docs: add security settings and builtin security reference

ydb/docs/ru/core/_includes/builtin-groups-graph.md

@@ -0,0 +1,56 @@
+```mermaid
+---
+config:
+  layout: elk
+  elk:
+    mergeEdges: true
+    nodePlacementStrategy: NETWORK_SIMPLEX
+---
+graph BT
+
+DATA-WRITERS & DATABASE-ADMINS --> ADMINS
+DDL-ADMINS & ACCESS-ADMINS --> DATABASE-ADMINS
+DATA-READERS --> DATA-WRITERS
+METADATA-READERS --> DATA-READERS & DDL-ADMINS
+%%USERS --> METADATA-READERS & DATA-READERS & DATA-WRITERS & DDL-ADMINS & ACCESS-ADMINS & DATABASE-ADMINS & ADMINS
+USERS --> METADATA-READERS & DDL-ADMINS & ACCESS-ADMINS
+
+    DATA-READERS["<b>DATA-READERS</b>
+    +SelectRow"
+    ]
+
+    DATA-WRITERS["<b>DATA-WRITERS</b>
+    +UpdateRow
+    +EraseRow"
+    ]
+
+    METADATA-READERS["<b>METADATA-READERS</b>
+    +DescribeSchema
+    +ReadAttributes"
+    ]
+
+    DATABASE-ADMINS["<b>DATABASE-ADMINS</b>
+    +CreateDatabase
+    +DropDatabase"
+    ]
+
+    ACCESS-ADMINS["<b>ACCESS-ADMINS</b>
+    +GrantAccessRights"
+    ]
+
+    DDL-ADMINS["<b>DDL-ADMINS</b>
+    +CreateDirectory
+    +CreateTable
+    +CreateQueue
+    +WriteAttributes
+    +AlterSchema
+    +RemoveSchema"
+    ]
+
+    USERS[<b>USERS</b>
+    +ConnectDatabase
+    ]
+    ADMINS[<b>ADMINS</b>]
+```
+
+[//]: # (diplodoc support for mermaid lacks support for markdown in labels)

ydb/docs/ru/core/security/builtin-security.md

@@ -0,0 +1,54 @@
+# "Встроенная" настройка безопасности
+
+"Встроенная" настройка безопасности применяется автоматически при первом запуске кластера {{ ydb-short-name }}, если секция настроек безопасности в конфигурации кластера ([секция `security_config`](../reference/configuration/index.md#security)) не содержит явных настроек.
+
+Применение "встроенной" конфигурации безопасности выключается по [флагу `domains_config.disable_builtin_security`](../reference/configuration/index.md#domains-config).
+
+"Встроенная" настройка безопасности добавляет в систему суперпользователя, а также реализует набор ролей безопасности для удобного управления пользователями.
+
+## Роли
+
+Роль | Описание
+--- | ---
+`ADMINS` | Неограниченные права на всю схему кластера.
+`DATABASE-ADMINS` | Права на управление базами, схемой и доступами на схеме, без доступа к данным.
+`ACCESS-ADMINS` | Права на управление доступами на схеме, без доступа к данным.
+`DDL-ADMINS` | Права на управление схемой, без доступа к данным.
+`DATA-WRITERS` | Права на доступ к схемным объектам, и на чтение и изменение данных.
+`DATA-READERS` | Права на доступ к схемным объектам, и на чтение данных.
+`METADATA-READERS` | Права на доступ к схемным объектам, без доступа к данным.
+`USERS` | Права на доступ к базам, общая группа всех пользователей.
+
+## Группы
+
+Роли реализуются с помощью иерархии пользовательских групп и необходимого набора разрешений этим группам. Возможности групп задаются с помощью разрешений, выданных на корне схемы кластера.
+
+Группы включаются друг в друга и таким образом по цепочке наследуют соответствующие разрешения:
+
+{% include notitle [builtin-groups-graph](../_includes/builtin-groups-graph.md) %}
+
+Например, пользователям группы `DATA-WRITERS`:
+
+- разрешено смотреть схему -- `METADATA-READERS`
+- читать данные -- `DATA-READERS`
+- и менять их -- `DATA-WRITERS`
+
+Пользователям группы `DDL-ADMINS`:
+
+- разрешено смотреть схему -- `METADATA-READERS`
+- и менять ёё -- `DDL-ADMINS`.
+
+Пользователи группы `ADMINS` со схемой и данными могут делать всё.
+
+## Суперпользователь
+
+Суперпользователь входит в группу `ADMINS` (и `USERS`) и обладает полными правами на схему кластера.
+
+По-умолчанию, суперпользователь называется `root` и имеет пустой пароль.
+
+## Группа всех пользователей
+
+Группа `USERS` также определяется как общая группа всех локальных пользователей. При последующем создании локальных пользователей они будут автоматически становиться членами группы `USERS`.
+
+[//]: # (TODO: добавить ссылку на раздел про работу с пользователями)
+

ydb/docs/ru/core/security/index.md

@@ -6,6 +6,7 @@
 
 - [{#T}](authentication.md)
 - [{#T}](authorization.md)
+- [{#T}](builtin-security.md)
 - [{#T}](audit-log.md)
 - Шифрование:
 

ydb/docs/ru/core/security/toc_p.yaml

@@ -3,6 +3,8 @@ items:
   href: authentication.md
 - name: Авторизация
   href: authorization.md
+- name: Настройки безопасности по-умолчанию
+  href: builtin-security.md
 - name: Аудитный лог
   href: audit-log.md
 - name: Шифрование