Yandex Cloud

Найти Folder ID

Откройте Yandex Cloud Console, выберите нужный каталог. На странице Дашборд каталога Folder ID отображается в шапке под названием каталога (формат: b1g...). Нажмите на ID, чтобы скопировать.

Альтернативно через CLI:

yc config list

В выводе найдите строку folder-id — это и есть идентификатор каталога.

Создать сервисный аккаунт и назначить роли

1. В левом меню консоли нажмите Все сервисы.
2. Прокрутите вниз до раздела «Управление ресурсами» и выберите Identity and Access Management.
3. В левом меню нажмите Сервисные аккаунты.
4. Нажмите Создать сервисный аккаунт (кнопка в правом верхнем углу).
5. Укажите имя, например oopps-reader. Описание — «Read-only service account for Oopps.ai audit».
6. В поле Роли в каталоге нажмите + Добавить роль и добавьте три роли: viewer, k8s.cluster-api.viewer, compute.viewer.
7. Нажмите Создать.

Или через CLI:

# Создать сервисный аккаунт
yc iam service-account create \
  --name oopps-reader \
  --description "Read-only SA for Oopps.ai"

# Назначить роли на каталоге (подставьте свои folder_id и sa_id)
yc resource-manager folder add-access-binding \
  --id <folder_id> --role viewer --service-account-id <sa_id>
yc resource-manager folder add-access-binding \
  --id <folder_id> --role k8s.cluster-api.viewer --service-account-id <sa_id>
yc resource-manager folder add-access-binding \
  --id <folder_id> --role compute.viewer --service-account-id <sa_id>

2б. (Опционально) Расширить доступ для аудита нод

Роль k8s.cluster-api.viewer даёт read-only доступ к подам, сервисам и ворклоадам. Для полного аудита (ноды, persistent volumes, метрики утилизации) нужен дополнительный ClusterRole внутри кластера. Это строго read-only — только get, list, watch.

Примените YAML от имени администратора кластера:

cat <<'EOF' | kubectl apply -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: oopps-reader
rules:
- apiGroups: [""]
  resources: ["nodes", "persistentvolumes"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["metrics.k8s.io"]
  resources: ["nodes", "pods"]
  verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: oopps-reader
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: oopps-reader
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: yc:viewer
EOF

Назначить роль для биллинга и скопировать Billing Account ID

1. В левом меню консоли нажмите Все сервисы.
2. В верхней части выберите Cloud Center → Billing (Потребление и оплата).
3. Выберите нужный платёжный аккаунт.
4. Скопируйте Billing Account ID — он отображается под названием аккаунта (формат: dn...). Он понадобится при настройке коннектора.
5. В левом меню нажмите Управление доступом.
6. Нажмите кнопку Назначить роли (в правом верхнем углу). Откроется диалог Выдача доступа.
7. В левой колонке выберите Сервисные аккаунты, найдите oopps-reader и выберите его.
8. В поле Роли добавьте billing.accounts.viewer и нажмите Сохранить.

Создать ключ авторизации

Yandex Cloud поддерживает три способа аутентификации сервисного аккаунта. Выберите подходящий:

a) IAM-токен (для тестирования)

yc iam create-token

Токен действует 12 часов. Подходит для быстрой проверки, но не для постоянной работы.

b) OAuth-токен (долгоживущий)

Получите токен на oauth.yandex.ru. Подходит для тестирования и небольших сред, где допустимо хранить долгоживущий токен.

c) Service Account Key (JSON) — рекомендуется для прода

Через консоль:

1. Все сервисы → Identity and Access Management → Сервисные аккаунты.
2. Нажмите на аккаунт oopps-reader.
3. Сверху нажмите Создать новый ключ → Создать авторизованный ключ.
4. В диалоге нажмите Создать и скачайте JSON-файл с ключом.

Через CLI:

yc iam key create \
  --service-account-id <sa_id> \
  --output key.json

Файл key.json содержит авторизованный ключ. Это наиболее безопасный и надёжный способ аутентификации для production-среды.

Вставить credentials в Oopps.ai

Откройте платформу Oopps.ai → Коннекторы → Добавить → выберите Yandex Cloud.

Заполните поле folder_id и выберите способ аутентификации из списка. Вставьте соответствующий ключ или токен. Нажмите Подключить.

После успешного подключения Oopps.ai начнёт обнаружение кластеров и сбор инвентаря в течение нескольких минут.