组织成员帐号 ORGID-华为云

组织成员帐号 ORGID-授权管理配置:配置应用授权

配置应用授权登录管理中心。选择左侧导航栏的“应用管理”。在“全部应用”页签，单击待修改的应用操作列的“配置”。单击“授权管理”，进入“授权管理”页签。单击“授权设置”，在“授权设置”界面中选择被授权成员信息，单击“下一步”。选择可用成员范围，可勾选“全员可用”或“自定义人员范围”，勾选“自定义人员范围”后还需要选择指定的部门与人员或者用户组。单击“确认”。设置后，应用授权范围中会显示授权部门、授权人员或授权用户组信息。同时，授权用户列表中也会展示授权账号的详细情况（包括姓名、账号名、应用侧角色、来源、更新时间和同步状态），支持按照账号名进行过滤查询。

组织成员帐号 ORGID

组织成员帐号 ORGID-登录场景介绍

登录场景介绍用户可以使用个人华为账号或管理式华为账号登录OrgID，用户可根据账号类型，选择不同的登录方式。另外，也支持个人华为账号、管理式华为账号或第三方认证源账号通过OrgID访问某个注册在OrgID的应用；或者登录OrgID后，在用户中心免登录访问应用列表中的应用或华为云服务。表1 OrgID登录场景登录场景使用账号操作步骤操作说明登录OrgID 个人华为账号访问OrgID。输入账号名和密码，账号名处也可以输入手机号码或者邮箱地址，单击“登录”。首次登录后显示OrgID管理控制台，后续登录默认进入最近访问的OrgID组织用户中心。登录后可以创建组织，具体请参见创建组织。创建完成后，该华为账号会自动成为该组织的超级管理员，拥有该组织的所有管理权限。可以访问该组织的用户中心，可切换至该组织的管理中心，并进行组织管理。管理式华为账号访问OrgID。输入账号名和密码，仅支持输入账号名，单击“登录”。成功登录后，根据账号的权限不同，界面的呈现和可执行的操作不同，具体如下：组织管理员：登录后显示用户中心，可切换至组织的管理中心，除不能进行创建组织和解散组织的操作外，其余权限与组织创建者一致。部门管理员：登录后显示用户中心，可切换至组织的管理中心，拥有查看组织信息、管理成员部门、管理应用的操作权限。普通用户：登录后只能访问组织的用户中心，支持的操作可参见用户中心介绍。通过OrgID访问某个注册在OrgID的应用个人华为账号管理式华为账号通过管理员获取某个注册在OrgID的应用URL或者该应用的登录地址。访问该地址，页面显示OrgID登录页。输入账号名及密码，单击“登录”。登录成功后，系统自动回调到应用首页，应用能够获取到用户授权的个人信息。 OrgID会给应用发放授权码，通过授权码，应用获取相关TOKEN，并根据TOKEN调用获取用户信息接口，获取的用户信息。第三方认证源账号通过管理员获取某个注册在OrgID的应用URL或者该应用的登录地址。访问该地址，页面显示OrgID登录页。切换认证源，展示第三方认证源的登录页面。说明：使用第三方认证源账号登录OrgID前，需组织创建者或组织管理员在OrgID中配置第三方认证源，具体请参见认证源管理。输入第三方认证源账号名和密码，单击“登录”。成功登录后显示应用首页。免登录访问用户中心界面的应用或华为云服务个人华为账号管理式华为账号第三方认证源账号访问OrgID。输入账号名及密码，单击“登录”。成功登录后，进入用户中心首页。单击最近使用或者全部应用中的应用/华为云服务，免登录进入该应用/华为云服务系统。该应用/华为云服务会获取到用户授权的个人信息。 -

组织成员帐号 ORGID

组织成员帐号 ORGID-约束与限制

约束与限制 OrgID系统存在如下约束： OrgID默认认证源是华为账号，其账号分为个人账号和管理式账号。管理式账号由管理员创建，只能归属于本组织，登录时只能使用账号名登录，不能使用手机号或者邮箱地址登录。华为账号最多可以创建5个组织，可以申请组织配额，每次申请增加一个组织配额。每个组织支持管理3个域名。单个组织默认可以有200个成员，可以申请组织成员配额，每次申请增加100个成员配额，最大成员数不超过5000。部门最大层级不超过5级，一个组织最多可以有999个部门。 OrgID当前只支持公有云，不支持H CS ，伙伴云。负责业务应用系统的统一认证，但应用的会话（与客户端的会话Session保持）不在OrgID管理范围。

组织成员帐号 ORGID

组织成员帐号 ORGID-权限管理

权限管理 OrgID系统提供权限管理，主要分为四种角色：超级管理员、组织管理员、部门管理员、普通用户。而OrgID云服务开通的相关权限受华为云 IAM 控制， IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见《IAM产品介绍》。表1列出了OrgID常用操作与系统角色的关系，您可以通过该表了解系统角色的操作权限。表1 常用操作与系统角色的关系操作超级管理员组织管理员部门管理员普通用户创建组织 √ × × × 查看组织 √ √ √ × 修改组织信息 √ √ × × 申请配额 √ √ × × 添加域名 √ √ × × 验证域名 √ √ × × 移交组织 √ × × × 解散组织 √ × × × 创建部门 √ √ √ × 编辑部门 √ √ √ × 删除部门 √ √ √ × 查看部门 √ √ √ × 创建成员 √ √ √ × 邀请成员 √ √ √ × 批量导入成员 √ √ √ × 重置成员密码 √ √ √ × 冻结、解冻成员 √ √ √ × 移除成员 √ √ √ × 创建用户组 √ √ × × 编辑用户组 √ √ × × 删除用户组 √ √ × × 查看三方认证用户 √ √ × × 创建应用 √ √ √ × 配置应用 √ √ √ × 删除应用 √ √ √ × 查看应用 √ √ √ × 新增认证源 √ √ × × 更新认证源 √ √ × × 删除认证源 √ √ × × 查看认证源 √ √ × × 添加区域范围 √ √ × × 编辑区域范围 √ √ × × 删除区域范围 √ √ × × 查看区域范围 √ √ × × 查看登录登出日志 √ √ √（只能查看自己的登录登出日志） √（只能查看自己的登录登出日志）查看管理操作日志 √ √ × × 查看数据报表 √ √ × × 导出数据报表 √ √ × × 修改审批状态 √ √ × × 查看角色 √ √ × × 创建角色 √ √ × × 添加角色成员 √ √ × × 添加用户属性配置 √ √ × × 修改用户属性配置 √ √ × ×

组织成员帐号 ORGID

组织成员帐号 ORGID-数据保护技术

数据保护技术通过数据保护手段，保障租户数据可靠性。表1 数据保护手段数据保护手段简要说明传输加密（HTTPS）外部接口支持HTTPS传输协议，保障数据传输的安全性。服务端加密涉及个人数据处理，包括：姓名、手机号码、邮箱等。这些数据在企业工作台内加密存储，避免个人数据的泄露。数据容灾保护租户内的数据，包括RDS（Relational Database Service）、DCS（Distributed Cache Service），启用了定时备份机制，定时全量备份（默认每天）与增量备份（默认5分钟）。同时，RDS、DCS启用了双AZ（Availability Zone）容灾，当一个AZ异常后，可以无缝切换到另一个AZ上继续使用。父主题：安全

组织成员帐号 ORGID

组织成员帐号 ORGID-身份认证与访问控制

身份认证与访问控制身份认证 OrgID提供的身份认证可以分为控制台和云服务两个层面。控制台层面：OrgID与IAM打通，企业租户可以使用华为云用户名与密码登录，实现租户的认证与鉴权，未授权的不能访问。数据业务面：租户管理员添加成员后，成员可以直接登录OrgID数据业务面，使用Huawei ID账号认证，业务鉴权由OrgID提供。访问控制 Token认证：通过Token认证通用请求。关于Token的详细介绍及获取方式，请参见获取IAM用户Token（使用密码）。 AK（Access Key ID）/SK（Secret Access Key）认证：通过AK/SK加密调用请求。推荐使用AK/SK认证，其安全性比Token认证要高。关于访问密钥的详细介绍及获取方式，请参见访问密钥（AK/SK）。父主题：安全

组织成员帐号 ORGID

组织成员帐号 ORGID-产品优势

产品优势 OrgID优势包括终端云积累的用户、华为云高质量的服务体验和政企市场的生态伙伴能力，利用行业aPaaS（基地模式）推广，协同开天aPaaS ，来解决企业用户注册、登录体验和企业内应用账号不统一的痛点问题。基于终端云庞大的Huawei ID的基础，使用Huawei ID认证解决企业用户认证及注册体验的问题。解决企业存在多种认证源，如企业社交认证源、联邦认证源等。内部面向企业的云服务预集成OrgID，如企业工作台。实现Huawei ID与华为云账号的打通，便于企业与华为云市场的集成，实现企业内应用订购。

组织成员帐号 ORGID

组织成员帐号 ORGID-入门指引:账号概念

账号概念 OrgID使用账号分为个人华为账号、管理式华为账号和第三方认证源账号。个人华为账号：是由个人在华为集团账号系统申请获得，包括使用终端设备、华为云渠道、消费者应用等获取。该类账号归属于个人，可以通过邀请方式加入组织，也可以自己开通OrgID并创建组织。管理式华为账号：是由组织的管理员创建生成，该类账号只归属于本组织所有，不可以加入其他组织。第三方认证源账号：是指登录认证由第三方认证源提供，鉴权认证通过后，将登录OrgID进行后续业务操作，具体支持的认证源及认证操作请参见认证源管理。

组织成员帐号 ORGID

组织成员帐号 ORGID-使用管理式华为账号登录OrgID:步骤二：登录OrgID

步骤二：登录OrgID 成员访问OrgID。输入管理式华为账号的账号名和密码。管理式华为账号登录仅支持输入账号名（xxxx@域名），首次登录需修改密码。单击“登录”。成功登录后，根据账号的权限不同，界面的呈现和可执行的操作不同，具体如下：组织管理员：登录后显示用户中心，可切换至组织的管理中心，除不能进行创建组织和解散组织的操作外，其余权限与组织创建者一致。部门管理员：登录后显示用户中心，可切换至组织的管理中心，拥有查看组织信息、管理成员部门、管理应用的操作权限。普通用户：登录后只能访问组织的用户中心，具体请参见用户中心介绍。

组织成员帐号 ORGID

组织成员帐号 ORGID-快速开始:操作步骤

操作步骤开通OrgID并创建组织开通OrgID。创建组织。添加部门及成员（可选）添加部门，完善组织架构。添加成员创建成员，添加只属于该组织的成员。邀请成员，将已拥有个人华为账号的成员添加进组织。创建并授权应用创建自建应用，使用OAuth2方式进行认证集成，并为成员授权，具体操作请参见创建自建应用。授权后，成员可访问该应用。应用创建后，在“通用配置”页面获取Client_id、ClientSecret，如图1所示。图1 接口认证凭证在“登录配置”页面复制该应用的首页URL，如图2所示，并在应用的“登录配置”页面的首页URL地址中获取code（基于OAuth协议，OrgID给用户颁发的code）。图2 首页URL 应用侧登录对接OrgID 调用获取AccessToken接口，使用code获取access_token，接口Body参数如表1所示。表1 Body参数说明参数名称说明 grant_type 授权方式。该参数为固定值authorization_code。 code 授权码。使用3.c中获取的code。 client_id 创建应用后OrgID提供的client_id。使用3.b中获取的client_id。 client_secret 创建应用后OrgID提供的client_secret。使用3.b中获取的client_secret。 redirect_uri 配置code的接收地址，即创建自建应用时配置的首页URL。调用获取用户信息接口，根据access_token获取登录用户的用户信息，其中接口Body的Authorization参数为4.a获取的access_Token。调用/oauth/logout接口登出OrgID和应用，需要带上service参数（应用的登出地址），OrgID登出后会重定向到service地址。调用/oauth/logout接口需在前端调用，在前端进行重定向至应用登出地址。

组织成员帐号 ORGID

组织成员帐号 ORGID-总体开发思路

总体开发思路应用对接OrgID登录功能的工作流程如下：开通OrgID并创建组织开通OrgID并创建组织，以组织为单位对组织的成员、成员账号及应用进行管理。添加部门及成员通过添加部门，完善组织架构；通过创建成员添加只属于该组织的成员，也可以邀请成员，将已拥有个人华为账号的成员添加进组织。创建并授权应用添加自建应用并为成员授权。应用侧登录对接OrgID 在应用侧使用接口对接OrgID登录功能。

组织成员帐号 ORGID

组织成员帐号 ORGID-获取用户信息:响应示例

响应示例状态码： 200 正常响应。 { "tenant_name": "801test", "role": "admin", "user_id": "1008600000169057387", "user_name": "hid_u_-9utkbz24lphe", "name": "138******37", "mobile": "008613800000037", "tenant": "9190086000000010904", "employee_code": "00001" }

组织成员帐号 ORGID 基于OAuth的应用认证集成

组织成员帐号 ORGID-获取用户信息:响应参数

响应参数状态码： 200 表2 响应Body参数参数参数类型描述 tenant_name String 租户名称。 tenant String 租户code，即企业code。 name String 用户名。 mobile String 手机号。 user_name String 用户登录账号。 user_id String 用户外部id。 employee_code String 成员工号。 role String 角色，枚举：user或admin。状态码： 400 表3 响应Body参数参数参数类型描述 error_code String 错误码。 error_msg String 错误描述。 error String 错误码（兼容原开放接口字段）。 error_description String 错误描述（兼容原开放接口字段）。状态码： 401 表4 响应Body参数参数参数类型描述 error_code String 错误码。 error_msg String 错误描述。 error String 错误码（兼容原开放接口字段）。 error_description String 错误描述（兼容原开放接口字段）。状态码： 500 表5 响应Body参数参数参数类型描述 error_code String 错误码。 error_msg String 错误描述。 error String 错误码（兼容原开放接口字段）。 error_description String 错误描述（兼容原开放接口字段）。

组织成员帐号 ORGID 基于OAuth的应用认证集成

组织成员帐号 ORGID-构造请求:请求URI

请求URI 请求URI由如下部分组成： {URI-scheme}://{domain_name}/{resource-path}?{query-string} 尽管请求URI包含在请求消息头中，但大多数语言或框架都要求您从请求消息中单独传递它，所以在此单独强调。表1 请求URI 参数说明 URI-scheme 表示用于传输请求的协议，当前所有API均采用HTTPS协议。 domain_name 使用OrgID的公网访问域名，OrgID的公网访问域名为“orgid.huaweiapaas.cn”。 resource-path 资源路径，也即API访问路径。从具体API的URI模块获取，例如“获取Access Token”API的resource-path为“/orgid/openapi/v1/oauth2/token”，其中“/orgid/openapi”可省略。 query-string 查询参数，是可选部分，并不是每个API都有查询参数。查询参数前面需要带一个“?”，形式为“参数名=参数取值”，例如“?limit=10”，表示查询不超过10条数据。例如您需要获取用户访问OrgID的Access Token，则需使用OrgID的公网访问域名（orgid.huaweiapaas.cn），并在获取Access Token的URI部分找到resource-path（/orgid/openapi/v1/oauth2/token），拼接起来如下所示。 https://orgid.huaweiapaas.cn/orgid/openapi/v1/oauth2/token 图1 URI示意图为查看方便，在每个具体API的URI部分，只给出resource-path部分，并将请求方法写在一起。这是因为URI-scheme都是HTTPS，而domain_name在同一个区域也相同，所以简洁起见将这两部分省略。

组织成员帐号 ORGID

组织成员帐号 ORGID-构造请求:请求消息头

请求消息头附加请求头字段，如指定的URI和HTTP方法所要求的字段。例如定义消息体类型的请求头“Content-Type”，请求鉴权信息等。需要添加到请求中的公共消息头如表3所示。表3 公共请求消息头参数名说明是否必选示例 Content-type 消息体的类型（格式），默认取值为“application/x-www-form-urlencoded”。是 application/x-www-form-urlencoded 对于获取Access Token接口，由于不需要认证，所以只添加“Content-Type”即可，添加消息头后的请求如下所示。 POST https://orgid.huaweiapaas.cn/orgid/openapi/v1/oauth2/token Content-Type: application/x-www-form-urlencoded

组织成员帐号 ORGID

云服务器内容精选

组织成员帐号 ORGID

7*24

备案

专业服务

退订

建议反馈

售前咨询热线