Закройте публичный доступ к операциям с бакетом: ```bash yc storage bucket update \ --name <имя_бакета> \ --public-read=false \ --public-list=false \ --public-config-read=false ``` Где: * `--name` — имя бакета, к которому нужно закрыть публичный доступ. * `--public-read` — флаг для управления публичным доступом на чтение объектов в бакете. Для выключения публичного доступа задайте значение `false`. * `--public-list` — флаг для управления публичным доступом на просмотр списка объектов в бакете. Для выключения публичного доступа задайте значение `false`. * `--public-config-read` — флаг для управления публичным доступом на чтение настроек в бакете. Для выключения публичного доступа задайте значение `false`. `name` — обязательный параметр. Остальные параметры необязательны. По умолчанию публичный доступ к бакету выключен. Результат: ```text name: first-bucket folder_id: b1gmit33ngp6******** anonymous_access_flags: read: false list: false config_read: false default_storage_class: STANDARD versioning: VERSIONING_DISABLED max_size: "53687091200" acl: {} created_at: "2022-12-16T13:58:18.933814Z" ``` - Terraform {#tf} [Terraform](https://www.terraform.io/) позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить. Terraform распространяется под лицензией [Business Source License](https://github.com/hashicorp/terraform/blob/main/LICENSE), а [провайдер Yandex Cloud для Terraform](https://github.com/yandex-cloud/terraform-provider-yandex) — под лицензией [MPL-2.0](https://www.mozilla.org/en-US/MPL/2.0/). Подробная информация о ресурсах провайдера в документации на сайте [Terraform](https://www.terraform.io/docs/providers/yandex/index.html) или в [зеркале](../../../terraform/index.md). Если у вас еще нет Terraform, [установите его и настройте провайдер Yandex Cloud](../../../tutorials/infrastructure-management/terraform-quickstart.md#install-terraform). Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, [аутентифицируйтесь](../../../terraform/authentication.md) соответствующим способом. {% note warning %} Для корректной работы Terraform в [регионе Казахстан](../../../overview/concepts/region.md) укажите в конфигурационном файле Terraform в блоке `provider` эндпоинты API Yandex Cloud и Object Storage: ```hcl provider "yandex" { zone = "kz1-a" endpoint = "api.yandexcloud.kz:443" storage_endpoint = "https://storage.yandexcloud.kz" } ``` Подробнее о настройках провайдера в разделе [Настройте провайдер](../../../tutorials/infrastructure-management/terraform-quickstart.md#configure-provider). {% endnote %} Чтобы закрыть публичный доступ к операциям с бакетом: 1. Откройте файл конфигурации Terraform и добавьте блок `anonymous_access_flags` во фрагмент с описанием бакета. ```hcl resource "yandex_storage_bucket" "log_bucket" { access_key = "<идентификатор_статического_ключа>" secret_key = "<секретный_ключ>" bucket = "<имя_бакета>" anonymous_access_flags { read = false list = false config_read = false } } ``` Где: * `access_key` — идентификатор [статического ключа доступа](../../../iam/concepts/authorization/access-key.md). * `secret_key` — значение секретного ключа доступа. * `bucket` — имя бакета, к которому нужно закрыть публичный доступ. * `anonymous_access_flags` — параметры публичного доступа: * `read` — публичный доступ на чтение объектов в бакете. * `list` — публичный доступ к списку объектов в бакете. * `config_read` — публичный доступ к чтению настроек бакета. Более подробная информация о параметрах ресурса `yandex_storage_bucket` в Terraform приведена в [документации провайдера](../../../terraform/resources/storage_bucket.md#bucket-anonymous-access-flags). 1. Проверьте корректность конфигурационных файлов. 1. В командной строке перейдите в папку, где вы создали конфигурационный файл. 1. Выполните проверку с помощью команды: ``` terraform plan ``` Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет. 1. Разверните облачные ресурсы. 1. Если в конфигурации нет ошибок, выполните команду: ``` terraform apply ``` 1. Подтвердите создание ресурсов: введите в терминал слово `yes` и нажмите **Enter**. После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить появление ресурсов и их настройки можно в [консоли управления](https://kz.console.yandex.cloud). - API {#api} Чтобы закрыть публичный доступ к операциям с бакетом, воспользуйтесь методом REST API [update](../../api-ref/Bucket/update.md) для ресурса [Bucket](../../api-ref/Bucket/index.md) или вызовом gRPC API [BucketService/Update](../../api-ref/grpc/Bucket/update.md). {% endlist %} При закрытии публичного доступа к бакету убедитесь, что [публичной группе](../../../iam/concepts/access-control/public-group.md) `All users` не назначены [роли](../../security/index.md#service-roles) `viewer` или `storage.viewer` и выше на каталог или бакет. В противном случае публичный доступ к бакету сохранится.