权限管理-华为云

统一身份认证服务 IAM-查询用户组的所有项目权限列表:响应示例

响应示例状态码： 200 请求成功。 { "roles" : [ { "domain_id" : null, "description_cn" : " 漏洞扫描服务（VSS）管理员，拥有该服务下的所有权限", "catalog" : "VulnScan", "name" : "wscn_adm", "description" : "Vulnerability Scan Service administrator of tasks and reports.", "links" : { "next" : null, "previous" : null, "self" : "https://iam.myhuaweicloud.com/v3/roles/0af84c1502f447fa9c2fa18083fbb..." }, "id" : "0af84c1502f447fa9c2fa18083fbb...", "display_name" : "VSS Administrator", "type" : "XA", "policy" : { "Version" : "1.0", "Statement" : [ { "Action" : [ "WebScan:*:*" ], "Effect" : "Allow" } ], "Depends" : [ { "catalog" : "BASE", "display_name" : "Server Administrator" }, { "catalog" : "BASE", "display_name" : "Tenant Guest" } ] } }, { "domain_id" : null, "flag" : "fine_grained", "description_cn" : "微服务引擎服务管理员权限", "catalog" : " CS E", "name" : "system_all_34", "description" : "All permissions of CSE service.", "links" : { "next" : null, "previous" : null, "self" : "https://iam.myhuaweicloud.com/v3/roles/0b5ea44ebdc64a24a9c372b2317f7..." }, "id" : "0b5ea44ebdc64a24a9c372b2317f7...", "display_name" : "CSE Admin", "type" : "XA", "policy" : { "Version" : "1.1", "Statement" : [ { "Action" : [ "cse:*:*", "ecs:*:*", "evs:*:*", "vpc:*:*" ], "Effect" : "Allow" } ] } } ], "links" : { "next" : null, "previous" : null, "self" : "https://iam.myhuaweicloud.com/v3/roles" } }

统一身份认证服务 IAM 权限管理

统一身份认证服务 IAM-查询用户组的所有项目权限列表:响应参数

响应参数状态码为 200 时：表3 响应Body参数参数参数类型描述 links object 资源链接信息。 roles Array of objects 权限信息列表。表4 roles 参数参数类型描述 flag String 该参数值为fine_grained时，标识此权限为系统内置的策略。 description_cn String 权限的中文描述信息。仅在创建时中传入了description_cn参数，响应体中才会返回此字段。 catalog String 权限所在目录。 name String 权限名。携带在用户的token中，云服务根据该名称来判断用户是否有权限访问。 description String 权限描述信息。 links object 权限的资源链接信息。 id String 权限ID。 display_name String 权限展示名。 type String 权限的显示模式。说明： AX表示在domain层显示。 XA表示在project层显示。 AA表示在domain和project层均显示。 XX表示在domain和project层均不显示。自定义策略的显示模式只能为AX或者XA，不能在domain层和project层都显示（AA），或者在domain层和project层都不显示（XX）。 policy object 权限的具体内容。 updated_time String 权限更新时间。说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。 created_time String 权限创建时间。说明： UNIX时间戳格式，单位是毫秒，时间戳格式如：1687913793000。表5 links 参数参数类型描述 self String 资源链接地址。 previous String 前一邻接资源链接地址，不存在时为null。 next String 后一邻接资源链接地址，不存在时为null。表6 roles.policy 参数参数类型描述 Depends Array of objects 该权限所依赖的权限。 Statement Array of objects 授权语句，描述权限的具体内容。 Version String 权限版本号。说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。 IAM 最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。表7 roles.policy.Depends 参数参数类型描述 catalog String 权限所在目录。 display_name String 权限展示名。表8 roles.policy.Statement 参数参数类型描述 Action Array of strings 授权项，指对资源的具体操作权限。支持的授权项请参考各云服务《API参考》中“权限和授权项”章节。说明：格式为：服务名:资源类型:操作，例：vpc:ports:create。服务名为产品名称，例如ecs、evs和vpc等，服务名仅支持小写。资源类型和操作没有大小写，要求支持通配符号*，无需罗列全部授权项。当自定义策略为委托自定义策略时，该字段值为： "Action": ["iam:agencies:assume"]。 Effect String 作用。包含两种：允许（Allow）和拒绝（Deny），既有Allow又有Deny的授权语句时，遵循Deny优先的原则。枚举值： Allow Deny Condition Object 限制条件。如果创建此策略未传入此字段，则返回结果中也无此字段。说明：以请求示例中的Condition为例：条件键（obs:prefix）和字符串（public）需相等（StringEquals）。 "Condition": { "StringEquals": { "obs:prefix": [ "public" ] } } Resource Object 资源，如果创建此策略时未传入此字段，则返回结果中也无此字段。规则如下：说明：可填 * 的五段式：::::，例："obs:::bucket:*"。 region字段为*或用户可访问的region。service必须存在且resource属于对应service。当该自定义策略为委托自定义策略时，该字段类型为Object，值为："Resource": {"uri": ["/iam/agencies/07805acaba800fdd4fbdc00b8f888c7c"]}。

统一身份认证服务 IAM 权限管理

统一身份认证服务 IAM-查询用户组的所有项目权限列表:URI

URI GET /v3/OS-INHERIT/domains/{domain_id}/groups/{group_id}/roles/inherited_to_projects 表1 路径参数参数是否必选参数类型描述 domain_id 是 String 账号ID，获取方式请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。 group_id 是 String 用户组ID，获取方式请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。

统一身份认证服务 IAM 权限管理

数据库和应用迁移 UGO-UGO自定义策略:UGO自定义策略样例

UGO自定义策略样例示例1：授权用户创建评估项目 { "Version": "1.1", "Statement": [{ "Action": ["ugo:evaluationJob:create"] "Effect": "Allow", }] } 示例2：拒绝用户删除评估项目拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。如果您给用户授予UGO FullAccess的系统策略，但不希望用户拥有UGO FullAccess中定义的删除评估项目，您可以创建一条拒绝删除云服务的自定义策略，然后同时将UGO FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对评估项目执行除了删除评估项目外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [{ "Action": ["ugo:evaluationJob:delete"], "Effect": "Deny" }] }

数据库和应用迁移 UGO 权限管理

数据复制服务 DRS-查询委托的权限列表:URI

URI GET /v5/{project_id}/agency/permissions 表1 路径参数参数是否必选参数类型描述 project_id 是 String 租户在某一Region下的Project ID。获取方法请参见获取项目ID。表2 Query参数参数是否必选参数类型描述 source_type 否 String 源库类型。 mysql：MySQL sqlserver：Microsoft SQL Server postgresql：PostgreSQL mongodb：MongoDB、DDS dws： GaussDB (DWS) oracle：Oracle taurus：GaussDB(for MySQL) ddm：DDM kafka：Kafka gaussdbv5：GaussDB分布式版 gaussdbv5ha：GaussDB主备版 gaussmongodb：GeminiDB Mongo elasticsearch： CSS /ES db2：DB2 tidb：TiDB redis：Redis rediscluster：Redis集群 gaussredis：GeminiDB Redis mariadb：MariaDB informix：Informix dynamo：Dynamo target_type 否 String 目标库类型。 mysql：MySQL sqlserver：Microsoft SQL Server postgresql：PostgreSQL mongodb：MongoDB、DDS dws：GaussDB(DWS) oracle：Oracle taurus：GaussDB(for MySQL) ddm：DDM kafka：Kafka gaussdbv5：GaussDB分布式版 gaussdbv5ha：GaussDB主备版 gaussmongodb：GeminiDB Mongo elasticsearch：CSS/ES db2：DB2 tidb：TiDB redis：Redis rediscluster：Redis集群 gaussredis：GeminiDB Redis mariadb：MariaDB informix：Informix dynamo：Dynamo is_non_dbs 是 Boolean 是否自建。

数据复制服务 DRS 权限管理

数据复制服务 DRS-查询委托的权限列表:请求参数

请求参数表3 请求Header参数参数是否必选参数类型描述 Content-Type 是 String 发送的实体的MIME类型。推荐用户默认使用application/json，如果API是对象、镜像上传等接口，媒体类型可按照流类型的不同进行确定。缺省值：application/json X-Auth-Token 是 String 从IAM服务获取的用户Token。用户Token也就是调用获取用户Token接口的响应值，该接口是唯一不需要认证的接口。请求响应成功后在响应消息头中包含的“X-Subject-Token”的值即为Token值。 X-Language 否 String 请求语言类型。缺省值：en-us 枚举值： en-us zh-cn

数据复制服务 DRS 权限管理

数据复制服务 DRS-查询委托的权限列表:响应参数

响应参数状态码： 200 表4 响应Body参数参数参数类型描述 common_permissions Array of strings DRS FullAccess：数据复制服务所有权限 engine_permissions Array of strings GaussDB ReadOnlyAccess：云数据库 GaussDB服务的只读访问权限。 GeminiDB ReadOnlyAccess：分布式多模NoSQL数据库服务只读权限。 GaussDBforMSQLReadOnlyAccess：云数据库HUAWEIGaussDBforMSQL服务的只读访问权限。 DWS ReadOnlyAccess：数据仓库服务只读权限。 DDM ReadOnlyAccess：分布式数据库中间件服务只读权限。 DDS ReadOnlyPolicy：文档数据库服务资源只读权限。 RDS ReadOnlyAccess：关系型数据库服务资源只读权限。 MRS ReadOnlyAccess： MapReduce服务只读权限，包括集群查询操作、基础服务弹性云服务器、裸金属服务器、云硬盘、虚拟私有云只读权限。

数据复制服务 DRS 权限管理

云桌面 WORKSPACE-权限管理介绍:相关概念

相关概念 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。关于IAM的详细介绍，请参见《IAM产品介绍》。帐号当您首次使用华为云时注册的帐号，该帐号是您的华为云资源归属、资源使用计费的主体，对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。帐号统一接收所有IAM用户进行资源操作时产生的费用账单。帐号不能在IAM中修改和删除，您可以在帐号中心修改帐号信息，如果您需要删除帐号，可以在帐号中心进行注销。 IAM用户由帐号在IAM中创建的用户，是云服务的使用人员，具有独立的身份凭证（密码和访问密钥），根据帐号授予的权限使用资源。IAM用户不进行独立的计费，由所属账户统一付费。用户组用户组是用户的集合，IAM通过用户组功能实现用户的授权。您创建的IAM用户，需要加入特定用户组后，才具备对应的权限，否则IAM用户无法访问您帐号中的任何资源或者云服务。当某个用户加入多个用户组时，此用户同时拥多个用户组的权限，即多个用户组权限的全集。 “admin”为系统缺省提供的用户组，具有所有云服务资源的操作权限。将IAM用户加入该用户组后，IAM用户可以操作并使用所有云资源，包括但不仅限于创建用户组及用户、修改用户组权限、管理资源等。企业项目权限说明关于企业项目权限的详细介绍，请参见《EPS产品介绍》。

云桌面 WORKSPACE 权限管理

云桌面 WORKSPACE-权限管理介绍:云应用服务管理员权限

云应用服务管理员权限权限根据授权的精细程度，分为策略和角色。云应用服务使用角色授予IAM用户管理员权限。云应用与云桌面使用同一个项目，则共用同一份用户名单，当给云应用的用户组授权时，云桌面同样会有对应的权限。默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予云应用管理员权限，才能使得用户组中的用户获得对应权限，这一过程称为授权。授权后，IAM用户可以在对应拥有权限的项目中对云应用资源进行操作。如表1所示，包括了云应用的所有系统权限。表2包括了云应用所需的额外权限，其中“依赖关系”表示云应用的系统权限对其它角色的依赖。由于华为云各服务之间存在业务交互关系，云应用的角色依赖其他服务的角色实现功能。因此给用户组授予云应用的权限时，请勿取消已勾选的其他依赖权限，否则云应用的权限将无法生效。

云桌面 WORKSPACE 权限管理

应用管理与运维平台 SERVICESTAGE-创建用户并授权使用ServiceStage:示例流程

示例流程图1 给用户授权ServiceStage权限流程创建用户组并授权在IAM控制台创建用户组，并授予ServiceStage服务“ServiceStage ReadOnlyAccess”权限。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，验证ServiceStage的只读权限：在“服务列表”中选择“应用管理与运维平台 ServiceStage”。进入“应用管理”页面，单击“创建应用”。若提示权限不足，表示“ServiceStage ReadOnlyAccess”已生效。

应用管理与运维平台 SERVICESTAGE 权限管理

统一身份认证服务 IAM-权限没有生效怎么办:问题排查

问题排查可能原因：管理员授予IAM用户所在用户组的权限不正确。解决方法：管理员确认并修改授予IAM用户所在用户组的权限，方法请参考：修改用户组权限，权限详情请参考：系统权限。可能原因：管理员授予的权限已拒绝相关操作的授权项。解决方法：管理员查看已授予IAM用户的系统权限详情，确认已授予的权限是否有拒绝操作的语句，方法请参考策略语法。如系统权限无法满足您的场景需要，管理员可以创建自定义策略，允许该操作对应的授权项，方法请参考：创建自定义策略。可能原因：管理员给用户组授予权限后，忘记将IAM用户添加至用户组中。解决方法：管理员将IAM用户添加至用户组中，方法请参见：用户组添加用户。可能原因：对于区域级服务，管理员没有在在对应的区域进行授权。解决方法：管理员在对IAM所在用户组授权时，选择对应的区域。如果管理员授予用户默认区域项目的权限，用户只能访问该默认项目中的资源，不拥有该默认项目下IAM子项目的权限，建议您授予IAM用户最小区域权限，方法请参见：给用户组授权。可能原因：对于区域级服务，IAM用户登录控制台后，没有切换到授权区域。解决方法：IAM用户访问区域级服务时，请切换至授权区域，方法请参见：切换区域。可能原因：管理员授予的OBS权限由于系统设计的原因，授权后需等待15-30分钟才可生效。解决方法：请IAM用户和管理员等待15-30分钟后重试。可能原因：您所属账号已欠费，无法使用该资源。解决方法：请管理员在“费用中心”确认账单并充值，方法请参见：账户充值。可能原因：浏览器缓存导致权限信息未更新。解决方法：请清理浏览器缓存后重试。可能原因：该服务可能提供独立权限控制，如软件开发生产线 CodeArts、对象存储服务 OBS。解决方法：请查看对应服务帮助文档，并授予用户对应权限。如CodeArts各角色的权限是怎样的、OBS权限控制概述。可能原因：管理员同时在IAM和企业管理给用户授权，基于企业项目管理权限可能不生效。IAM鉴权优先于企业管理，如IAM用户同时拥有所有资源的ECS ReadOnlyAccess、企业项目A的ECS ReadOnlyAccess权限，用户可以查看所有ECS资源。解决方法：请管理员根据情况在IAM控制台修改用户权限。

统一身份认证服务 IAM 用户组及权限管理类

云桌面 WORKSPACE-创建用户并授权使用云桌面

创建用户并授权使用云桌面操作场景如果需要对您所拥有的Workspace资源进行精细的权限管理，可以使用统一身份认证服务（Identity and Access Management，简称IAM）。通过IAM，您可以：根据企业的业务组织，在您的华为账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用Workspace云桌面。根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。如果华为账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用云桌面的其他功能。本章节以授予“Workspace ReadOnlyAccess”权限为例介绍为用户授权的方法前提条件给用户组授权之前，请您了解用户组可以添加的Workspace权限，并结合实际需求进行选择。若您需要对除Workspace之外的其他服务授权，IAM支持服务的所有权限请参见：系统权限。示例流程创建用户组并授权。在IAM控制台创建用户组，并授予Workspace服务只读权限“Workspace ReadOnlyAccess”。创建用户并加入用户组。在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限。新创建的用户登录控制台，切换至授权区域，验证权限（假设当前权限仅包含Workspace ReadOnlyAccess）。在“服务列表”中选择云桌面服务，进入桌面管理界面，执行除查询以外的其他操作，如：开关机、重启、创建、修改、删除等。示例：对桌面进行开机或关机操作，若提示权限不足，表示“Workspace ReadOnlyAccess”已生效。在“服务列表”中选择除云桌面服务外的任意一个服务，如“虚拟私有云”，若提示权限不足，表示“Workspace ReadOnlyAccess”已生效。父主题：权限管理

云桌面 WORKSPACE 权限管理

MAPREDUCE服务 MRS-Flink用户权限说明

Flink用户权限说明访问并使用Flink WebUI进行业务操作需为用户赋予FlinkServer相关权限，Manager的admin用户没有FlinkServer的业务操作权限。 FlinkServer中应用（租户）是最大管理范围，包含集群连接管理、数据连接管理、应用管理、流表和作业管理等。 FlinkServer中有如表1所示三种资源权限：表1 FlinkServer资源权限权限名称权限描述备注 FlinkServer管理员权限具有所有应用的编辑、查看权限。是FlinkServer的最高权限。如果已经具有FlinkServer管理员权限，则会自动具备所有应用的权限。应用编辑权限具有当前应用编辑权限的用户，可以执行创建、编辑和删除集群连接、数据连接，创建流表、创建作业及运行作业等操作。同时具有当前应用查看权限。应用查看权限具有当前应用查看权限的用户，可以查看应用。 - 父主题： Flink用户权限管理

MAPREDUCE服务 MRS Flink用户权限管理

MAPREDUCE服务 MRS-配置Hive业务使用其他组件的用户权限:操作场景

操作场景 Hive业务还可能需要关联使用其他组件，例如HQL语句触发MapReduce任务需要设置Yarn权限，或者Hive over HBase的场景需要HBase权限。以下介绍Hive关联Yarn和Hive over HBase两个场景下的权限操作。安全模式下Yarn和HBase的权限管理默认是开启的，因此在安全模式下默认需要配置Yarn和HBase权限。在普通模式下，Yarn和HBase的权限管理默认是关闭的，即任何用户都有权限，因此普通模式下默认不需要配置Yarn和HBase权限。如果用户修改了Yarn或者HBase的配置来开启权限管理，则修改后也需要配置Yarn和HBase权限。如果当前组件使用了Ranger进行权限控制，须基于Ranger配置相关策略进行权限管理，具体操作可参考添加Hive的Ranger访问权限策略。

MAPREDUCE服务 MRS Hive用户权限管理

MAPREDUCE服务 MRS-创建HetuEngine权限角色:HetuEngine权限角色介绍

HetuEngine权限角色介绍安全模式的集群，在使用HetuEngine服务前，需集群管理员创建用户并指定其操作权限以满足业务使用需求。 HetuEngine用户分为管理员用户和普通用户，系统默认的HetuEngine管理员用户组为“hetuadmin”，HetuEngine普通用户对应用户组为“hetuuser”。关联了“hetuadmin”用户组的用户可获得HetuEngine的HSConsole WebUI界面和HetuEngine计算实例WebUI的运维管理员权限。关联了“hetuuser”用户组的用户可获得SQL执行权限。可以访问HSConsole WebUI界面，查看当前用户关联租户的集群信息以及所有数据源的基本信息，可以访问计算实例的WebUI界面，并对当前用户的SQL有查询和运维的权限。启用了Ranger鉴权时，如果用户创建后需要继续为用户配置操作数据源的数据库、表、列的管理权限，请参考添加HetuEngine的Ranger访问权限策略。在使用HetuEngine服务请确保已提前规划并创建HetuEngine用户待关联的租户。

MAPREDUCE服务 MRS HetuEngine用户权限管理

云服务器内容精选

权限管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线