权限管理-华为云

云解析服务 DNS-创建DNS自定义策略:DNS自定义策略样例

DNS自定义策略样例示例1：授权用户创建域名，为域名添加记录集，并支持查看域名以及对应的记录集。 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "dns:zone:create", "dns:recordset:create", "dns:zone:list" "dns:recordset:list" ] }, { "Effect": "Allow", "Action": [ "vpc:*:get*, "vpc:*:list*" ] } ] } 示例2：拒绝用户删除DNS资源拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。如果您给用户授予DNS FullAccess的系统策略，但不希望用户拥有DNS FullAccess中定义的删除DNS资源的权限，您可以创建一条拒绝删除DNS资源的自定义策略，然后同时将DNS FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对DNS执行除了删除外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "dns:*:delete*" ] } ] } 示例3：多个授权项策略一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "dns:zone:update", "dns:zone:list" ] }, { "Effect": "Allow", "Action": [ "vpc:subnets:create", "vpc:vips:update" ] } ] }

云解析服务 DNS 权限管理

云数据库 GEMINIDB-GeminiDB Influx自定义策略:自定义策略样例

自定义策略样例示例1：授权用户创建云数据库 GeminiDB实例 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "nosql:instance:create" ] } ] } 示例2：拒绝用户删除云数据库 GeminiDB数据库实例拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。如果您给用户授予GeminiDB FullAccess的系统策略，但不希望用户拥有GeminiDB FullAccess中定义的删除云数据库 GeminiDB实例权限，您可以创建一条拒绝删除云数据库 GeminiDB实例的自定义策略，然后同时将GeminiDB FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对云数据库 GeminiDB执行除了删除云数据库 GeminiDB实例外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny" "Action": [ "nosql:instance:delete" ], } ] } 示例3：多个授权项策略一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Action": [ "nosql:instance:create", "nosql:instance:rename", "nosql:instance:delete", "vpc:publicIps:list", "vpc:publicIps:update" ], "Effect": "Allow" } ] }

云数据库 GEMINIDB 权限管理

应用性能管理 APM-APM自定义策略:APM自定义策略样例

APM 自定义策略样例示例1：授权用户安装ICAgent权限 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "apm:icmgr:create" ] } ] } 示例2：拒绝用户卸载采集组件拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Alow和Deny，则遵循Deny优先。如果您给用户授予APM FullAccess的系统策略，但不希望用户拥有APM FullAccess中定义的卸载采集组件权限，您可以创建一条拒绝卸载采集组件的自定义策略，然后同时将APM FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对APM执行除了卸载采集组件外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "apm:icmgr:delete" ] } ] } 示例3：多个授权项策略一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "aom:*:list", "aom:*:get", "apm:*:list", "apm:*:get" ] }, { "Effect": "Allow", "Action": [ "cce:cluster:get", "cce:cluster:list", "cce:node:get", "cce:node:list" ] } ] }

应用性能管理 APM 权限管理

AI开发平台MODELARTS-ModelArts权限管理基本概念:ModelArts权限管理

ModelArts权限管理默认情况下，管理员创建的 IAM 用户没有任何权限，需要将其加入用户组，并给用户组授予策略，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于授予的权限对云服务进行操作。 ModelArts部署时通过物理区域划分，为项目级服务，授权时“选择授权范围方案”可以选择“指定区域项目资源”，如果授权时指定了区域（如华北-北京4）对应的项目（cn-north-4），则该权限仅对此项目生效；简单的做法是直接选择“所有资源”。 ModelArts也支持企业项目，所以选择授权范围方案时，也可以指定企业项目。具体操作参见《创建用户组并授权》。 IAM在对用户组授权的时候，并不是直接将具体的某个权限进行赋权，而是需要先将权限加入到“策略”当中，再把策略赋给用户组。为了方便用户的权限管理，各个云服务都提供了一些预置的“系统策略”供用户直接使用。如果预置的策略不能满足您的细粒度权限控制要求，则可以通过“自定义策略”来进行精细控制。表1列出了ModelArts的所有预置系统策略。表1 ModelArts系统策略策略名称描述类型 ModelArts FullAccess ModelArts管理员用户，拥有所有ModelArts服务的权限系统策略 ModelArts CommonOperations ModelArts操作用户，拥有所有ModelArts服务操作权限除了管理专属资源池的权限系统策略 ModelArts Dependency Access ModelArts服务的常用依赖服务的权限系统策略通常来讲，只给管理员开通“ModelArts FullAccess”，如果不需要太精细的控制，直接给所有用户开通“ModelArts CommonOperations”即可满足大多数小团队的开发场景诉求。如果您希望通过自定义策略做深入细致的权限控制，请阅读ModelArts的IAM权限控制详解。 ModelArts的权限不会凌驾于其他服务的权限之上，当您给用户进行ModelArts赋权时，系统不会自动对其他相关服务的相关权限进行赋权。这样做的好处是更加安全，不会出现预期外的“越权”，但缺点是，您必须同时给用户赋予不同服务的权限，才能确保用户可以顺利完成某些ModelArts操作。举例，如果用户需要用OBS中的数据进行训练，当已经为IAM用户配置ModelArts训练权限时，仍需同时为其配置对应的OBS权限（读、写、列表），才可以正常使用。其中OBS的列表权限用于支持用户从ModelArts界面上选择要进行训练的数据路径；读权限主要用于数据的预览以及训练任务执行时的数据读取；写权限则是为了保存训练结果和日志。对于个人用户或小型组织，一个简单做法是为IAM用户配置“作用范围”为“全局级服务”的“Tenant Administrator”策略，这会使用户获得除了IAM以外的所有用户权限。在获得便利的同时，由于用户的权限较大，会存在相对较大的安全风险，需谨慎使用。（对于个人用户，其默认IAM账号就已经属于admin用户组，且具备Tenant Administrator权限，无需额外操作）当您需要限制用户操作，仅为ModelArts用户配置OBS相关的最小化权限项，具体操作请参见OBS权限管理。对于其他云服务，也可以进行精细化权限控制，具体请参考对应的云服务文档。

AI开发平台MODELARTS Standard权限管理

AI开发平台MODELARTS-ModelArts权限管理基本概念:严格授权模式

严格授权模式严格授权模式是指在IAM中创建的子账号必须由账号管理员显式在IAM中授权，才能访问ModelArts服务，管理员用户可以通过授权策略为普通用户精确添加所需使用的ModelArts功能的权限。相对的，在非严格授权模式下，子账号不需要显式授权就可以使用ModelArts，管理员需要在IAM上为子账号配置Deny策略来禁止子账号使用ModelArts的某些功能。账号的管理员用户可以在“权限管理”页面修改授权模式。如无特殊情况，建议优先使用严格授权模式。在严格授权模式下，子账号要使用ModelArts的功能都需经过授权，可以更精确的控制子账号的权限范围，达成权限最小化的安全策略。

AI开发平台MODELARTS Standard权限管理

AI开发平台MODELARTS-ModelArts权限管理基本概念:理解ModelArts的权限与委托

理解ModelArts的权限与委托图1 权限管理抽象 ModelArts与其他服务类似，功能都通过IAM的权限来进行控制。比如，用户（此处指IAM子账号，而非租户）希望在ModelArts创建训练作业，则该用户必须拥有 "modelarts:trainJob:create" 的权限才可以完成操作（无论界面操作还是API调用）。关于如何给一个用户赋权（准确讲是需要先将用户加入用户组，再面向用户组赋权），可以参考IAM的文档《权限管理》。而ModelArts还有一个特殊的地方在于，为了完成AI计算的各种操作，AI平台在任务执行过程中需要访问用户的其他服务，典型的就是训练过程中，需要访问OBS读取用户的训练数据。在这个过程中，就出现了ModelArts“代表”用户去访问其他云服务的情形。从安全角度出发，ModelArts代表用户访问任何云服务之前，均需要先获得用户的授权，而这个动作就是一个“委托”的过程。用户授权ModelArts再代表自己访问特定的云服务，以完成其在ModelArts平台上执行的AI计算任务。综上，对于图1 权限管理抽象可以做如下解读：用户访问任何云服务，均是通过标准的IAM权限体系进行访问控制。用户首先需要具备相关云服务的权限（根据您具体使用的功能不同，所需的相关服务权限亦有差异）。权限：用户使用ModelArts的任何功能，亦需要通过IAM权限体系进行正确权限授权。委托：ModelArts上的AI计算任务执行过程中需要访问其他云服务，此动作需要获得用户的委托授权。

AI开发平台MODELARTS Standard权限管理

AI开发平台MODELARTS-ModelArts权限管理基本概念:用工作空间限制资源访问

用工作空间限制资源访问工作空间是ModelArts面向企业用户提供的一个高阶功能，用于进一步将用户的资源划分在多个逻辑隔离的空间中，并支持以空间维度进行访问的权限限定。目前工作空间功能是“受邀开通”状态，作为企业用户您可以通过您对口的技术支持经理申请开通。在开通工作空间后，系统会默认为您创建一个“default”空间，您之前所创建的所有资源，均在该空间下。当您创建新的工作空间之后，相当于您拥有了一个新的“ModelArts分身”，您可以通过菜单栏的左上角进行工作空间的切换，不同工作空间中的工作互不影响。创建工作空间时，必须绑定一个企业项目。多个工作空间可以绑定到同一个企业项目，但一个工作空间不可以绑定多个企业项目。借助工作空间，您可以对不同用户的资源访问和权限做更加细致的约束，具体为如下两种约束：只有被授权的用户才能访问特定的工作空间（在创建、管理工作空间的页面进行配置），这意味着，像数据集、算法等AI资产，均可以借助工作空间做访问的限制。在前文提到的权限授权操作中，如果“选择授权范围方案”时设定为“指定企业项目资源”，那么该授权仅对绑定至该企业项目的工作空间生效。工作空间的约束与权限授权的约束是叠加生效的，意味着对于一个用户，必须同时拥有工作空间的访问权和训练任务的创建权限（且该权限覆盖至当前的工作空间），他才可以在这个空间里提交训练任务。对于已经开通企业项目但没有开通工作空间的用户，其所有操作均相当于在“default”企业项目里进行，请确保对应权限已覆盖了名为default的企业项目。对于未开通企业项目的用户，不受上述约束限制。

AI开发平台MODELARTS Standard权限管理

分布式数据库中间件 DDM-创建用户并授权使用DDM:示例流程

示例流程图1 授权DDM权限流程创建用户组并授权在IAM控制台创建用户组，并授予关系型数据库只读权限“DDM ReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择分布式数据库中间件服务，进入DDM主界面，单击右上角“购买分布式数据库中间件实例”，尝试购买分布式数据库中间件实例，如果无法购买分布式数据库中间件实例（假设当前权限仅包含DDM ReadOnlyAccess），表示“DDM ReadOnlyAccess”已生效。在“服务列表”中选择除分布式数据库中间件服务外（假设当前策略仅包含DDM ReadOnlyAccess）的任一服务，若提示权限不足，表示“DDM ReadOnlyAccess”已生效。

分布式数据库中间件 DDM 权限管理

工业数字模型驱动引擎-数字主线引擎权限

数字主线引擎权限数字主线引擎采用数字化技术，定义产品全量数据模型，打通数据孤岛联接业务数据，全关联海量业务实例数据构建全价值网络，并为各领域提供高效数据索引、追溯、交互服务。登录数字主线引擎（LinkX Foundation，简称LinkX-F）后，基于iDME RBAC（Role-Based Access Control，基于角色的访问控制）能力的授权，通过数字主线引擎中的用户授权功能使IAM用户拥有系统的合理操作权限。数字主线引擎中内置了四类角色：企业级管理员、租户级管理员、开发人员和只读人员，这四类角色之间的关系和简要说明如下：企业级管理员（En_ADMINISTRATOR）：拥有系统操作的最高权限，并可对除自身外的其他用户进行数据权限授权。数字主线引擎创建成功后会自动开通企业租户，即服务购买也是开通企业租户的账号。该账号登录数字主线引擎后，系统默认会为其配置该角色。租户级管理员（Func_ADMINISTRATOR）：由企业级管理员授权，享有授权应用租户下除“领域”外的其他模块的数据操作权限，但不包含“xDM-F数据同步”和“全局用户授权”的可见可操作权限。开发人员（Func_DEVELOPER）：由企业级管理员或租户级管理员授权，享有授权应用租户下除“领域”、“租户管理”和“用户权限管理”外的其他模块的数据操作权限，但不包含“xDM-F数据同步”、“全局用户授权”和“活动日志”的可见可操作权限。只读人员（Func_READER）：由企业级管理员或租户级管理员授权，享有授权应用租户的数据只读权限，但不包含“xDM-F数据同步”、“全局用户授权”和“活动日志”的可见权限。父主题：权限管理

工业数字模型驱动引擎权限管理

工业数字模型驱动引擎-权限管理概述:授权

授权为了保证各类数据的安全性，满足用户自定义开发数据对象或功能授权的需求，xDM-F提供基于数据对象和操作的授权功能。您可以通过授权功能将参与者、搜索服务定义/具有“权限管理”功能的数据模型及操作类型进行关联，并将这组关系配置到策略集，提升模型维护效率，方便用户维护系统权限、数据流转等操作。根据授权维度的不同，xDM-F的授权分为静态授权和动态授权。表2 授权类型类型说明静态授权即实体授权，是对搜索服务定义/具有“权限管理”功能的数据模型的权限处理，基于数据模型维度所设置的权限，将影响至此数据模型所有的数据实例。更多关于实体授权的操作请参见授权。动态授权即实例授权，是对具有“权限管理”功能的数据实例的精细化权限处理，可以为参与者基于某一个确定的数据实例进行权限设置，常见于工作流审批等需要临时为参与者设置数据权限等场景。更多关于实例授权的操作请参见管理数据实例授权。

工业数字模型驱动引擎权限管理

工业数字模型驱动引擎-权限管理概述:参与者

参与者参与者一般指的是在系统之外与系统交互的某人或某角色，在xDM-F中，参与者指的是对搜索服务定义、“权限管理”功能的数据模型与其数据实例等操作的某人或某角色。xDM-F当前提供如表1所示的参与者类型。表1 参与者类型类型说明团队角色指一个人在团队中某一职位上应该承担的责任，例如某业务团队的业务经理、业务组长、业务人员和业务代表。一个团队可以引用多个团队角色，一个团队角色可以被多个团队引用。只有被引用的团队角色才可以在团队中为该团队角色添加角色成员。群组指将用户按照子公司、部门、项目等维度划分为不同的群组，使群组下的全部用户获得相应的权限，方便统一权限管理。全局角色指用于管理xDM-F全局功能的操作权限或者某个子模块最高权限的角色，例如超级管理员、系统管理员、安全管理员、质量管理员、数据源管理员等。虚拟角色 xDM-F在团队角色中预置了所有人、拥有者和团队成员三种虚拟角色。所有人：指应用下的所有用户，即“XDMUser”数据实体的所有数据实例。拥有者：指数据实例的所有者，即创建某个数据实例时指定的所有者。团队成员：指某个团队下的某个用户。例如某医院的护士团队、急诊医生团队、外科医生团队等，每个团队中均存在临时员工。此时，您可以通过该虚拟角色动态授权/鉴权。用户指应用下的个体成员，即“XDMUser”数据实体创建的数据实例。

工业数字模型驱动引擎权限管理

成本中心-创建用户并授权:示例场景

示例场景如果用户需要访问成本中心的所有操作权限，请授予“BSS Administrator”权限。如果用户仅需要查看成本中心的成本数据权限，请授予“BSS ReadonlyAccess”权限。如果用户想要查看成本分析数据，下载分析结果等财务相关的权限，请授予“BSS FinanceAccess”权限。如果想要对用户权限做更细粒度的限制，可以创建自定义策略。自定义策略的授权项（Action）说明请参考表3。

成本中心权限管理

成本中心-创建用户并授权:示例流程

示例流程图1 给用户授权流程创建用户组并授权在IAM控制台创建用户组，并授予成本中心所有操作权限“BSS Administrator”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录成本中心，验证是否具有导出成本明细的权限。在“成本分析”页面单击“导出成本明细”，验证是否可以导出成功。如果导出成功，表示“BSS Administrator”已生效。

成本中心权限管理

迁移中心 MGC-MgC自定义策略:MgC自定义策略样例

MgC自定义策略样例平台采集、资源管理 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "mgc:*:query*", "mgc:*:discovery" ] } ] } TCO评估、主机评估 { "Version": "1.1", "Statement": [ { "Action": [ "mgc:*:query*", "mgc:*:discovery", "mgc:*:assess", "iam:agencies:listAgencies", ], "Effect": "Allow" } ] } 应用关联分析 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "mgc:*:query*", "mgc:*:discovery", "mgc:*:appdiscovery" ] } ] } 迁移工作流 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "mgc:*:query*", "mgc:*:discovery", "mgc:*:assess", "mgc:*:migrate", "iam:agencies:listAgencies" ] } ] }

迁移中心 MGC 权限管理

云监控服务 CES-Cloud Eye自定义策略:云监控服务自定义策略样例

云监控服务自定义策略样例示例1：授权用户拥有云监控服务修改告警规则的权限。 { "Version": "1.1", "Statement": [ { "Action": [ "ces:alarms:put" ], "Effect": "Allow" } ] }

云监控服务 CES 权限管理

云服务器内容精选

权限管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线