华为云用户手册

安全与合规 服务 作用范围 系统权限 权限类别 权限描述 DDoS防护（Anti-DDoS、AAD） （项目级服务） 区域级项目 Anti-DDoS Administrator 角色 Anti-DDoS流量清洗的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 CAD Administrator DDoS高防服务 的所有执行权限。 DDoS防护（CNAD） （全局服务） 全局服务 CNAD FullAccess 策略 DDoS原生专业防护所有权限。 CNAD ReadOnlyAccess DDoS原生专业防护只读权限。 漏洞扫描服务 （VSS） （项目级服务） 区域级项目 VSS Administrator 角色 漏洞扫描 服务的所有执行权限。 主机安全服务（HSS） （项目级服务） 区域级项目 HSS Administrator 角色 企业主机安全 的所有执行权限。 HSS FullAccess 策略 企业主机安全服务所有权限。 HSS ReadOnlyAccess 企业主机安全服务的只读访问权限。 数据库安全服务（DBSS） （项目级服务） 区域级项目 DBSS System Administrator 角色 数据库安全服务的所有执行权限。 DBSS Audit Administrator 数据库安全服务的安全审计权限。 DBSS Security Administrator 数据库安全服务的安全防护权限。 DBSS FullAccess 策略 数据库安全服务所有权限。 DBSS ReadOnlyAccess 数据库安全服务只读权限，拥有该权限的用户仅能查看数据库安全服务，不具备服务配置权限。 数据加密 服务（DEW）（项目级服务） 区域级项目 KMS Administrator 角色 数据加密服务加密密钥的管理员权限。 KMS CMKFullAccess 策略 数据加密服务加密密钥所有权限。 DEW KeypairFullAccess 数据加密服务密钥对所有权限。 DEW KeypairReadOnlyAccess 数据加密服务密钥对查看权限。 CS MS FullAccess 凭据管理服务所有权限。 C SMS ReadOnlyAccess 凭据管理服务凭据只读权限。 Web应用防火墙 （WAF） （项目级服务） 区域级项目 WAF Administrator 角色 Web应用防火墙的所有执行权限。 该角色有依赖，需要在全局项目中勾选Tenant Guest角色、在同项目中勾选Server Administrator角色。 WAF FullAccess 策略 Web应用防火墙服务的所有权限。 WAF ReadOnlyAccess Web应用防火墙服务的只读访问权限。 云防火墙 （CFW） （项目级服务） 区域级项目 CFW FullAccess 策略 云防火墙服务所有权限。 CFW ReadOnlyAccess 云防火墙服务只读权限。 SSL证书管理（SCM） （全局级服务） (SCM已合并到 云证书管理服务 CCM) 全局服务 SCM Administrator 角色 SSL证书管理服务的管理员权限，拥有服务的所有权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator SCMFullAccess 策略 SSL证书管理服务的所有权限。 SCMReadOnlyAccess SSL证书管理服务只读权限，拥有该权限的用户仅能查询证书信息，不具备对证书进行增删改权限。 容器安全服务 （CGS） （项目级服务） 区域级项目 CGS FullAccess 策略 容器安全 服务所有权限。 CGS ReadOnlyAccess 容器安全服务只读访问权限，拥有该权限的用户仅能查看容器安全服务。 CGS Administrator 角色 容器安全服务（CGS）管理员，拥有该服务下的所有权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 态势感知 （SA） （全局级服务） 全局服务 SA FullAccess 策略 态势感知的所有权限。 SA ReadOnlyAccess 态势感知只读权限，拥有该权限的用户仅能查看态势感知数据，不具备态势感知配置权限。 云堡垒机 （CBH） （项目级服务） 区域级项目 CBH FullAccess 策略 云 堡垒机 实例的所有权限。 CBH ReadOnlyAccess 云堡垒机实例只读权限，拥有该权限的用户仅能查看云堡垒机服务，不具备服务配置和操作权限。 数据安全中心 （DSC） （项目级服务） 区域级项目 DSC FullAccess 策略 数据安全中心服务所有权限。 DSC ReadOnlyAccess 数据安全中心服务只读权限。 DSC DashboardReadOnlyAccess 数据安全中心服务大屏服务只读权限。 数据库和应用迁移（UGO） （项目级服务） 区域级项目 UGO FullAccess 策略 数据库和应用迁移服务所有权限。 UGO ReadOnlyAccess 数据库和应用迁移服务只读权限。 UGO CommonOperations 数据库和应用迁移服务SQL语句转换权限。

容器 服务 作用范围 系统权限 权限类别 权限描述 云容器引擎（CCE） （项目级服务） 区域级项目 CCEFullAccess 策略 云容器引擎服务集群资源的普通操作权限（包含集群创建、删除、更新等）。不包括集群（启用Kubernetes RBAC鉴权）命名空间权限以及委托授权、生成集群证书等管理员权限。 说明： IAM 用户可以在CCE控制台获取集群（启用Kubernetes RBAC鉴权）命名空间权限以及委托授权、生成集群证书等管理员权限，详情请参考：CCE权限概述。 CCEReadOnlyAccess 云容器引擎服务集群资源的普通只读权限，不包括集群（启用Kubernetes RBAC鉴权）命名空间权限。 CCE Administrator 角色 具有CCE集群及集群下所有资源（包含工作负载、服务等）的读写权限。 该角色有依赖，需要同时又拥有以下权限： 全局服务：OBS Buckets Viewer。 区域级项目（在同项目中勾选）：Tenant Guest、Server Administrator、ELB Administrator、SFS Administrator、SWR Admin、 APM FullAccess。 说明： 如果同时拥有NAT Gateway Administrator权限，则可以在集群中使用NAT网关的相关功能。 云容器实例（CCI） （项目级服务） 区域级项目 CCI FullAccess 策略 云容器实例所有权限，拥有该权限的用户可以执行云容器实例所有资源的创建、删除、查询、更新操作。 CCI ReadOnlyAccess 云容器实例只读权限，拥有该权限的用户仅能查看云容器实例资源。 CCI CommonOperations 云容器实例普通用户，拥有该权限的用户可以执行除RBAC、network和namespace子资源创建、删除、修改之外的所有操作。 CCI Administrator 角色 云容器实例管理员权限，拥有该权限的用户可以执行云容器实例所有资源的创建、删除、查询、更新操作。 容器镜像服务 （SWR） （项目级服务） 区域级项目 SWR Admin 角色 容器 镜像服务 的所有执行权限。 SWR FullAccess 策略 容器镜像服务企业版所有权限。 SWR ReadOnlyAccess 容器镜像服务企业版只读权限，可以查询制品仓库、Chart，创建临时凭证，下载制品等。 SWR OperateAccess 容器镜像服务企业版操作权限，可以查询企业版实例，操作制品仓库、组织，创建临时凭证，上传、下载制品等。 基因容器（GCS） （项目级服务） 区域级项目 GCS Administrator 角色 基因容器服务管理员。 GCS FullAccess 策略 基因容器服务的所有执行权限。 GCS ReadOnlyAccess 基因容器服务的只读权限。 GCS CommonOperations 基因容器服务的使用权限。 应用编排服务 （AOS） （项目级服务） 区域级项目 CDE Admin 角色 应用编排服务（AOS）管理员，拥有该服务下的所有权限。 CDE Developer 应用编排服务（AOS）开发者。 RF FullAccess 策略 资源编排 服务（RF）所有权限。 RF ReadOnlyAccess 资源编排服务（RF）只读权限。 RF DeployByExecutionPlanOperations 资源编排服务（RF）通过执行计划开发权限，拥有执行计划的创建、执行、读取权限和堆栈的读取权限。 华为云UCS （全局级服务） 全局服务 UCS FullAccess 策略 UCS服务管理员权限，拥有该权限的用户拥有服务的所有权限（包含制定权限策略、安全策略等）。 UCS CommonOperations UCS服务基本操作权限，拥有该权限的用户可以执行创建工作负载、流量分发等操作。 UCS CIAOperations UCS服务容器智能分析管理员权限。 UCS ReadOnlyAccess UCS服务只读权限（除容器智能分析只读权限）。

网络 服务 作用范围 系统权限 权限类别 权限描述 虚拟私有云（VPC） （项目级服务） 区域级项目 VPCFullAccess 策略 虚拟私有云的所有执行权限。 VPCReadOnlyAccess 虚拟私有云的只读权限。 VPC Administrator 角色 虚拟私有云的部分操作权限，不包括创建、修改、删除、查看安全组以及安全组规则。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 Server Administrator 对弹性IP地址、安全组、端口进行任意操作。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 弹性负载均衡（ELB） （项目级服务） 区域级项目 ELBFullAccess 策略 弹性负载均衡的所有执行权限。 ELBReadOnlyAccess 弹性负载均衡的只读权限。 ELB Administrator 角色 弹性负载均衡的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 NAT网关（NAT） （项目级服务） 区域级项目 NATFullAccess 策略 NAT网关的所有执行权限。 NATReadOnlyAccess NAT网关的只读权限。 NAT Gateway Administrator 角色 NAT网关的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 云专线（DC） （项目级服务） 区域级项目 Direct Connect Administrator 角色 云专线服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 DCaaS Partner 云专线服务的合作伙伴用户权限，支持为其他用户创建托管和标准连接。 DCAAS FullAccess 策略 云专线服务所有权限。 DCAAS ReadOnlyAccess 云专线服务只读权限。 虚拟专用网络 （VPN） （项目级服务） 区域级项目 VPN Administrator 角色 虚拟专用网络的管理员权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 VPN FullAccess 策略 虚拟专用网络服务所有权限。 VPN ReadOnlyAccess 虚拟专用网络服务只读权限。 云解析服务（DNS） （项目级服务） 区域级项目 DNS Administrator 角色 云解析服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 DNS FullAccess 策略 云解析服务的所有执行权限。 DNS ReadOnlyAccess 云解析服务只读权限，拥有该权限的用户仅能查看DNS的资源。 VPC终端节点 （VPCEP） （项目级服务） 区域级项目 VPCEndpoint Administrator 角色 VPC终端节点的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Server Administrator、VPC Administrator和DNS Administrator。 云连接（CC） （全局级服务） 全局服务 Cross Connect Administrator 角色 云连接服务的管理员权限，拥有该权限的用户拥有云连接服务所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 CC FullAccess 策略 云连接服务所有权限。 CC ReadOnlyAccess 云连接服务只读权限。 CC Network Depend QueryAccess 云连接服务依赖的只读权限。 企业路由器（ER） （项目级服务） 区域级项目 ER FullAccess 策略 企业路由器所有权限。 ER ReadOnlyAccess 企业路由器只读权限。

存储 服务 作用范围 系统权限 权限类别 权限描述 对象存储服务 （OBS） （全局级服务） 全局服务 OBSOperateAccess 策略 拥有该权限的用户可以执行OBS ReadOnlyAccess的所有操作，在此基础上还可以执行上传对象、下载对象、删除对象、获取对象ACL等对象基本操作。 OBSReadOnlyAccess 拥有该权限的用户可以执行列举桶、获取桶基本信息、获取桶元数据、列举对象的操作。 OBS Buckets Viewer 角色 拥有该权限的用户可以执行列举桶、获取桶基本信息、获取桶元数据的操作。 云硬盘（EVS） （项目级服务） 区域级项目 EVSFullAccess 策略 云硬盘的所有权限，具有云硬盘资源的创建、扩容、挂载、卸载、查询、删除等操作权限。 EVSReadOnlyAccess 云硬盘的只读权限，只有云硬盘资源的查询权限。 Server Administrator 角色 云硬盘服务的所有执行权限。 云备份（CBR） （项目级服务） 区域级项目 CBRFullAccess 策略 云备份管理员权限，拥有该权限的用户可以操作并使用所有存储库和策略。 CBRBackupsAndVaultsFullAccess 云备份普通用户权限，拥有该权限的用户可以创建、查看和删除存储库等。 CBRReadOnlyAccess 云备份只读权限，拥有该权限的用户仅能查看云备份数据。 内容分发网络（CDN） （全局级服务） 全局服务 CDNDomainReadOnlyAccess 策略 内容分发网络加速 域名 信息的只读权限。 CDNStatisticsReadOnlyAccess 内容分发网络统计信息的只读权限。 CDNLogsReadOnlyAccess 内容分发网络日志的只读权限。 CDNDomainConfigureAccess 内容分发网络加速域名的配置权限。 CDN RefreshAndPreheatAccess 内容分发网络刷新预热权限。 CDN Administrator 角色 内容分发网络的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 存储容灾服务（SDRS） （项目级服务） 区域级项目 SDRS Administrator 角色 存储容灾服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 弹性文件服务（SFS） （项目级服务） 区域级项目 SFSFullAccess 策略 弹性文件服务的所有执行权限。 SFSReadOnlyAccess 弹性文件服务的只读权限。 SFS Turbo FullAccess 弹性文件服务SFS Turbo的所有权限。 SFS Turbo ReadOnlyAccess 弹性文件服务SFS Turbo的只读权限。 SFS Administrator 角色 弹性文件服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 云服务器备份（CSBS） （项目级服务） 区域级项目 CSBS Administrator 角色 云服务器备份的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Server Administrator。 云硬盘备份（VBS） （项目级服务） 区域级项目 VBS Administrator 角色 云硬盘备份的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。

计算 服务 作用范围 系统权限 权限类别 权限描述 弹性云服务器（ECS） （项目级服务） 区域级项目 ECSFullAccess 策略 弹性云服务器的所有执行权限。 ECSReadOnlyAccess 弹性云服务器的只读权限。 ECSCommonOperations 开机、关机、重启、查询弹性云服务器。 Server Administrator 角色 弹性云服务器的所有执行权限，该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 如果在操作过程中涉及其他服务资源的创建、删除、变更等，则还需要在同项目中勾选对应服务的Administrator权限。 例如：在控制台创建ECS时如需创建新的VPC，则需额外授予创建VPC的VPC Administrator权限。 裸金属服务器（BMS） （项目级服务) 区域级项目 BMSFullAccess 策略 裸金属服务器的所有执行权限。 BMSReadOnlyAccess 裸金属服务器的只读权限。 BMSCommonOperations 开机、关机、重启、查询裸金属服务器。 弹性伸缩（AS） （项目级服务） 区域级项目 AutoScalingFullAccess 策略 弹性伸缩全部资源的所有执行权限。 AutoScalingReadOnlyAccess 弹性伸缩全部资源的只读权限。 AutoScaling Administrator 角色 对弹性伸缩全部资源的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：ELB Administrator、 CES Administrator、Server Administrator、Tenant Administrator。 镜像服务（IMS） （项目级服务） 区域级项目 IMSFullAccess 策略 镜像服务的所有执行权限。 IMSReadOnlyAccess 镜像服务的只读权限。 IMS Administrator 角色 镜像服务的所有执行权限。 该角色有依赖，需要勾选依赖的角色：Tenant Administrator。 Server Administrator 创建、删除、查询、修改及上传镜像，该角色有依赖，需要在同项目中勾选依赖的角色：IMS Administrator 函数工作流 （FunctionGraph） （项目级服务） 区域级项目 FunctionGraph FullAccess 策略 FunctionGraph服务的所有执行权限。 FunctionGraph ReadOnlyAccess FunctionGraph服务的只读权限。 FunctionGraph CommonOperations FunctionGraph服务的操作权限，包括查询函数和触发器以及调用函数。 FunctionGraph Administrator 角色 FunctionGraph函数工作流、触发器的管理权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 FunctionGraph Invoker FunctionGraph函数工作流、触发器的查询权限。 云手机服务器（CPH） （项目级服务） 区域级项目 CPH Administrator 角色 云手机的所有执行权限。 CPH User 云手机的只读权限。 专属主机（DeH） （项目级服务） 区域级项目 DeH FullAccess 策略 专属主机所有执行权限。 DeH CommonOperations 专属主机基本操作权限。 DeH ReadOnlyAccess 专属主机只读权限，拥有该权限的用户仅能进行查询操作，可用于统计和调查。

BASE 服务 作用范围 系统权限 权限类别 权限描述 BASE 全局服务 FullAccess 策略 基于策略授权的所有服务的所有权限。 所有项目 Tenant Guest 角色 除 统一身份认证 服务外，其他所有服务的只读权限。 说明： 作用范围为全局服务，授权将对除IAM外的全局服务生效，用户将拥有OBS、CDN等全局服务的只读权限。 作用范围为所有项目，授权将对除IAM外的全局服务和所有项目（包括未来创建的项目）生效，用户将拥有除IAM外，所有项目下所有服务的只读权限。 作用范围为指定项目，授权仅对指定项目生效，用户将拥有指定项目下，ECS、BMS等所有项目级服务的只读权限。 费用中心涉及敏感信息，如需查看费用中心，则需要单独配置业务支撑系统（BSS）相关权限。 所有项目 Tenant Administrator 除统一身份认证服务外，其他所有服务的管理员权限。 说明： 作用范围为全局服务，授权将对除IAM外的全局服务生效，用户将拥有OBS、CDN等所有全局服务的管理员权限。 作用范围为所有项目，授权将对除IAM外的全局服务和所有项目（包括未来创建的项目）生效，用户将拥有除IAM外，所有项目下所有服务的管理员权限。 作用范围为指定项目，授权仅对指定项目生效，用户将拥有指定项目下，ECS、BMS等所有项目级服务的管理员权限。 全局服务 Agent Operator 切换角色并访问委托方账号中的资源。

如何选择接口 不同接口的适用场景及功能存在差异，您可以根据业务需要选择接口产品。 表1 场景说明 接口名称 兼容接口 使用场景 说明 GeminiDB Redis接口 兼容Key-Value接口：Redis GeminiDB提供高并发、低延迟业务访问。具备极致弹性扩缩容能力，从容应对业务高峰。常见的用户场景包括游戏、广告RTA、推荐系统、电商、教育等。 GeminiDB Redis是一款100%兼容Redis协议的弹性KV数据库，支持远超内存的容量和极致的性能。它具有稳定低延迟、高性价比、无需备节点，全主架构、具备4:1超高数据压缩等优势，支持Hash Field过期、布隆过滤器、数据极速导入、内存加速等企业级特性。 GeminiDB Influx接口 兼容时间序列型接口：InfluxDB GeminiDB Influx接口广泛应用于资源监控，业务监控分析，物联网设备实时监控，工业生产监控，生产质量评估和故障回溯等。 GeminiDB Influx 接口是一款基于华为自研的计算存储分离架构，兼容InfluxDB生态的云原生NoSQL 时序数据库 。提供大并发的时序数据读写，压缩存储和类SQL查询，并且支持多维聚合计算和 数据可视化 分析能力。具有高写入、灵活弹性、高压缩率和高查询等特点。 GeminiDB Cassandra接口 兼容宽列接口：Cassandra，DynamoDB GeminiDB Cassandra接口支持TB级别存储及近百万级QPS，提供强一致性级别，可适配各类应用场景，尤其是大规模集群部署：例如工业制造和气象业、互联网等海量数据存储的场景。 GeminiDB Cassandra 接口 是一款基于华为自研的计算存储分离架构，兼容Cassandra生态的云原生NoSQL数据库，支持类SQL语法CQL。具有安全可靠、超强读写、弹性扩展、便捷管理等特点。 GeminiDB Mongo接口 兼容文档型接口：MongoDB GeminiDB Mongo接口近百万级QPS，开源3倍性能提升，支持存海量文档、图片、IoT/车联网数据、社交视频/语音等，适用于互联网、物联网、游戏、金融等领域。 GeminiDB Mongo 接口是一款基于华为自研的计算存储分离架构，兼容MongoDB生态的云原生NoSQL数据库。具有企业级性能、灵活弹性、高可靠、可视化管理等特点。

GeminiDB Influx内核版本发布说明 本章节介绍GeminiDB Influx的内核版本更新说明。 表1 GeminiDB Influx版本说明 版本 日期 特性描述 1.8 2024-2-30 新特性及性能优化： 支持IPv6 2023-7-30 新特性及性能优化： 支持latest函数 1.7 2023-06-30 新特性及性能优化： 单节点实例支持选购冷存储，通过极简配置实现冷热数据分离，从而降低存储成本。 当单节点实例申请的冷存储空间不能满足业务需求时，支持扩容冷存储。 事件监控提供了事件类型数据上报、查询和告警的功能。 2023-04-30 新特性及性能优化： 云数据库 GeminiDB管理控制台购买InfluxDB单节点的数据库实例。 2023-03-30 新特性及性能优化： 支持操作系统更新，以提高数据库性能和数据库的整体安全状况。 2022-01-30 新特性及性能优化： 支持批量续费、退订、按需计费转包年/包月、包年/包月转按需计费操作。 2021-07-30 新特性及性能优化： 支持选购冷存储，通过极简配置实现冷热数据分离，从而降低存储成本。 当实例申请的冷存储空间不能满足业务需求时，支持扩容冷存储。 2021-06-30 新特性及性能优化： 购买集群实例时，实例名称支持中文。 支持修改安全组。 2021-04-30 新特性及性能优化： 支持数据备份和恢复，以保证数据可靠性。 2021-01-30 新特性及性能优化： 支持通过实例操作列执行规格变更、添加节点和磁盘扩容操作。 2020-11-30 新特性及性能优化： 支持实例添加节点，满足业务需求。 支持修改用户创建的数据库参数模板中的参数值，确保数据库实例发挥出最优性能。 2020-10-30 新特性及性能优化： 扩容磁盘支持每次至少选择1GB扩容量。 2020-09-30 新特性及性能优化： 如果资源配额限制无法满足使用需要时，支持申请扩大配额。 根据可能需要支持重启数据库实例。 2020-08-30 新特性及性能优化： 以方便区分和识别实例，支持修改数据库实例名称。 支持将删除的实例，加入回收站管理，可以在回收站中重建实例恢复数据。 支持包周期计费模式。 支持查看实例的各项监控指标。 2020-07-30 新特性及性能优化： 支持通过公网方式连接实例。 支持跨AZ级容灾。 父主题： 版本发布说明

GeminiDB Redis内核版本发布说明 本章节介绍GeminiDB Redis的内核版本更新说明。如需查看不同版本所支持redis的命令，请参考命令兼容列表 。 表1 GeminiDB Redis版本说明 版本 日期 特性描述 6.2 2024-06-30 新特性及性能优化： 新增SINTERCARD命令支持。 优化pipeline的性能。 新增LMPOP命令支持。 优化连接的开销。 6.2 2024-05-30 新特性及性能优化： 新增DB映射能力。 优化内存加速的整体性能。 新增数据快速恢复能力。 优化内存加速对DDL语句的支持。 6.2 2024-04-30 新特性及性能优化： 新增SCRIPT FLUSH命令对SYNC/ASYNC参数的支持。 优化布隆过滤器的性能。 新增BF.CARD命令支持。 优化EXISTS命令在BITMAP类型上的实现。 新增STRALGO命令支持。 优化FASTLOAD功能的性能。 优化阻塞命令的性能和稳定性。 新增指定Partition执行SCAN命令的能力。 新增内存加速功能。 问题修复： 修复部分命令重命名时可能出现的问题。 6.2 2024-02-30 新特性及性能优化： 全面兼容开源6.2版本。 新增支持从RDB格式文件离线导入数据的功能。 优化ZRANGE命令的性能。 问题修复： 修复HASH类型处理FIELD过期的性能问题。 5.0 2023-12-30 新特性及性能优化： 优化数据迁移的性能和稳定性。 新增COPY命令支持。 新增LUA脚本内容获取的能力。 新增MOVE命令对EXHASH类型的支持。 新增支持IPv6的能力。 问题修复： 修复KEYSCAN命令的性能问题。 5.0 2023-11-30 新特性及性能优化： 新增热key统计能力。 优化高性能内存查询引擎对ZSET类型的支持。 优化高性能内存查询引擎对MOVE命令的兼容性。 问题修复： 修复RANDOMKEY命令可能返回nil的问题。 5.0 2023-10-30 新特性及性能优化： 优化高性能内存查询引擎对ZSET/SET类型的支持。 优化SET类型部分命令的性能。 问题修复： 修复LIST类型并发访问时可能出现的问题。 修复SET类型Restore命令可能写入错误的问题。 修复bigkeys/dbsize sync命令在大key数量较多时的问题。 5.0 2023-09-30 新特性及性能优化： 优化主备版性能。 优化LUA脚本执行的性能。 5.0 2023-08-01 新特性及性能优化： 优化阻塞命令的兼容性。 新增Key熔断功能。 优化内存查询引擎的性能 优化Role/Command/Touch命令的兼容性。 新增跨链接SCAN的能力。 新增ACL鉴权直达DB的能力。 新增禁用全部命令的功能。 支持OPS执行重启实例的功能。 问题修复： 修复阻塞命令可能报错的问题。 修复单机版在事务中执行Select命令可能出现错误的问题。 5.0 2023-06-30 新特性及性能优化： 新增Renamenx命令。 新增在事务中执行Select命令。 新增Hyerloglog编码, 完全兼容开源实现，并支持数据互迁。 新增Role命令支持。 新增Command Help命令支持。 新增跨链接Scan能力的支持。 问题修复： 修复小规格下Client命令潜在的问题。 修复Pfadd命令的返回值不兼容问题。 修复ZSET类型处理正负无穷时可能出错的问题。 2023-05-30 新特性及性能优化： 新增新的Bitmap类型编码, 提高Setbit/Getbit命令的性能。 新增Getex/Getdel/Lpos/Lmove命令的支持。 新增Set命令的Get/Exat/Pxat选项。 优化审计日志功能。 问题修复： 修复数据迁出可能出现的问题。 2023-04-30 新特性及性能优化： 新增SSL与非SSL连接并存的能力。 新增支持Sscan/Hscan/Zscan跨链接访问的能力。 问题修复： 修复SSL场景下可能导致Proxy阻塞的问题。 2023-02-28 新特性及性能优化： 新增高性能内存查询引擎，加速ZSET类型的读操作。 优化数据迁移的配置参数。 2023-01-30 问题修复： 修复LIST类型Restore命令可能写入错误的问题。 2022-12-30 新特性及性能优化： 新增STREAM类型Xread命令的Block选项。 优化Info命令的兼容性。 问题修复： 修复SSL场景下可能导致Proxy阻塞的问题。 2022-11-30 新特性及性能优化： 优化小规格实例的性能和稳定性。 问题修复： 修复Bloom Fitler类型无法数据迁移的问题。 2022-10-30 新特性及性能优化： 新增ACL只读账户的特性。 新增增量迁出能力。 新增免密白名单。 新增存储层加密。 新增Bigkeys命令，查询数据库中存在的大Key。 新增Restore命令支持全部类型数据结构。 优化Client Kill命令的兼容性支持。 2022-09-30 新特性及性能优化： 新增Georaduis_ro, Georadiusbymember_ro命令的支持。 新增Client Id/Info/Getname/Setname命令的支持。 新增大Key审计日志的能力。 降低CPU的消耗。 优化Dump命令的兼容性。 优化对Cluster/Sentinel SDK相关的兼容性。 问题修复： 修复Bloom Filter在异常场景下可能出现的问题。 修复Scan类命令处理特殊字符可能出现的问题。 2022-08-30 新特性及性能优化： 新增Keys命令的支持。 新增Notify Expire的支持。 问题修复： 修复阻塞命令Timeout参数可能出现的溢出问题。 2022-07-30 新特性及性能优化： 新增Bloom Fitler相关命令的支持。 新增Lpop/Rpop命令的Count选项支持。 2022-06-30 新特性及性能优化： 新增Dump命令的支持。 新增Key-notify功能的支持。 2022-05-30 新特性及性能优化： 新增多DB支持, 支持Select命令。 新增允许在只读模式下执行删除类命令。 优化Cluster-redis SDK相关的兼容性。 优化Info命令的兼容性。 问题修复： 修复Script Kill命令的提示信息兼容性问题。 2022-04-30 新特性及性能优化： 新增Unlink命令支持。 新增LIST类型阻塞命令的支持。 优化Scan命令前缀匹配模式的性能。 问题修复： 修复事务相关的若干问题。 2022-03-30 新特性及性能优化： 优化ZSET相关命令的性能。 优化Rename性能。 2022-02-28 新特性及性能优化： 新增Command命令支持。 2022-01-30 新特性及性能优化： 新增Rename命令支持。 新增事务相关的命令支持。 新增Client List命令的支持。 新增审计日志功能。 新增防暴力破解能力。 优化内部故障探测时间，缩短RTO。 问题修复： 修复Del命令和Exists命令的兼容性问题。 修复鉴权失败场景下可能出现的回包错误。 2021-12-30 新特性及性能优化： 新增LUA脚本相关命令支持。 新增SSL连接加密功能。 新增慢日志查询功能。 新增Info Cluster命令的支持，支持Spark接入。 问题修复： 修复Expire命令和Incr命令可能出现的整型溢出问题。 修复Scan命令对于包含特殊字符的Key处理错误的问题。 2021-11-30 新特性及性能优化： 优化计算层数据压缩中压缩、解压的效率。 优化内部集群故障接管场景的RTO。 问题修复： 修复GEO, STREAM类型命令的兼容性问题。 修复Scan命令可能无法扫全数据的问题。 2021-10-30 新特性及性能优化： 优化Flushall的性能。 问题修复： 修复使用Linsert插入元素时元素乱序的问题。 2021-09-30 新特性及性能优化： 新增对Redis-cluster SDK的兼容。 2021-08-30 新特性及性能优化： 新增对2U规格的支持。 优化内部的锁的范围。 问题修复： 修复Xread命令的兼容性问题。 2021-07-30 新特性及性能优化： 新增Time命令。 新增对Pipeline的支持。 问题修复： 修复Geoadd命令没有校验经纬度的问题。 修复Zscan可能出现的死循环问题。 2021-06-30 新特性及性能优化： 新增实例只读模式。 新增计算层数据压缩。 新增客户端连接超时检查。 优化慢日志的打印逻辑。 问题修复： 修复Sdiff命令可能落在错误分区的问题。 父主题： 版本发布说明

GeminiDB Redis各版本的生命周期规划 在正式EOM/EOS前会发布公告，在此期间客户可以通过 数据复制服务 将版本在EOS之前切换到高版本。 EOM：End of Marketing，停止该版本的销售。 EOS：End of Service & support，停止该版本的服务，建议您在执行作业时选择最新版本的引擎。在该日期之后，不再提供该软件版本的任何技术服务支持。 表1 GeminiDB Redis各版本生命周期规划表 版本 当前状态 华为云商用时间 计划EOM时间 计划EOS时间 5.0 已商用 2021年6月 2026年12月 2027年12月 6.2 已商用 2024年3月 2027年12月 2028年12月 7.0 公测中，参考命令兼容列表 规划中 规划中 规划中

划拨信用额度 企业主子账号支持财务托管/财务独立关联模式后，新增的企业主账号，选择财务独立模式关联企业子账号，并给子账号划拨信用额度，企业主、子账号将分别对各自的信用消费进行还款，不再由企业主统一还款。 进入“资金拨款与开票”页面。 选择主账号下需要划拨资金的子账号。 单击操作列的“拨款”。 进入“拨款”页面。 单击“信用额度”选项框。 进入“信用额度”页面。 设置拨款额度，单击“确定”。 系统提示“资金安全验证”弹窗。 拨款额度不能大于可拨款额度。 进行身份二次验证。 选择验证方式。 单击“获取验证码”后，在输入框中填写正确的验证码。 单击“确定”。 系统提示提交操作成功信息。 进入企业中心“总览”页面，可以开通或关闭资金安全验证功能。如您已经在“总览”页面打开开关才会执行该步骤，如未开启，则不需要。开通或关闭该功能，请参考设置资金安全。 单击“继续拨款”进入“拨款”页面或单击“返回拨款与开票”返回“资金拨款与开票”页面。

划拨代金券 企业主账号给子账号发的代金券，继承原有使用限制。比如到期时间、使用产品限制、券的类型等。 企业主账号划拨只支持一次抵扣的代金券时，仅可以将全部金额一次性划拨给企业子账号。 企业主账号不可以将折扣券划拨给企业子账号。 如果测试代金券已绑定测试项目，不能进行划拨。 进入“资金拨款与开票”页面。 选择主账号下需要划拨代金券的子账号。 单击操作列的“拨款”。 进入“拨款”页面。 单击“代金券”选项框。 进入“代金券”页面。 选择待拨款的代金券，设置“划拨金额”，单击“确定”。 系统提示“资金安全验证”弹窗。 如果代金券的“可划拨次数”为单次，则该代金券金额只能一次发放，不能设置“划拨金额”。 进行身份二次验证。 选择验证方式。 单击“获取验证码”后，在输入框中填写正确的验证码。 单击“确定”。 系统提示提交操作成功信息。 进入企业中心“总览”页面，可以开通或关闭资金安全验证功能。如您已经在“总览”页面打开开关才会执行该步骤，如未开启，则不需要。开通或关闭该功能，请参考设置资金安全。 单击“继续拨款”进入“拨款”页面或单击“返回资金拨款与开票”返回“资金拨款与开票”页面。

划拨账户余额 进入“资金拨款与开票”页面。 单个划拨 选择需要划拨资金的子账号，单击右侧操作列的“拨款”，进入“拨款”页面。 选择拨款方式“账户余额”，进入“账户余额”页面。 设置拨款金额，单击“确定”。 系统提示“资金安全验证”弹窗。 批量划拨 勾选需要划拨资金的子账号，单击左上角的“拨款”，进入“批量拨款”页面。 选择拨款方式“账户余额”，进入“账号检查”页面。 单击“下一步”为检查通过的子账号批量拨款。 设置拨款额度，单击“确认拨款”。 在“拨款额度”中设置的额度表示为所有子账号划拨相同的额度；也可以在“本次划拨金额”中为每个子账号账号单独设置不同的划拨金额。 您也可以单击子账号后的“移除”，移除不需要划拨余额的子账号。 拨款金额不能大于可拨款余额。其中，可拨款余额=账户余额-欠票金额。 系统提示“资金安全验证”弹窗。 进行身份二次验证。 选择验证方式。 单击“获取验证码”后，在输入框中填写正确的验证码。 单击“确定”。 系统提示提交操作成功信息。 进入企业中心“总览”页面，可以开通或关闭资金安全验证功能。如您已经在“总览”页面打开开关才会执行该步骤，如未开启，则不需要。开通或关闭该功能，请参考设置资金安全。 单击“继续拨款”进入“拨款”页面或单击“返回拨款与开票”返回“资金拨款与开票”页面。

操作步骤 创建用户组 在管理控制台统一身份认证服务（IAM）页面，分别创建用户组UserGroup B和UserGroup C。 创建用户组并授权详见创建用户组并授权。 图1 创建用户组 将用户添加至用户组 将用户User B和User C分别添加至用户组UserGroup B和UserGroup C。 创建用户并加入用户组详见创建IAM用户。 图2 将用户添加至用户组 为用户组授权 为用户组UserGroup B和UserGroup C分别添加策略ELB FullAccess。 以用户组UserGroup B为例，在目标用户组所在行的操作列，单击“授权”。 选择策略，单击“下一步”。 此处选择“ELB FullAccess” 选择授权范围，单击“确定”。 此处选择“指定企业项目资源”，企业项目选择“EnterpriseProjectB”。 图3 选择授权范围 单击“完成”。 重复1~4，为用户组UserGroup C添加策略ELB FullAccess。

场景介绍 账号A下有两个子用户和两个企业项目，子用户分别是User B和User C，企业项目分别是EnterpriseProjectB和EnterpriseProjectC。 需要实现： 用户User B只能查看和操作企业项目EnterpriseProjectB下的资源，不能查看和操作企业项目EnterpriseProjectC下的资源。 用户User C只能查看和操作企业项目EnterpriseProjectC下的资源，不能查看和操作企业项目EnterpriseProjectB下的资源。

检查规则 用户在发起访问请求时，系统根据用户被授权的访问策略中的action进行鉴权判断。检查规则如下： 图1 请求鉴权逻辑图 用户发起访问请求。 系统在用户被授予的访问策略中，优先寻找基于IAM项目授权的策略，在策略中寻找请求对应的action。 如果找到匹配的Allow或者Deny的action，系统将返回对请求的鉴权决定，Allow或者Deny，鉴权结束。 如果在基于IAM项目的策略中没有找到请求对应的action，系统将继续寻找基于企业项目授权的策略，在策略中寻找请求对应的action。 如果找到匹配的Allow或者Deny的action，系统将返回对请求的鉴权决定，Allow或者Deny，鉴权结束。 如果用户不具备任何策略，系统将返回鉴权决定Deny，鉴权结束。

IAM和企业管理的区别 开通方式 IAM是华为云的身份管理服务，注册系统后，无需付费即可使用。 企业管理是华为云的资源管理服务，注册系统后，可以自助申请开通，开通方法请参见：如何开通企业中心和如何开通企业项目。 企业管理服务本身不收取费用，但企业项目下的资源需要支付相应费用。 资源隔离 IAM通过在区域中创建子项目，隔离同一个区域中的资源。以子项目为单位进行授权，用户可以访问指定子项目中的所有资源。 企业管理通过创建企业项目，隔离企业不同项目之间的资源，企业项目中可以包含多个区域的资源。企业项目还可以实现对特定云资源的授权，例如：将一台特定的ECS添加至企业项目，对企业项目进行授权后，可以控制用户仅能管理这台特定的ECS。 支持的服务 使用IAM授权的云服务。 企业管理目前支持的云服务请参见支持的云服务。

主账号邀请子账号 进入“组织和账号”页面。 选择待关联子账号的企业或组织。 单击操作列的“添加子账号”。 选择“邀请子账号”。 系统显示“邀请子账号”页面。 设置子账号信息，如子账号名称、关联模式等。 “财务独立”关联模式下，还需要设置企业主账号的权限。 系统会自动检查被邀请账号的账号名，如果满足“同一法人”的法人类型，则默认为“同一法人”，如果满足“不同法人”的法人类型，则默认为“不同法人”，无需手动选择。 企业主子账号实名认证信息一致时，主账号才能划拨信用额度给子账号。 如果当前账号为经销商代售类子客户，由经销商伙伴为您开具发票。 如果勾选“允许子账号继承主账号商务折扣”时，系统允许子账号继承主账号的阶梯优惠。企业子账号仅能继承华为云给企业主账号的商务折扣，不能继承华为云经销商给企业主账号的商务折扣（合作伙伴授予折扣）。 如果子账号有商务折扣，不允许勾选“允许子账号继承主账号商务折扣”。 “不同法人”场景下，申请“允许子账号继承主账号商务折扣”的权限要求上传所属同一企业集团的关联企业声明，待管理员审核通过后，才允许子账号继承主账号商务折扣。 勾选相关协议，单击“提交”。 在系统弹出“已发送邀请，待子账号确认”提示框中，单击“确定”。 待关联的子账号未确认接收请求前，单击被关联账号的账号名，进入被关联账号的“账号信息”页面，单击“关联状态”后的“撤销关联”，即可撤销对该子账号的关联。 在组织和账号列表中，单击关联账号的账号名(仅财务独立子账号支持)，即可进入关联账号的“账号信息”页面，查看关联账号的账号信息。

主账号向子账号发起权限变更申请 进入“组织和账号”页面。 选择需要变更子账号权限的组织，单击关联账号数量后的“展开”。 选择待变更权限的子账号，单击“操作”列的“权限变更”。 系统显示“账号信息”页面。 在“权限要求”区域，勾选需要增加的权限（或取消勾选需要减少的权限项），单击“确认”。 如果勾选了“禁止子账号自行开票”的权限要求，并且子账号接受了该申请，则子账号不能开发票。 如果当前账号为经销商代售子客户，由经销商伙伴为您开具发票。 如果子账号有商务折扣，不允许勾选“允许子账号继承主账号商务折扣”。 单击权限变更记录后的“查看”即可查看该子账号权限变更的历史记录。 系统提示权限变更申请已成功发送，请等待子账号确认。 单击“完成”。

后续操作 财务托管模式下，创建子账号成功后，您可以通过如下两种方式进入成本中心，对子账号进行成本预算的设置，监控子账号的消费。 单击创建子账号成功的提示消息中的“设置成本预算”，直接跳转至“成本中心”。 单击“组织与账号”页面提示中的“成本预算”进入“成本中心”。 新建预算的具体操作请参见新建预算。管理子账号的成本预算具体操作请参见预算管理。 企业子账号新关联到企业主账号上，子账号之前的消费资金不属于预算消费。企业子账号与企业主账号解除关联后，子账号之后的消费资金不属于预算消费。 未关联成功的企业子账号不允许分配预算。 新建预算时，请在“设置成本范围”的“关联账号”中勾选需要分配预算的子账号，才能为企业子账号设置预算。

操作步骤 进入“组织和账号”页面。 选择待创建子账号的企业或组织，单击操作列的“添加子账号”。 选择“创建子账号”。 进入“创建子账号”页面。 设置子账号的基本信息，如账号名、手机号码，登录密码、关联模式等，勾选相关协议。 单击“从属组织”后的“修改”，即可修改上级组织。 账号名设置的规则为：不支持设置中文；只能以字母开头；长度为6-32个字符；只能可以包含字母、数字、下划线或减号。 子账号密码设置的规则为：8-32位字符；不能与账号名或倒序的账号名相同 ；不能包含手机号；不能包含3个及以上连续相同的字符；至少包含字母和数字，不能包含空格、中文字符。 创建的子账号会继承主账号实名认证的信息，新创建的子账号和主账号默认为“同一法人”。 创建的子账号“手机号码”可以使用主账号手机号码，也可以使用其他手机号。使用其他手机号码时，需要输入验证码。 单击“提交”。 系统提示成功创建子账号信息。 单击“完成”。

按组织架构+业务项目划分场景 企业可以根据组织架构，按组织划分企业项目，且子账号之间资源隔离，网络互不相通。 客户场景：某集团公司下面有两个子公司（子公司A和子公司B），每个子公司分别有3个部门，要求按部门实现人员、资源和财务的独立管理。 解决方案： 该集团公司先 注册华为账号 并开通华为云，开通企业项目功能和企业主账号功能； 将子公司A和子公司B分别作为华为云子账号A和华为云子账号B，与企业主账号关联，并同时开通企业项目功能； 将子公司下的部门作为单独的企业项目进行管理：企业项目A1、企业项目A2、企业项目A3，企业项目B1、企业项目B2、企业项目B3； 分别为每个企业项目设置管理访问权限（用户组和用户）； 按企业项目管理所拥有的资源：迁入/迁出资源； 每个企业项目之间财务管理相互独立。 此场景中，企业架构示意图如图3所示，华为云对应的解决方案示意图如图4所示。 图3 企业架构示意图 图4 华为云解决方案示意图

按业务项目划分场景 企业中有多个项目，多个项目之间相互独立，资源分开结算，且分属不同的人员进行管理。 客户场景：某游戏公司上线A、B、C三款游戏，每款游戏实现人员、资源和财务的独立管理。 解决方案： 该游戏公司先注册华为云账号，并开通企业项目功能； 将这3款游戏作为单独的企业项目进行管理：企业项目A、企业项目B、企业项目C； 为这3个企业项目设置管理访问权限（用户组和用户）； 按企业项目管理所拥有的资源：迁入/迁出资源； 每个企业项目之间财务管理相互独立。 此场景中，企业架构示意图如图1所示，华为云对应的解决方案示意图如图2所示。 图1 企业架构示意图 图2 华为云解决方案示意图

划拨信用额度 如果企业主账号给子账号划拨信用额度，那么企业主账号将负责统一对主、子账号的信用消费进行还款。还款优先级，请参见信用额度还款优先级说明。 进入“资金拨款与开票”页面。 选择主账号下需要划拨资金的子账号。 单击操作列的“拨款”。 进入“拨款”页面。 单击“信用额度”选项框。 进入“信用额度”页面。 设置拨款额度，单击“确定”。 系统提示“资金安全验证”弹窗。 拨款额度不能大于可拨款额度。 进行身份二次验证。 选择验证方式。 单击“获取验证码”后，在输入框中填写正确的验证码。 单击“确定”。 系统提示提交操作成功信息。 进入企业中心“总览”页面，可以开通或关闭资金安全验证功能。如您已经在“总览”页面打开开关才会执行该步骤，如未开启，则不需要。开通或关闭该功能，请参考设置资金安全。 单击“继续拨款”进入“拨款”页面或单击“返回拨款与开票”返回“资金拨款与开票”页面。

划拨代金券 企业主账号给子账号发的代金券，继承原有使用限制。比如到期时间、使用产品限制、券的类型等。 企业主账号划拨只支持一次抵扣的代金券时，仅可以将全部金额一次性划拨给企业子账号。 企业主账号不可以将折扣券划拨给企业子账号。 如果测试代金券已绑定测试项目，不能进行划拨。 进入“资金拨款与开票”页面。 选择主账号下需要划拨代金券的子账号。 单击操作列的“拨款”。 进入“拨款”页面。 单击“代金券”选项框。 进入“代金券”页面。 选择待拨款的代金券，设置“划拨金额”，单击“确定”。 系统提示“资金安全验证”弹窗。 如果代金券的“可划拨次数”为单次，则该代金券金额只能一次发放，不能设置“划拨金额”。 进行身份二次验证。 选择验证方式。 单击“获取验证码”后，在输入框中填写正确的验证码。 单击“确定”。 系统提示提交操作成功信息。 进入企业中心“总览”页面，可以开通或关闭资金安全验证功能。如您已经在“总览”页面打开开关才会执行该步骤，如未开启，则不需要。开通或关闭该功能，请参考设置资金安全。 单击“继续拨款”进入“拨款”页面或单击“返回资金拨款与开票”返回“资金拨款与开票”页面。

划拨账户余额 进入“资金拨款与开票”页面。 单个划拨 选择需要划拨资金的子账号，单击右侧操作列的“拨款”，进入“拨款”页面。 选择拨款方式“账户余额”，进入“账户余额”页面。 设置拨款金额，单击“确定”。 系统提示“资金安全验证”弹窗。 批量划拨 勾选需要划拨资金的子账号，单击左上角的“拨款”，进入“批量拨款”页面。 选择拨款方式“账户余额”，进入“账号检查”页面。 单击“下一步”为检查通过的子账号批量拨款。 设置拨款额度，单击“确认拨款”。 在“拨款额度”中设置的额度表示为所有子账号划拨相同的额度；也可以在“本次划拨金额”中为每个子账号账号单独设置不同的划拨金额。 您也可以单击子账号后的“移除”，移除不需要回收余额的子账号。 拨款金额不能大于可拨款余额。其中，可拨款余额=账户余额-欠票金额。 系统提示“资金安全验证”弹窗。 进行身份二次验证。 选择验证方式。 单击“获取验证码”后，在输入框中填写正确的验证码。 单击“确定”。 系统提示提交操作成功信息。 进入企业中心“总览”页面，可以开通或关闭资金安全验证功能。如您已经在“总览”页面打开开关才会执行该步骤，如未开启，则不需要。开通或关闭该功能，请参考设置资金安全。 单击“继续拨款”进入“拨款”页面或单击“返回拨款与开票”返回“资金拨款与开票”页面。

关联类型为“同一法人” 进入“组织和账号”页面。 选择待关联子账号的企业或组织。 单击操作列的“添加子账号”。 选择“邀请子账号”。 系统显示“邀请子账号”页面。 中国站账号和国际站账号不互通，无法邀请关联为企业主子账号。 设置被邀请子账号的账号名和显示名，单击“下一步”。 设置“关联类型”和“权限要求”，勾选“已阅读《华为云企业管理服务使用声明》”。 系统会自动检查被邀请账号的账号名，如果满足“同一法人”的关联类型，则默认为“同一法人”关联类型，无需手动选择。 如果当前账号为经销商代售子客户，由经销商伙伴为您开具发票。 如果勾选“允许子账号继承主账号商务折扣”时，系统允许子账号继承主账号的阶梯优惠。 如果子账号有商务折扣，不允许勾选“允许子账号继承主账号商务折扣”。 单击“邀请子账号”。 系统提示已成功发送邀请，等待关联账号确认信息。 待关联的子账号未确认接收请求前，单击被关联账号的账号名，进入被关联账号的“账号信息”页面，单击“关联状态”后的“撤销邀请”，即可撤销对该子账号的关联。 单击“完成”。

关联类型为“不同法人” 进入“组织和账号”页面。 选择待关联子账号的企业或组织。 单击操作列的“添加子账号”。 选择“邀请子账号”。 系统显示“邀请关联账号”页面。 中国站账号和国际站账号不互通，无法邀请关联为企业主子账号。 设置被邀请子账号的账号名和显示名，单击“下一步”。 设置“关联类型”和“权限要求”，勾选“已阅读《华为云企业管理服务使用声明》”。 系统会自动检查被邀请账号的账号名，如果满足“不同法人”的关联类型，则默认为“不同法人”关联类型，无需手动选择。 关联类型为“不同法人”，不允许分配主账号信用额度给子账号。 如果勾选“允许子账号继承主账号商务折扣”时，系统允许子账号继承主账号的阶梯优惠。 如果子账号有商务折扣，不允许勾选“允许子账号继承主账号商务折扣”。 单击“邀请子账号”。 系统提示已成功发送邀请，等待关联账号确认信息。 待关联的子账号未确认接收请求前，单击被关联账号的账号名，进入被关联账号的“账号信息”页面，单击“关联状态”后的“撤销关联”，即可撤销对该子账号的关联。 （勾选“允许子账号继承主账号商务折扣”，需要执行此步骤）单击“下一步，继续上传关联企业声明”。 申请“允许子账号继承主账号商务折扣”的权限要求上传所属同一企业集团的关联企业声明，待管理员审核通过后，才允许子账号继承主账号商务折扣。 如果客户暂不上传关联企业声明，后期可单击该子账号的账号名，进入该子账号的“账号信息”页面，上传关联企业声明。 企业子账号仅能继承华为云给企业主账号的商务折扣，不能继承华为云经销商给企业主账号的商务折扣（合作伙伴授予折扣）。 （勾选“允许子账号继承主账号商务折扣”，需要执行此步骤）上传“关联企业声明”。 客户可在“上传关联企业声明”页面下载关联企业声明模板或单击关联企业声明模板下载关联企业声明模板。 单击“完成”。

企业需求 需求1：A公司需要同时在“华北-北京四”和“华东-上海一”多地域购买多种资源，A公司希望将资源按需分配给两个项目团队，某些服务可实现指定资源的分配，例如某一台ECS服务器只分配给指定IAM用户使用，且两个项目中的资源相互隔离。 需求2：每个项目团队的成员只能访问其所在项目团队的资源，且仅拥有能够完成工作的资源使用最小权限。 需求3：A公司希望两个项目团队能够独立核算成本，项目费用一目了然。

解决方案 针对需求1：当前华为云提供的企业项目管理服务（EPS）和统一身份认证服务（IAM），均可实现项目之间的资源隔离，但两种服务的实现逻辑及功能不同。 企业项目管理服务：在企业项目管理服务中创建企业项目，企业项目之间的资源是逻辑隔离，针对企业不同项目间的资源进行分组和管理，一个企业项目中可以包含多个区域的资源。企业项目内的资源可以动态的迁入和迁出。 统一身份认证服务：在统一身份认证服务中创建IAM项目可以实现资源之间的物理隔离，针对同一个区域内的资源进行分组和隔离，一个IAM项目中只能包含一个区域中的资源。 综上，企业项目管理服务能够实现项目间跨区域的资源隔离，隔离逻辑更加灵活，因此，推荐A公司使用企业项目管理服务进行项目资源管理，以下需求将基于企业项目管理服务提出解决方案。如需了解更多IAM项目和企业项目的区别，请参见：IAM项目和企业项目的区别。 针对需求2：A公司需要配合使用企业项目管理服务和统一身份认证服务，在统一身份认证服务中创建用户组、为每个员工创建IAM用户并加入用户组，再将用户组添加至需求1创建的企业项目，并按照表1为各企业项目中的用户组授予相应的资源使用权限。 图1 A公司人员配置模型 表1 A公司各用户组权限配置模型 用户组 职责 所需权限 描述 财务组 负责管理项目费用的使用情况。 Enterprise Project BSS FullAccess 企业项目费用的管理权限。 开发组 负责使用资源进行项目开发。 ECS FullAccess 弹性云服务器（ECS）的所有执行权限。 OBS FullAccess 对象存储服务（OBS）的所有执行权限。 ELB FullAccess 弹性负载均衡（ELB）的所有执行权限。 安全维护组 负责项目的安全运维。 ECS CommonOperations 弹性云服务器（ECS）的普通操作权限。 CAD Administrator DDoS高防服务（AAD）的所有执行权限。 运营组 负责所有项目的总体运营。 EPS FullAccess 企业项目管理服务的所有执行权限，包括修改、启用、停用、查看企业项目。 如需了解华为云所有云服务的系统权限，请参见：系统权限。