权限管理-华为云

云服务器备份 CSBS-创建用户并授权使用CSBS:示例流程

示例流程图1 给用户授权 CS BS权限流程创建用户组并授权在 IAM 控制台创建用户组，并授予云服务器备份权限“CSBS Administrator”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择云服务器备份，进入CSBS主界面，单击右上角“ 购买云服务器备份”，尝试购买云服务器备份，如果可以购买云服务器备份，表示“CSBS Administrator”已生效。在“服务列表”中选择除云服务器备份外的任一服务，若提示权限不足，表示“CSBS Administrator”已生效。

云服务器备份 CSBS 权限管理

弹性文件服务 SFS-创建用户并授权使用SFS:示例流程

示例流程图1 给用户授权SFS权限流程创建用户组并授权在IAM控制台创建用户组，并授予只读权限如下所示：弹性文件服务（SFS容量型文件系统）：“SFS ReadOnlyAccess” 弹性文件服务（SFS Turbo文件系统）：“SFS Turbo ReadOnlyAccess” 弹性文件服务（通用文件系统）：“SFS3 ReadOnlyAccess” 创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：选择弹性文件服务，进入SFS主界面，单击右上角“创建文件系统”，尝试创建文件系统，如果无法创建文件系统，则表示以下权限已生效：弹性文件服务（SFS容量型文件系统）：“SFS ReadOnlyAccess” 弹性文件服务（SFS Turbo文件系统）：“SFS Turbo ReadOnlyAccess” 弹性文件服务（通用文件系统）：“SFS3 ReadOnlyAccess” 选择除弹性文件服务外的任一服务，如果提示权限不足，则表示以下权限已生效：弹性文件服务（SFS容量型文件系统）：“SFS ReadOnlyAccess” 弹性文件服务（SFS Turbo文件系统）：“SFS Turbo ReadOnlyAccess” 弹性文件服务（通用文件系统）：“SFS3 ReadOnlyAccess”

弹性文件服务 SFS 权限管理

硬件开发工具链平台云服务-用户与权限管理概述:基本概念

基本概念数字化制造云平台（MBM Space）提供了自定义角色的功能，支持为不同的角色配置不同的操作权限，让用户权限管理更加灵活、便捷。在进行用户与权限管理前，请先了解一下如下基本概念。角色 MBM Space基于RBAC（Role-Based Access Control）能力的授权，通过服务的“角色管理”实现不同用户的访问控制。MBM Space为您预置了超级管理员、租户管理员角色。您可以根据实际需求，自定义角色，并给角色授予菜单栏目权限。权限在MBM Space中添加的用户默认是没有任何权限的，需要将其加入角色，才能使得角色中的用户获得对应的权限。用户可以基于被授予的角色权限对系统进行操作。超级管理员超级管理员拥有“用户管理”和“租户管理”的权限，可以新增用户、新增业务租户以及管理租户的成员。购买数字化制造云平台的账号即为MBM Space预置的超级管理员，系统支持将其他用户授予超级管理员角色，使其获得对应的权限。租户管理员租户管理员拥有“角色管理”的权限，可以新增角色、授予角色菜单栏目功能权限以及管理角色权限对应的用户。购买数字化制造云平台的账号即为MBM Space预置的租户管理员，系统支持将其他用户授予租户管理员角色，使其获得对应的权限。

硬件开发工具链平台云服务系统管理员的用户与权限管理

安全云脑 SECMASTER-创建用户并授权使用SecMaster:示例流程

示例流程图1 给用户授予SecMaster权限流程创建用户组并授权在IAM控制台创建用户组，并授予安全云脑的权限“SecMaster FullAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在服务列表中选择除安全云脑外（假设当前策略仅包含“SecMaster FullAccess”）的任一服务，如果提示权限不足，表示“SecMaster FullAccess”已生效。

安全云脑 SECMASTER 权限管理

安全云脑 SECMASTER-创建用户并授权使用SecMaster:前提条件

前提条件给用户组授权之前，请您了解用户组可以添加的SecMaster权限，并结合实际需求进行选择，SecMaster支持的系统权限，请参见SecMaster系统权限。如果您需要对除SecMaster之外的其它服务授权，IAM支持服务的所有权限请参见系统权限。如表1所示，包括了SecMaster的所有系统权限。表1 SecMaster系统权限系统角色/策略名称描述类别依赖关系 SecMaster FullAccess 安全云脑的所有权限。系统策略无 SecMaster ReadOnlyAccess 安全云脑只读权限，拥有该权限的用户仅能查看安全云脑数据，不具备安全云脑配置权限。系统策略无

安全云脑 SECMASTER 权限管理

统一身份认证服务 IAM-查询全局服务中的用户组权限:响应示例

响应示例状态码为 200 时: 请求成功。 { "roles": [ { "domain_id": null, "flag": "fine_grained", "description_cn": "查询域名信息", "catalog": "CDN", "name": "system_all_11", "description": "Allow Query Domains", "links": { "next": null, "previous": null, "self": "https://iam.myhuaweicloud.com/v3/roles/db4259cce0ce47c9903dfdc195eb453b" }, "id": "db4259cce0ce47c9903dfdc195eb453b", "display_name": "CDN Domain Viewer", "type": "AX", "policy": { "Version": "1.1", "Statement": [ { "Action": [ "cdn:configuration:queryDomains", "cdn:configuration:queryOriginServerInfo", "cdn:configuration:queryOriginConfInfo", "cdn:configuration:queryHttpsConf", "cdn:configuration:queryCacheRule", "cdn:configuration:queryReferConf", "cdn:configuration:queryChargeMode", "cdn:configuration:queryCacheHistoryTask", "cdn:configuration:queryIpAcl", "cdn:configuration:queryResponseHeaderList" ], "Effect": "Allow" } ] } } ], "links": { "next": null, "previous": null, "self": "https://iam.myhuaweicloud.com/v3/domains/d78cbac186b744899480f25bd022f468/groups/077d71374b8025173f61c003ea0a11ac/roles" } }

统一身份认证服务 IAM 权限管理

统一身份认证服务 IAM-查询全局服务中的用户组权限:响应参数

响应参数表3 响应Body参数参数参数类型描述 links Object 资源链接信息。 roles Array of objects 权限信息列表。表4 links 参数参数类型描述 self String 资源链接。 previous String 前一个邻接资源链接地址，不存在时为null。 next String 后一个邻接资源链接地址，不存在时为null。表5 roles 参数参数类型描述 domain_id String 权限所属账号ID。 flag String 该参数值为fine_grained时，标识此权限为系统内置的策略。 description_cn String 权限的中文描述信息。仅在创建时中传入了description_cn参数，响应体中才会返回此字段。 catalog String 权限所在目录。 name String 系统内部呈现的权限名称。如云目录服务CCS普通用户权限CCS User的name为ccs_user。携带在用户的token中，云服务根据该名称来判断用户是否有权限访问。 description String 权限描述信息。 links Object 权限的资源链接信息。 id String 权限ID。 display_name String 权限名称。 type String 权限的显示模式。说明： AX表示在domain层显示。 XA表示在project层显示。 AA表示在domain和project层均显示。 XX表示在domain和project层均不显示。自定义策略的显示模式只能为AX或者XA，不能在domain层和project层都显示（AA），或者在domain层和project层都不显示（XX）。 policy Object 权限的具体内容。 updated_time String 权限更新时间。说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。 created_time String 权限创建时间。说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。表6 roles.links 参数参数类型描述 self String 资源链接地址。 previous String 前一邻接资源链接地址，不存在时为null。 next String 后一邻接资源链接地址，不存在时为null。表7 roles.policy 参数参数类型描述 Depends Array of objects 该权限所依赖的权限。 Statement Array of objects 授权语句，描述权限的具体内容。 Version String 权限版本号。说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。表8 roles.policy.Depends 参数参数类型描述 catalog String 权限所在目录。 display_name String 权限展示名。表9 roles.policy.Statement 参数参数类型描述 Action Array of strings 授权项，指对资源的具体操作权限。支持的授权项请参考各云服务《API参考》中“权限和授权项”章节。说明：格式为：服务名:资源类型:操作，例：vpc:ports:create。服务名为产品名称，例如ecs、evs和vpc等，服务名仅支持小写。资源类型和操作没有大小写，要求支持通配符号*，无需罗列全部授权项。当自定义策略为委托自定义策略时，该字段值为： "Action": ["iam:agencies:assume"]。 Effect String 作用。包含两种：允许（Allow）和拒绝（Deny），既有Allow又有Deny的授权语句时，遵循Deny优先的原则。取值范围： Allow Deny Condition Object 限制条件。如果创建此策略未传入此字段，则返回结果中也无此字段。说明：以请求示例中的Condition为例：条件键（obs:prefix）和字符串（public）需相等（StringEquals）。 "Condition": { "StringEquals": { "obs:prefix": [ "public" ] } } Resource Array of strings 资源，如果创建此策略时未传入此字段，则返回结果中也无此字段。规则如下：说明：可填 * 的五段式：::::，例："obs:::bucket:*"。 region字段为*或用户可访问的region。service必须存在且resource属于对应service。当该自定义策略为委托自定义策略时，该字段类型为Object，值为："Resource": {"uri": ["/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c"]}。

统一身份认证服务 IAM 权限管理

统一身份认证服务 IAM-查询全局服务中的用户组权限:URI

URI GET /v3/domains/{domain_id}/groups/{group_id}/roles 表1 路径参数参数是否必选参数类型描述 domain_id 是 String 用户组所属账号ID，获取方式请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。 group_id 是 String 用户组ID，获取方式请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。

统一身份认证服务 IAM 权限管理

数据管理服务 DAS-创建用户并授权使用DAS:示例流程

示例流程图1 给用户授权DAS权限流程创建用户组并授权在IAM控制台创建用户组，并授予数据管理服务 “DAS FullAccess”权限。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限在“服务列表”中选择“数据管理服务 DAS”，进入DAS主界面，单击详情页左上角“新增数据库登录”，若可以正常创建数据库登录，则表示DAS所需权限策略均已生效。

数据管理服务 DAS 权限管理

高性能弹性文件服务 SFS TURBO-创建用户并授权使用SFS Turbo:示例流程

示例流程图1 给用户授权SFS Turbo权限流程创建用户组并授权在IAM控制台创建用户组，并授予只读权限“SFS Turbo ReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：选择高性能弹性文件服务，进入SFS Turbo主界面，单击右上角“创建文件系统”，尝试创建文件系统，如果无法创建文件系统，则表示“SFS Turbo ReadOnlyAccess”权限已生效。选择除高性能弹性文件服务外的任一服务，如果提示权限不足，则表示“SFS Turbo ReadOnlyAccess”权限已生效。

高性能弹性文件服务 SFS TURBO 权限管理

组织 ORGANIZATIONS-自定义策略:Organizations自定义策略样例

Organizations自定义策略样例示例1：授权IAM用户邀请账号加入组织、从组织中移除成员账号。 { "Version": "5.0", "Statement": [ { "Effect": "Allow", "Action": [ "organizations:accounts:invite", "organizations:accounts:remove" ] } ] } 示例2：拒绝IAM用户删除OU、移除成员账号。拒绝策略需要同时配合其他策略使用，否则没有实际作用。如果没有主动授权某一操作，则系统默认Deny。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。如果您给用户授予OrganizationsFullAccess的系统策略，但不希望用户拥有OrganizationsFullAccess中定义的删除OU、移除成员账号的权限，您可以创建一条拒绝删除OU、成员账号的自定义策略，然后同时将OrganizationsFullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对组织执行除了删除OU、移除成员账号外的所有操作。拒绝策略示例如下： { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "organizations:ous:delete", "organizations:accounts:remove" ] } ] }

组织 ORGANIZATIONS 权限管理

云数据库 RDS-创建用户并授权使用RDS:操作流程

操作流程图1 给用户授权RDS权限流程创建用户组并授权在IAM控制台创建用户组，并授予关系型数据库只读权限“RDS ReadOnlyAccess”。如果需要使用到对接其他服务的一些功能时，除了需要配置“RDS ReadOnlyAccess”权限外，还需要配置对应服务的权限。例如：使用控制台连接实例时，除了需要配置“RDS ReadOnlyAccess”权限外，您还需要配置数据管理服务“DAS FullAccess”权限后，才可正常使用控制台登录数据库实例。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择云数据库RDS，进入RDS主界面，单击右上角“购买关系型数据库”，尝试购买关系型数据库，如果无法购买关系型数据库（假设当前权限仅包含RDS ReadOnlyAccess），表示“RDS ReadOnlyAccess”已生效。在“服务列表”中选择除云数据库RDS外（假设当前策略仅包含RDS ReadOnlyAccess）的任一服务，若提示权限不足，表示“RDS ReadOnlyAccess”已生效。

云数据库 RDS 权限管理

数据湖探索 DLI-DLI资源

DLI 资源资源是服务中存在的对象。在DLI中，资源如下，您可以在创建自定义策略时，通过指定资源路径来选择特定资源。表1 DLI的指定资源与对应路径资源类型资源名称资源路径 queue DLI队列 queues.queuename database DLI数据库 databases.dbname table DLI表 databases.dbname.tables.tbname column DLI列 databases.dbname.tables.tbname.columns.colname jobs DLI Flink作业 jobs.flink.jobid resource DLI程序包 resources.resourcename group DLI程序包组 groups.groupname datasourceauth DLI跨源认证信息 datasourceauth.name edsconnections DLI增强跨源 edsconnections.连接ID 父主题：权限管理

数据湖探索 DLI 权限管理

云数据库 GAUSSDB-GS_ROLES

GS_ROLES GS_ROLES视图显示数据库角色的相关信息。初始化用户和具有sysadmin属性或createrole属性的用户可以查看全部角色的信息，其他用户只能查看自己的信息。表1 GS_ROLES字段名称类型引用描述 rolname name - 角色名称。 rolsuper boolean - 该角色是否是拥有最高权限的初始系统管理员。 t（true）：表示是。 f（false）：表示否。 rolinherit boolean - 该角色是否继承角色的权限。 t（true）：表示是。 f（false）：表示否。 rolcreaterole boolean - 该角色是否可以创建其他的角色。 t（true）：表示是。 f（false）：表示否。 rolcreatedb boolean - 该角色是否可以创建数据库。 t（true）：表示是。 f（false）：表示否。 rolcatupdate boolean - 该角色是否可以直接更新系统表。只有usesysid=10的初始系统管理员拥有此权限。其他用户无法获得此权限。 t（true）：表示是。 f（false）：表示否。 rolcanlogin boolean - 该角色是否可以登录数据库。 t（true）：表示是。 f（false）：表示否。 rolreplication boolean - 该角色是否可以复制。 t（true）：表示是。 f（false）：表示否。 rolauditadmin boolean - 该角色是否为审计管理员。 t（true）：表示是。 f（false）：表示否。 rolsystemadmin boolean - 该角色是否为系统管理员。 t（true）：表示是。 f（false）：表示否。 rolconnlimit integer - 对于可以登录的角色，表示该角色允许发起的最大并发连接数。 -1表示无限制。 rolpassword text - 密文存储后的用户密码，始终为********。 rolvalidbegin timestamp with time zone - 账户的有效开始时间。如果没有设置有效开始时间，则为NULL。 rolvaliduntil timestamp with time zone - 账户的有效结束时间。如果没有设置有效结束时间，则为NULL。 rolrespool name - 用户可以使用的资源池。 rolparentid oid PG_AUTHID.rolparentid 用户所在组用户的OID。 roltabspace text - 用户永久表的存储空间限额，单位KB。 rolconfig text[] PG_DB_ROLE_SETTING.setconfig 运行时配置项的默认值。 oid oid PG_AUTHID.oid 角色的id。 roluseft boolean PG_AUTHID.roluseft 角色是否可以操作外表。 t（true）：表示是。 f（false）：表示否。 rolkind "char" - 角色类型。 n：普通用户，即非永久用户。 p：永久用户。 nodegroup name - 该字段不支持。 roltempspace text - 用户临时表的存储空间限额，单位为KB。 rolspillspace text - 用户算子的落盘空间限额，单位为KB。 rolmonitoradmin boolean - 该角色是否为监控管理员。 t（true）：表示是。 f（false）：表示否。 roloperatoradmin boolean - 该角色是否为运维管理员。 t（true）：表示是。 f（false）：表示否。 rolpolicyadmin boolean - 该角色是否为安全策略管理员。 t（true）：表示是。 f（false）：表示否。父主题：用户和权限管理

云数据库 GAUSSDB 用户和权限管理

云数据库 GAUSSDB-ADM_COL_PRIVS

ADM_COL_PRIVS ADM_COL_PRIVS视图显示所有的列权限授予信息。默认只有系统管理员权限才可以访问此系统视图，普通用户需要授权才可以访问。该视图同时存在于PG_CATA LOG 和SYS Schema下。表1 ADM_COL_PRIVS字段名称类型描述 grantor character varying(128) 执行授权的用户名。 owner character varying(128) 对象的所有者。 grantee character varying(128) 被授予权限的用户或角色的名称。 table_schema character varying(128) 对象的Schema。 table_name character varying(128) 对象的名称。 column_name character varying(128) 列的名称。 privilege character varying(40) 列的权限。 grantable character varying(3) 是否授予特权。 YES：授予。 NO：不授予。 common character varying(3) 暂不支持，值为NULL。 inherited character varying(3) 暂不支持，值为NULL。父主题：用户和权限管理

云数据库 GAUSSDB 用户和权限管理

云服务器内容精选

权限管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线