权限管理-华为云

数据接入服务 DIS-创建用户并授权使用DIS:示例流程

示例流程图1 IAM 用户授权流程创建用户组并授权在IAM控制台创建用户组，并授予数据接入服务的通道管理权限“DIS Operator”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择“数据接入服务”，进入DIS主界面创建通道，若未提示权限不足，表示“DIS Operator”已生效。在“服务列表”中选择除DIS服务外的任一服务，若提示权限不足，表示“DIS Operator”已生效。

数据接入服务 DIS IAM权限管理

云证书管理服务 CCM-创建用户并授权使用PCA:示例流程

示例流程图1 给用户授权PCA权限流程创建用户组并授权在IAM控制台创建用户组，并授予私有证书管理服务管理员权限“PCA FullAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择云证书管理服务，如果未提示权限不足，表示“PCA FullAccess”已生效。

云证书管理服务 CCM PCA权限管理

云架构中心-SEC03-02 按需分配合适的权限

SEC03-02 按需分配合适的权限权限管理应遵循按需分配、最小授权、职责分离原则。需要根据工作职责限定人员对于关键业务系统的访问权限，以免非必要人员或非授权人员访问到关键系统和敏感数据。如需要临时权限，应仅向用户授予有限的时间段内执行特定任务的权限，并且在任务完成后，应撤销访问权限。风险等级高关键策略按照IT工作职能划分用户组，将用户加入到与其匹配的用户组中。用户组是IAM用户的集合，IAM可以通过用户组功能实现用户的授权。优先基于用户组授权，而不是基于用户授权。 “admin”为系统缺省提供的管理员用户组，具有所有云服务资源的操作权限。避免将所有用户都加入admin用户组。遵循最小权限原则，仅授予用户组必要的最小权限，如某些用户组只能访问特定的云服务或者某些用户组仅有云服务资源的只读权限。避免IAM自定义策略中包含“*:*”管理权限。如果使用了企业项目，优先在企业项目中对用户组进行授权。如果需要针对账号内所有区域或特定区域内的所有资源进行统一授权，如将账号内所有企业项目的所有资源的访问权限授予统一资源管理组，则可以使用IAM项目进行授权，避免在各个企业项目中逐一授权，简化授权操作。相关云服务和工具统一身份认证服务 IAM 企业项目 EPS 云堡垒机CBH ：使用CBH限制对运维账号的使用和访问。CBH可用于集中管控运维账号访问系统和资源的权限，对系统和资源的访问权限进行细粒度设置。组织 Organizations：多账号场景使用Organizations云服务的服务控制策略（SCP）。组织管理账号可以使用SCP指定组织中成员账号的权限边界，限制账号内用户的操作。服务控制策略可以关联到组织、组织单元和成员账号。当服务控制策略关联到组织或组织单元时，该组织或组织单元下所有账号受到该策略影响。父主题： SEC03 权限管理

云架构中心 SEC03 权限管理

云硬盘备份 VBS-创建用户并授权使用VBS:示例流程

示例流程图1 给用户授权VBS权限流程创建用户组并授权在IAM控制台创建用户组，并授予云硬盘备份权限“VBS Administrator”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，验证云硬盘备份的权限。在“服务列表”中选择云硬盘备份，进入VBS主界面，单击右上角“创建云硬盘备份”，成功完成购买，表示“VBS Administrator”已生效。在“服务列表”中选择除云硬盘备份外的任一服务，若提示权限不足，表示“VBS Administrator”已生效。

云硬盘备份 VBS 权限管理

区块链服务 BCS-创建用户并授权使用BCS:示例流程

示例流程图1 给用户授予 BCS 权限流程创建用户组并授权在IAM控制台创建用户组，并授予区块链服务的操作权限“B CS Administrator”。如果选择“BCS Administrator”，由于该权限有依赖，除了勾选BCS Administrator外，还需要同时勾选依赖的权限Tenant Guest、Server Administrator、ELB Administrator、SFS Administrator、SWR Admin、 APM FullAccess、 AOM FullAccess、CCE Administrator、VPC Administrator、EVS Administrator、CCE Cluster Admin才能生效。如果还需要其他服务的操作权限，请联系账号管理员添加。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，验证区块链服务的操作权限。

区块链服务 BCS 权限管理

云搜索服务 CSS-示例：为IAM用户（子用户）配置创建CSS集群的权限:给用户组授权

给用户组授权在用户组列表中，单击新建用户组“开发人员组”操作列的“授权”“权限配置”。在用户组“选择策略”页面中，在搜索框中搜索“ CSS FullAccess”和“OBS Administrator”，勾选并单击“下一步”。创建CSS集群的权限有“CSS FullAccess”或“Elasticsearch Administrator”。如果还需要查看资源的消费情况，请在同区域选择“BSS Administrator”权限。设置最小授权范围。建议授权范围方案选择“指定区域项目资源”，使用哪个区域的资源就选哪个区域。此处以仅为“华北-北京四”区域的资源设置权限为例，选择授权范围方案为“指定区域项目资源”，并选择“cn-north-4 [华北-北京四]”区域。图1 设置最小授权范围单击“确定”，完成用户组授权。

云搜索服务 CSS CSS服务权限管理

云搜索服务 CSS-示例：为IAM用户（子用户）配置创建CSS集群的权限:IAM用户登录并验证权限

IAM用户登录并验证权限在登录页面，单击登录下方的“IAM用户”“IAM用户登录”“子用户登录”，在“IAM用户登录”页面，输入“租户名/原华为云账号名”、“IAM用户名/邮件地址”和“密码”“账号名”、“用户名/邮箱”和“密码”。图5 IAM用户登录表3 登录信息参数示例说明租户名/原华为云账号名 Company-A IAM用户所属的账号。此处假设A公司的账号名为“Company-A”。 IAM用户名/邮件地址 Alice 在IAM创建用户时，输入的IAM用户名/邮件地址。如果不知道IAM用户名及初始密码，请向管理员获取。 IAM用户密码 ******** IAM用户的密码，非账号密码。此处需要输入上一步中下载的Alice用户的密码。单击“登录”，登录华为云。在“服务列表”中选择云搜索服务，进入云搜索服务CSS控制台。在云搜索服务总览页面右上角，单击“创建集群”按钮，按照创建集群的步骤创建集群，如果创建成功，则表示权限配置成功。

云搜索服务 CSS CSS服务权限管理

云数据库 TAURUSDB-TaurusDB自定义策略:TaurusDB自定义策略样例

TaurusDB自定义策略样例示例1：授权用户创建TaurusDB实例 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "gaussdb:instance:create" ] } ] } 示例2：拒绝用户删除TaurusDB实例拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。如果您给用户授予 GaussDB FullAccess的系统策略，但不希望用户拥有GaussDB FullAccess中定义的删除TaurusDB实例权限，您可以创建一条拒绝删除TaurusDB实例的自定义策略，然后同时将GaussDB FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对TaurusDB执行除了删除TaurusDB实例外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny" "Action": [ "gaussdb:instance:delete" ], } ] } 示例3：多个授权项策略一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Action": [ "gaussdb:instance:create", "gaussdb:instance:modify", "gaussdb:instance:delete", "vpc:publicIps:list", "vpc:publicIps:update" ], "Effect": "Allow" } ] }

云数据库 TAURUSDB 权限管理

应用运维管理 AOM-自动化运维自定义策略:自动化运维自定义策略样例

自动化运维自定义策略样例示例：拒绝用户对服务卡片进行上下架操作拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。如果您给用户授予CMS FullAccess的系统策略，但不希望用户拥有CMS FullAccess中定义的卡片上下架权限，您可以创建一条拒绝上下架操作的自定义策略，然后同时将CMS FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对自动化运维执行除了卡片上下架外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "cms:toolmarket:update" ], } ] }

应用运维管理 AOM 自动化运维权限管理

数据复制服务 DRS-查询委托的权限列表:请求参数

请求参数表3 请求Header参数参数是否必选参数类型描述 Content-Type 是 String 发送的实体的MIME类型。推荐用户默认使用application/json，如果API是对象、镜像上传等接口，媒体类型可按照流类型的不同进行确定。缺省值：application/json X-Auth-Token 是 String 从IAM服务获取的用户Token。用户Token也就是调用获取用户Token接口的响应值，该接口是唯一不需要认证的接口。请求响应成功后在响应消息头中包含的“X-Subject-Token”的值即为Token值。 X-Language 否 String 请求语言类型。缺省值：en-us 枚举值： en-us zh-cn

数据复制服务 DRS 权限管理

数据复制服务 DRS-查询委托的权限列表:响应参数

响应参数状态码： 200 表4 响应Body参数参数参数类型描述 common_permissions Array of strings DRS FullAccess：数据复制服务所有权限 engine_permissions Array of strings GaussDB ReadOnlyAccess：云数据库 GaussDB服务的只读访问权限。 GeminiDB ReadOnlyAccess：分布式多模NoSQL数据库服务只读权限。 GaussDBforMSQLReadOnlyAccess：云数据库HUAWEIGaussDBforMSQL服务的只读访问权限。 DWS ReadOnlyAccess：数据仓库服务只读权限。 DDM ReadOnlyAccess：分布式数据库中间件服务只读权限。 DDS ReadOnlyPolicy：文档数据库服务资源只读权限。 RDS ReadOnlyAccess：关系型数据库服务资源只读权限。 MRS ReadOnlyAccess： MapReduce服务只读权限，包括集群查询操作、基础服务弹性云服务器、裸金属服务器、云硬盘、虚拟私有云只读权限。

数据复制服务 DRS 权限管理

数据复制服务 DRS-查询委托的权限列表:URI

URI GET /v5/{project_id}/agency/permissions 表1 路径参数参数是否必选参数类型描述 project_id 是 String 租户在某一Region下的Project ID。获取方法请参见获取项目ID。表2 Query参数参数是否必选参数类型描述 source_type 否 String 源库类型。 mysql：MySQL sqlserver：Microsoft SQL Server postgresql：PostgreSQL mongodb：MongoDB、DDS dws：GaussDB(DWS) oracle：Oracle taurus：GaussDB(for MySQL) ddm：DDM kafka：Kafka gaussdbv5：GaussDB分布式版 gaussdbv5ha：GaussDB主备版 gaussmongodb：GeminiDB Mongo elasticsearch：CSS/ES db2：DB2 tidb：TiDB redis：Redis rediscluster：Redis集群 gaussredis：GeminiDB Redis mariadb：MariaDB informix：Informix dynamo：Dynamo target_type 否 String 目标库类型。 mysql：MySQL sqlserver：Microsoft SQL Server postgresql：PostgreSQL mongodb：MongoDB、DDS dws：GaussDB(DWS) oracle：Oracle taurus：GaussDB(for MySQL) ddm：DDM kafka：Kafka gaussdbv5：GaussDB分布式版 gaussdbv5ha：GaussDB主备版 gaussmongodb：GeminiDB Mongo elasticsearch：CSS/ES db2：DB2 tidb：TiDB redis：Redis rediscluster：Redis集群 gaussredis：GeminiDB Redis mariadb：MariaDB informix：Informix dynamo：Dynamo is_non_dbs 是 Boolean 是否自建。

数据复制服务 DRS 权限管理

统一身份认证服务 IAM-权限没有生效怎么办:问题排查

问题排查可能原因：管理员授予IAM用户所在用户组的权限不正确。解决方法：管理员确认并修改授予IAM用户所在用户组的权限，方法请参考：修改用户组权限，权限详情请参考：系统权限。可能原因：管理员授予的权限已拒绝相关操作的授权项。解决方法：管理员查看已授予IAM用户的系统权限详情，确认已授予的权限是否有拒绝操作的语句，方法请参考策略语法。如系统权限无法满足您的场景需要，管理员可以创建自定义策略，允许该操作对应的授权项，方法请参考：创建自定义策略。可能原因：管理员给用户组授予权限后，忘记将IAM用户添加至用户组中。解决方法：管理员将IAM用户添加至用户组中，方法请参见：用户组添加用户。可能原因：对于区域级服务，管理员没有在对应的区域进行授权。解决方法：管理员在对IAM所在用户组授权时，选择对应的区域。如果管理员授予用户默认区域项目的权限，用户只能访问该默认项目中的资源，不拥有该默认项目下IAM子项目的权限，建议您授予IAM用户最小区域权限，方法请参见：给用户组授权。可能原因：对于区域级服务，IAM用户登录控制台后，没有切换到授权区域。解决方法：IAM用户访问区域级服务时，请切换至授权区域，方法请参见：切换区域。可能原因：管理员授予的OBS权限由于系统设计的原因，授权后需等待15-30分钟才可生效。解决方法：请IAM用户和管理员等待15-30分钟后重试。可能原因：您所属账号已欠费，无法使用该资源。解决方法：请管理员在“费用中心”确认账单并充值，方法请参见：账户充值。可能原因：浏览器缓存导致权限信息未更新。解决方法：请清理浏览器缓存后重试。可能原因：该服务可能提供独立权限控制，如软件开发生产线 CodeArts、对象存储服务 OBS。解决方法：请查看对应服务帮助文档，并授予用户对应权限。如CodeArts各角色的权限是怎样的、OBS权限控制概述。可能原因：管理员同时在IAM和企业管理给用户授权，基于企业项目管理权限可能不生效。IAM鉴权优先于企业管理，如IAM用户同时拥有所有资源的ECS ReadOnlyAccess、企业项目A的ECS ReadOnlyAccess权限，用户可以查看所有ECS资源。解决方法：请管理员根据情况在IAM控制台修改用户权限。

统一身份认证服务 IAM 用户组及权限管理类

工业数字模型驱动引擎-权限管理概述:策略集

策略集策略集是一个容器，是您创建的参与者、数据模型、权限规则和操作类型相互关联的权限策略集合。当应用进行鉴权时，系统将在您指定的策略集中寻找权限策略，来确定参与者是否具有相应权限。更多关于策略集的操作请参见策略集。 xDM-F内置的“adhoc”和“function”策略集不允许编辑、删除或添加子策略集。此外，文件夹具有策略集继承的功能，子文件夹的策略集可以继承父文件夹的策略集，也可以自定义。更多关于文件夹的操作请参见文件夹。

工业数字模型驱动引擎权限管理

工业数字模型驱动引擎-权限管理概述:授权

授权为了保证各类数据的安全性，满足用户自定义开发数据对象或功能授权的需求，xDM-F提供基于数据对象和操作的授权功能。您可以通过授权功能将参与者、搜索服务定义/具有“权限管理”功能的数据模型及操作类型进行关联，并将这组关系配置到策略集，提升模型维护效率，方便用户维护系统权限、数据流转等操作。根据授权维度的不同，xDM-F的授权分为静态授权和动态授权。表2 授权类型类型说明静态授权即实体授权，是对搜索服务定义/具有“权限管理”功能的数据模型的权限处理，基于数据模型维度所设置的权限，将影响至此数据模型所有的数据实例。更多关于实体授权的操作请参见授权。动态授权即实例授权，是对具有“权限管理”功能的数据实例的精细化权限处理，可以为参与者基于某一个确定的数据实例进行权限设置，常见于工作流审批等需要临时为参与者设置数据权限等场景。更多关于实例授权的操作请参见管理数据实例授权。

工业数字模型驱动引擎权限管理

云服务器内容精选

权限管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线