Управление доступом в Yandex AI Studio

Об управлении доступомОб управлении доступом

Все операции в Yandex AI Studio проверяются в сервисе Yandex Identity and Access Management. Если у субъекта нет необходимых разрешений, сервис вернет ошибку.

Чтобы выдать разрешения к ресурсу, назначьте роли на этот ресурс субъекту, который будет выполнять операции. Роли можно назначить аккаунту на Яндексе, сервисному аккаунту, локальному пользователю, федеративному пользователю, группе пользователей, системной группе или публичной группе. Подробнее читайте в разделе Как устроено управление доступом в Yandex Cloud.

На какие ресурсы можно назначить рольНа какие ресурсы можно назначить роль

Роль можно назначить на организацию, облако и каталог. Роли, назначенные на организацию, облако или каталог, действуют и на вложенные ресурсы.

Какие роли действуют в сервисеКакие роли действуют в сервисе

Сервисные ролиСервисные роли

ai.playground.userai.playground.user

Роль ai.playground.user позволяет создавать эксперименты, получать список всех доступных моделей и использовать их в AI Playground в консоли управления Yandex Cloud. Для работы с поисковыми индексами в консоли управления дополнительно необходима роль ai.assistants.editor.

ai.languageModels.userai.languageModels.user

Роль ai.languageModels.user позволяет использовать модели генерации текста, векторного представления текста и классификаторов в сервисе Yandex AI Studio, а также просматривать информацию об облаке, каталоге и квотах сервиса.

ai.imageGeneration.userai.imageGeneration.user

Роль ai.imageGeneration.user позволяет использовать модели генерации изображений YandexART в сервисе Yandex AI Studio, а также просматривать информацию об облаке, каталоге и квотах сервиса.

ai.assistants.auditorai.assistants.auditor

Роль ai.assistants.auditor позволяет просматривать информацию о загруженных файлах и поисковых индексах Vector Store, а также о квотах сервиса Yandex AI Studio, об облаке и каталоге.

ai.assistants.viewerai.assistants.viewer

Роль ai.assistants.viewer позволяет просматривать информацию о файлах и поисковых индексах Vector Store, а также выполнять поиск по таким индексам.

Пользователи с этой ролью могут:

• просматривать информацию о загруженных файлах и содержимое таких файлов;
• просматривать информацию о поисковых индексах Vector Store, а также выполнять поиск по таким индексам;
• просматривать информацию о квотах сервиса Yandex AI Studio;
• просматривать информацию об облаке;
• просматривать информацию о каталоге.

Включает разрешения, предоставляемые ролью ai.assistants.auditor.

ai.assistants.editorai.assistants.editor

Роль ai.assistants.editor позволяет использовать AI-агентов, а также управлять файлами и поисковыми индексами Vector Store.

Пользователи с этой ролью могут:

• использовать AI-агентов;
• просматривать информацию о загруженных файлах, а также загружать, изменять, просматривать и удалять такие файлы;
• просматривать информацию о поисковых индексах Vector Store, создавать, изменять и удалять поисковые индексы, а также выполнять поиск по ним;
• просматривать информацию о квотах сервиса Yandex AI Studio;
• просматривать информацию об облаке;
• просматривать информацию о каталоге.

Включает разрешения, предоставляемые ролью ai.assistants.viewer.

ai.assistants.adminai.assistants.admin

Роль ai.assistants.admin позволяет использовать AI-агентов, а также управлять файлами и поисковыми индексами Vector Store.

Пользователи с этой ролью могут:

• использовать AI-агентов;
• просматривать информацию о загруженных файлах, а также загружать, изменять, просматривать и удалять такие файлы;
• просматривать информацию о поисковых индексах Vector Store, создавать, изменять и удалять поисковые индексы, а также выполнять поиск по ним;
• просматривать информацию о квотах сервиса Yandex AI Studio;
• просматривать информацию об облаке;
• просматривать информацию о каталоге.

Включает разрешения, предоставляемые ролью ai.assistants.editor.

ai.datasets.auditorai.datasets.auditor

Роль ai.datasets.auditor позволяет просматривать метаданные датасетов.

ai.datasets.viewerai.datasets.viewer

Роль ai.datasets.viewer позволяет просматривать информацию о датасетах.

Включает разрешения, предоставляемые ролью ai.datasets.auditor.

ai.datasets.userai.datasets.user

Роль ai.datasets.user позволяет просматривать информацию о датасетах и использовать их для дообучения моделей в AI Studio.

Включает разрешения, предоставляемые ролью ai.datasets.viewer.

ai.datasets.editorai.datasets.editor

Роль ai.datasets.editor позволяет просматривать информацию о датасетах, создавать, изменять и удалять датасеты, а также использовать их для дообучения моделей в AI Studio.

Включает разрешения, предоставляемые ролью ai.datasets.user.

ai.datasets.adminai.datasets.admin

Роль ai.datasets.admin позволяет просматривать информацию о датасетах, создавать, изменять и удалять датасеты, а также использовать их для дообучения моделей в AI Studio.

Включает разрешения, предоставляемые ролью ai.datasets.editor.

ai.models.auditorai.models.auditor

Роль ai.models.auditor позволяет просматривать метаданные моделей генерации текста Yandex AI Studio.

ai.models.viewerai.models.viewer

Роль ai.models.viewer позволяет просматривать информацию о моделях генерации текста Yandex AI Studio.

Включает разрешения, предоставляемые ролью ai.models.auditor.

ai.models.userai.models.user

Роль ai.models.user позволяет использовать AI-агентов и модели генерации текста и изображений, векторного представления текста и классификаторов в Yandex AI Studio, а также использовать сервисы Yandex Translate, Yandex Vision OCR и Yandex SpeechKit.

Пользователи с этой ролью могут:

• просматривать информацию о моделях генерации текста Yandex AI Studio;
• использовать AI-агентов, а также модели генерации текста и изображений, модели векторного представления текста и классификаторов в сервисе Yandex AI Studio;
• использовать сервис Yandex Translate для перевода текста;
• использовать сервис Yandex Vision OCR для анализа изображений;
• использовать сервис Yandex SpeechKit для распознавания и синтеза речи.

Включает разрешения, предоставляемые ролью ai.models.viewer.

ai.models.editorai.models.editor

Роль ai.models.editor позволяет управлять дообучением моделей Yandex AI Studio, а также использовать сервисы Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio.

Пользователи с этой ролью могут:

• просматривать информацию о моделях генерации текста Yandex AI Studio;
• дообучать модели Yandex AI Studio, а также создавать, изменять и удалять дообученные модели;
• использовать AI-агентов, а также модели генерации текста и изображений, модели векторного представления текста и классификаторов в сервисе Yandex AI Studio;
• использовать сервис Yandex Translate для перевода текста;
• использовать сервис Yandex Vision OCR для анализа изображений;
• использовать сервис Yandex SpeechKit для распознавания и синтеза речи.

Включает разрешения, предоставляемые ролью ai.models.user.

ai.models.adminai.models.admin

Роль ai.models.admin позволяет управлять дообучением моделей Yandex AI Studio, а также использовать сервисы Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio.

Пользователи с этой ролью могут:

• просматривать информацию о моделях генерации текста Yandex AI Studio;
• дообучать модели Yandex AI Studio, а также создавать, изменять и удалять дообученные модели;
• использовать AI-агентов, а также модели генерации текста и изображений, модели векторного представления текста и классификаторов в сервисе Yandex AI Studio;
• использовать сервис Yandex Translate для перевода текста;
• использовать сервис Yandex Vision OCR для анализа изображений;
• использовать сервис Yandex SpeechKit для распознавания и синтеза речи.

Включает разрешения, предоставляемые ролью ai.models.editor.

ai.guardrails.auditorai.guardrails.auditor

Роль ai.guardrails.auditor позволяет просматривать метаданные правил модерации ответов моделей.

ai.guardrails.viewerai.guardrails.viewer

Роль ai.guardrails.viewer позволяет просматривать информацию о правилах модерации ответов моделей.

Включает разрешения, предоставляемые ролью ai.guardrails.auditor.

ai.guardrails.userai.guardrails.user

Роль ai.guardrails.user позволяет применять правила модерации ответов моделей и просматривать метаданные таких правил.

ai.guardrails.editorai.guardrails.editor

Роль ai.guardrails.editor позволяет просматривать информацию о правилах модерации ответов моделей, а также создавать, применять, изменять и удалять такие правила.

Включает разрешения, предоставляемые ролями ai.guardrails.viewer и ai.guardrails.user.

ai.guardrails.adminai.guardrails.admin

Роль ai.guardrails.admin позволяет просматривать информацию о правилах модерации ответов моделей, а также создавать, применять, изменять и удалять такие правила.

Включает разрешения, предоставляемые ролью ai.guardrails.editor.

serverless.mcpGateways.auditorserverless.mcpGateways.auditor

Роль serverless.mcpGateways.auditor позволяет просматривать информацию об MCP-серверах и назначенных правах доступа к ним.

serverless.mcpGateways.viewerserverless.mcpGateways.viewer

Роль serverless.mcpGateways.viewer позволяет просматривать информацию об MCP-серверах и назначенных правах доступа к ним.

Включает разрешения, предоставляемые ролью serverless.mcpGateways.auditor.

serverless.mcpGateways.invokerserverless.mcpGateways.invoker

Роль serverless.mcpGateways.invoker позволяет обращаться к MCP-серверам, в том числе через MCP Hub.

serverless.mcpGateways.anonymousInvokerserverless.mcpGateways.anonymousInvoker

Роль serverless.mcpGateways.anonymousInvoker позволяет обращаться к MCP-серверам, в том числе через MCP Hub.

serverless.mcpGateways.editorserverless.mcpGateways.editor

Роль serverless.mcpGateways.editor позволяет создавать, изменять и удалять MCP-серверы, просматривать информацию о них и назначенных правах доступа к ним.

Включает разрешения, предоставляемые ролью serverless.mcpGateways.viewer.

serverless.mcpGateways.adminserverless.mcpGateways.admin

Роль serverless.mcpGateways.admin позволяет управлять MCP-серверами и доступом к ним.

Пользователи с этой ролью могут:

• просматривать информацию об MCP-серверах, а также создавать, изменять и удалять их;
• просматривать информацию о назначенных правах доступа к MCP-серверам, а также изменять такие права доступа;
• обращаться через MCP Hub к MCP-серверам, в том числе внешним.

Включает разрешения, предоставляемые ролями serverless.mcpGateways.editor, serverless.mcpGateways.invoker и serverless.mcpGateways.anonymousInvoker.

ai.auditorai.auditor

Роль ai.auditor позволяет просматривать информацию о квотах сервисов Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio, о загруженных файлах, поисковых индексах Vector Store, датасетах и моделях генерации текста Yandex AI Studio, просматривать метаданные правил модерации ответов моделей, а также информацию об облаке и каталоге.

Включает разрешения, предоставляемые ролями ai.assistants.auditor, ai.datasets.auditor, ai.models.auditor и ai.guardrails.auditor.

ai.viewerai.viewer

Роль ai.viewer позволяет просматривать информацию о квотах сервисов Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio, о моделях генерации текста, о правилах модерации ответов моделей, о датасетах, загруженных файлах и поисковых индексах Vector Store в Yandex AI Studio, выполнять чтение таких файлов и поиск по таким индексам, а также просматривать информацию об облаке и каталоге.

Включает разрешения, предоставляемые ролями ai.auditor, ai.assistants.viewer, ai.datasets.viewer, ai.models.viewer и ai.guardrails.viewer.

ai.editorai.editor

Роль ai.editor позволяет использовать сервисы Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio.

Пользователи с этой ролью могут:

• использовать сервис Yandex Translate для перевода текста;
• использовать сервис Yandex Vision OCR для анализа изображений;
• использовать сервис Yandex SpeechKit для распознавания и синтеза речи;
• просматривать информацию о моделях генерации текста Yandex AI Studio;
• просматривать информацию о правилах модерации ответов моделей, а также создавать, применять, изменять и удалять такие правила;
• использовать AI-агентов, а также модели генерации текста и изображений, модели векторного представления текста и классификаторов в сервисе Yandex AI Studio;
• просматривать информацию о загруженных файлах, а также загружать, изменять, просматривать и удалять такие файлы;
• просматривать информацию о поисковых индексах Vector Store, создавать, изменять и удалять поисковые индексы, а также выполнять поиск по ним;
• дообучать модели Yandex AI Studio, а также создавать, изменять и удалять дообученные модели;
• просматривать информацию о датасетах, использовать их для дообучения моделей, а также создавать, изменять и удалять датасеты;
• просматривать информацию об облаке и каталоге;
• просматривать информацию о квотах сервисов Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio.

Включает разрешения, предоставляемые ролями ai.viewer, ai.translate.user, ai.vision.user, ai.speechkit-stt.user, ai.speechkit-tts.user, ai.languageModels.user, ai.imageGeneration.user, ai.assistants.editor, ai.datasets.editor, ai.models.editor и ai.guardrails.editor.

ai.adminai.admin

Роль ai.admin позволяет использовать сервисы Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio.

Пользователи с этой ролью могут:

• использовать сервис Yandex Translate для перевода текста;
• использовать сервис Yandex Vision OCR для анализа изображений;
• использовать сервис Yandex SpeechKit для распознавания и синтеза речи;
• просматривать информацию о моделях генерации текста Yandex AI Studio;
• просматривать информацию о правилах модерации ответов моделей, а также создавать, применять, изменять и удалять такие правила;
• использовать AI-агентов, а также модели генерации текста и изображений, модели векторного представления текста и классификаторов в сервисе Yandex AI Studio;
• просматривать информацию о загруженных файлах, а также загружать, изменять, просматривать и удалять такие файлы;
• просматривать информацию о поисковых индексах Vector Store, создавать, изменять и удалять поисковые индексы, а также выполнять поиск по ним;
• дообучать модели Yandex AI Studio, а также создавать, изменять и удалять дообученные модели;
• просматривать информацию о датасетах, использовать их для дообучения моделей, а также создавать, изменять и удалять датасеты;
• просматривать информацию об облаке и каталоге;
• просматривать информацию о квотах сервисов Yandex Translate, Yandex Vision OCR, Yandex SpeechKit и Yandex AI Studio.

Включает разрешения, предоставляемые ролями ai.editor, ai.assistants.admin, ai.datasets.admin, ai.models.admin и ai.guardrails.admin.

Примитивные ролиПримитивные роли

Примитивные роли позволяют пользователям совершать действия во всех сервисах Yandex Cloud.

auditorauditor

Роль auditor предоставляет разрешения на чтение конфигурации и метаданных любых ресурсов Yandex Cloud без возможности доступа к данным.

Например, пользователи с этой ролью могут:

• просматривать информацию о ресурсе;
• просматривать метаданные ресурса;
• просматривать список операций с ресурсом.

Роль auditor — наиболее безопасная роль, исключающая доступ к данным сервисов. Роль подходит для пользователей, которым необходим минимальный уровень доступа к ресурсам Yandex Cloud.

viewerviewer

Роль viewer предоставляет разрешения на чтение информации о любых ресурсах Yandex Cloud.

Включает разрешения, предоставляемые ролью auditor.

В отличие от роли auditor, роль viewer предоставляет доступ к данным сервисов в режиме чтения.

editoreditor

Роль editor предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме назначения ролей другим пользователям, передачи прав владения организацией и ее удаления, а также удаления ключей шифрования Key Management Service.

Например, пользователи с этой ролью могут создавать, изменять и удалять ресурсы.

Включает разрешения, предоставляемые ролью viewer.

adminadmin

Роль admin позволяет назначать любые роли, кроме resource-manager.clouds.owner и organization-manager.organizations.owner, а также предоставляет разрешения на управление любыми ресурсами Yandex Cloud, кроме передачи прав владения организацией и ее удаления.

Прежде чем назначить роль admin на организацию, облако или платежный аккаунт, ознакомьтесь с информацией о защите привилегированных аккаунтов.

Включает разрешения, предоставляемые ролью editor.

Вместо примитивных ролей мы рекомендуем использовать роли сервисов. Такой подход позволит более гранулярно управлять доступом и обеспечить соблюдение принципа минимальных привилегий.

См. такжеСм. также

• Как назначить роль
• Как отозвать роль
• Подробнее об управлении доступом в Yandex Cloud
• Подробнее о наследовании ролей