权限管理-华为云

图引擎服务 GES-云服务委托权限过大优化:委托权限优化

委托权限优化登录图引擎服务管理控制台，在左侧导航栏，选择“图管理”。如果未整改，在界面的上部，会看到委托权限待整改通知。单击“前往进行整改”，弹出优化委托权限界面，如图1所示。注意：该界面会提醒用户在使用GES服务时，部分场景需要委托以授权GES服务访问用户资源，系统会创建ges_access_vpc_custom自定义策略，并授权给ges_agency，以及列举出待删除的具有高风险的委托权限，以提升账号安全性。图1 优化委托权限手动输入或者一键输入“DELETE”，执行优化操作，执行成功后该界面会自动关掉待整改通知。如果当前用户没有查询委托权限，系统无法根据当前用户的认证凭据查询委托信息，整改通知会在每次进入界面时都会弹出，并提示用户通知管理员进行整改。用户也可以关闭该通知或者设置“不再提醒”。

图引擎服务 GES 权限管理

云数据库 GAUSSDB-GS_DB_PRIVILEGE

GS_DB_PRIVILEGE GS_DB_PRIVILEGE系统表记录ANY权限的授予情况，每条记录对应一条授权信息。表1 GS_DB_PRIVILEGE字段名称类型描述 oid oid 行标识符（隐含字段，必须明确选择）。 roleid oid 用户标识。 privilege_type text 用户拥有的ANY权限，取值参考表1。 admin_option boolean 是否具有privilege_type列记录的ANY权限的再授权权限。 t：表示具有。 f：表示不具有。父主题：用户和权限管理

云数据库 GAUSSDB 用户和权限管理

图引擎服务 GES-角色权限

角色权限角色是 IAM 最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。只包含系统角色，不可自定义角色。表1 GES系统角色角色名称描述 Tenant Guest 普通租户用户。操作权限：可以对GES资源执行查看操作。作用范围：项目级服务。 GES Administrator GES服务管理用户。操作权限：可以对GES资源执行任意操作。作用范围：项目级服务。说明：拥有该权限的用户同时拥有Tenant Guest、Server Administrator、VPC Administrator权限时，可以对GES资源执行任意操作。如果没有Tenant Guest或Server Administrator权限，将无法正常使用GES。如果需要绑定/解绑EIP，则还需要拥有Security Administrator权限用于创建委托。如果需要与OBS服务进行交互，例如创建，导入等操作，则还需要拥有OBS服务的权限，具体请参考GES常用操作对OBS权限的依赖关系，OBS权限授权时需要指定权限范围为全局服务资源。 GES Manager GES服务高级用户。操作权限：可以对GES资源执行除创建图、删除图、变更规格、扩副本以外的任意操作。作用范围：项目级服务。说明：拥有该权限的用户同时拥有Tenant Guest和Server Administrator权限时，可以对GES资源执行除创建图和删除图以外的任意操作。如果没有Tenant Guest权限，将无法正常使用GES。如果需要绑定/解绑EIP，则还需要拥有Security Administrator和Server Administrator权限。如果需要与OBS服务进行交互，例如导入操作，则还需要拥有OBS服务的权限，具体请参考GES常用操作对OBS权限的依赖关系，OBS权限授权时需要指定权限范围为全局服务资源。 GES Operator GES服务普通用户。操作权限：可以对GES资源执行查看操作和访问图。作用范围：项目级服务。说明：拥有该权限的用户同时拥有Tenant Guest权限时，可以对GES资源执行查看操作和访问图。如果没有Tenant Guest，则无法执行查看类操作或者访问图。如果需要与OBS服务进行交互，例如查看元数据，则还需要拥有OBS服务的权限，具体请参考表3。表2 GES常用操作与角色的关系操作 GES Administrator GES Manager GES Operator Tenant Guest 创建图 √ × × × 删除图 √ × × × 查看图 √ √ √ √ 访问图 √ √ √ × 导入数据 √ √ × × 创建元数据 √ √ × × 查看元数据 √ √ √ √ 复制元数据 √ √ × × 编辑元数据 √ √ × × 删除元数据 √ √ × × 清空数据 √ √ × × 备份图 √ √ × × 恢复备份 √ √ × × 删除备份 √ √ × × 查看备份 √ √ √ √ 启动图 √ √ × × 停止图 √ √ × × 升级图 √ √ × × 导出图 √ √ × × 绑定EIP √ √ × × 解绑EIP √ √ × × 查看任务中心 √ √ √ √ 变更规格 √ × × × 扩副本图 √ × × × 重启图 √ √ × × 图细粒度权限配置 √ √ × × 用户组配置 √ √ × × 导入IAM用户 √ √ × × 查看用户详情 √ √ √ √ 表3 GES常用操作对OBS权限的依赖关系 GES操作依赖的OBS权限查看元数据 OBS Viewer策略或者OBS Buckets Viewer角色创建/导入/复制/编辑/删除元数据 OBS Operator策略或者Tenant Administrator角色创建图，导入图/导出图 OBS Operator策略或者Tenant Administrator角色表4 GES常用操作对IAM权限的依赖关系 GES操作依赖的IAM权限导入IAM用户 iam:users:listUsers自定义策略或者IAM ReadOnlyAccess系统策略或者Server Administrator角色创建/编辑用户组 iam:users:listUsers自定义策略或者IAM ReadOnlyAccess系统策略或者Server Administrator角色父主题：权限管理

图引擎服务 GES 权限管理

云数据库 GAUSSDB-GS_DB_PRIVILEGE

GS_DB_PRIVILEGE GS_DB_PRIVILEGE系统表记录ANY权限的授予情况，每条记录对应一条授权信息。表1 GS_DB_PRIVILEGE字段名称类型描述 oid oid 行标识符（隐含字段，必须明确选择）。 roleid oid 用户标识。 privilege_type text 用户拥有的ANY权限，取值参考表1。 admin_option boolean 是否具有privilege_type列记录的ANY权限的再授权权限。 t：表示具有。 f：表示不具有。父主题：用户和权限管理

云数据库 GAUSSDB 用户和权限管理

统一身份认证服务 IAM-角色:参数说明

参数说明表1 参数说明参数含义值 Version 角色的版本 1.0：代表基于角色的访问控制。 Statement：角色的授权语句 Action：授权项操作权限格式为：服务名:资源类型:操作 "DNS:Zone:*"：表示对DNS的Zone所有操作。其中“DNS”为服务名；“Zone”为资源类型；“*”为通配符，表示对Zone资源类型可以执行所有操作。 Effect：作用定义Action中的操作权限是否允许执行 Allow：允许执行。 Deny：不允许执行。说明：当同一个Action的Effect既有Allow又有Deny时，遵循Deny优先的原则。 Depends：角色的依赖关系 catalog 依赖的角色所属服务服务名称。例如：BASE、VPC。 display_name 依赖的角色名称角色名称。说明：给用户组授予示例的“DNS Administraor”角色时，必须同时勾选该角色依赖的角色“Tenant Guest”和“VPC Administrator”，“DNS Administraor”才会生效。了解更多角色依赖关系，请参考：系统权限。

统一身份认证服务 IAM 权限管理

统一身份认证服务 IAM-角色:角色内容

角色内容给用户组选择角色时，单击角色前面的，可以查看角色的详细内容，以“DNS Administrator”为例，说明角色的内容。图1 DNS Administrator角色内容 { "Version": "1.0", "Statement": [ { "Action": [ "DNS:Zone:*", "DNS:RecordSet:*", "DNS:PTRRecord:*" ], "Effect": "Allow" } ], "Depends": [ { "catalog": "BASE", "display_name": "Tenant Guest" }, { "catalog": "VPC", "display_name": "VPC Administrator" } ] }

统一身份认证服务 IAM 权限管理

云专线 DC-云专线自定义策略:云专线自定义策略样例

云专线自定义策略样例示例1：授权用户更新虚拟网关 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "dcaas:vgw:update" ] } ] }

云专线 DC 权限管理

云监控服务 CES-进入云监控服务提示权限不足该如何处理？

进入云监控服务提示权限不足该如何处理？此问题与权限配置有关，一般为IAM子帐号权限不足，需检查IAM配置的权限。管理员使用主账户登录管理控制台。在控制台页面，鼠标移动至右上方的用户名，在下拉列表中选择“ 统一身份认证 ”。在左侧导航窗格中，单击“用户组”。展开子账号所属的用户组的详情。请参考创建用户组并授权为子帐号所属的用户组添加相应权限。云监控服务提供系统策略及操作与策略权限一览表，请参见：云监控服务系统策略。父主题：权限管理

云监控服务 CES 权限管理

数据仓库服务 GAUSSDB(DWS)-GaussDB(DWS)数据库权限管理:权限授予或撤销

权限授予或撤销数据库对象创建后，进行对象创建的用户就是该对象的所有者。集群安装后的默认情况下，未开启三权分立，数据库系统管理员具有与对象所有者相同的权限。也就是说对象创建后，默认只有对象所有者或者系统管理员可以查询、修改和删除对象，以及通过GRANT将对象的权限授予其他用户。为使其他用户能够使用对象，可以由对象所有者或管理员通过GRANT/REVOKE对其他用户或角色授予与撤销。使用GRANT语句授予权限。例如，将模式myschema的权限赋给角色u1后，将表myschema.t1的SELECT权限授予角色u1。 1 2 GRANT USAGE ON SCHEMA myschema TO u1; GRANT SELECT ON TABLE myschema.t1 to u1; 使用REVOKE撤销已经授予的权限。例如：撤销用户u1在指定表myschema.t1上的所有权限。 REVOKE ALL PRIVILEGES ON myschema.t1 FROM u1;