华为云用户手册

功能介绍 该接口可以用于通过OpenID Connect ID token方式获取联邦认证unscoped token。Unscoped token不能用来鉴权，您需要使用unscoped token通过接口获取联邦用户的临时访问密钥和securitytoken获取临时访问密钥和securitytoken，后续使用获取到的临时访问密钥和securitytoken作为凭证访问云服务。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。 IAM 的Endpoint请参见：地区和终端节点。

响应参数 状态码为 201 时: 表3 响应Header参数 参数 参数类型 描述 X-Subject-Token String 签名后的Token。 表4 响应Body参数 参数 参数类型 描述 token object 获取的token详情。 表5 token 参数 参数类型 描述 expires_at String 过期时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 methods Array of strings token获取方式，联邦认证默认为mapped。 issued_at String 生成时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 user object 用户详情。 roles Array of objects 角色/策略详情。 catalog Array of objects catalog详情。 表6 token.user 参数 参数类型 描述 OS-FEDERATION object 联邦用户user详情。 domain object 租户详情。 id String 用户id。 name String 用户名。 表7 token.user.OS-FEDERATION 参数 参数类型 描述 identity_provider object 身份提供商详情。 protocol object 协议详情。 groups Array of objects 用户组详情。 表8 token.user.OS-FEDERATION.identity_provider 参数 参数类型 描述 id String 身份提供商id。 表9 token.user.OS-FEDERATION.identity_provider 参数 参数类型 描述 id String 协议id。 表10 token.user.OS-FEDERATION.groups 参数 参数类型 描述 id String 用户组id。 name String 用户组名。 表11 token.domain 参数 参数类型 描述 id String 租户id。 name String 租户名。 表12 token.roles 参数 参数类型 描述 id String 权限id。 name String 权限名。 表13 token.catalog 参数 参数类型 描述 endpoints Array of objects 终端节点。 id String 服务ID。 name String 服务名称。 type String 该接口所属服务。 表14 token.catalog.endpoints 参数 参数类型 描述 id String 终端节点ID。 interface String 接口类型，描述接口在该终端节点的可见性。值为“public”，表示该接口为公开接口。 region String 终端节点所属区域。 region_id String 终端节点所属区域ID。 url String 终端节点的URL。

响应示例 状态码为 201 时: 创建成功。 { "token" : { "expires_at" : "2018-03-13T03:00:01.168000Z", "methods" : [ "mapped" ], "issued_at" : "2018-03-12T03:00:01.168000Z", "user" : { "OS-FEDERATION" : { "identity_provider" : { "id" : "idptest" }, "protocol" : { "id" : "oidc" }, "groups" : [ { "name" : "admin", "id" : "45a8c8f..." } ] }, "domain" : { "id" : "063bb260a480...", "name" : "IAMDomain" }, "name" : "FederationUser", "id" : "suvmgvUZc4PaCOEc..." } } } 状态码为 400 时: 参数无效。 { "error_msg" : "Request body is invalid.", "error_code" : "IAM.0011" } 状态码为 401 时: 认证失败。 { "error_msg" : "The request you have made requires authentication.", "error_code" : "IAM.0001" } 状态码为 403 时: 没有操作权限。 { "error_msg" : "Policy doesn't allow %(actions)s to be performed.", "error_code" : "IAM.0003" } 状态码为 404 时: 未找到相应的资源。 { "error_msg" : "Could not find %(target)s: %(target_id)s.", "error_code" : "IAM.0004" } 状态码为 500 时: 系统内部异常。 { "error_msg" : "An unexpected error prevented the server from fulfilling your request.", "error_code" : "IAM.0006" }

请求示例 获取联邦认证project scoped token POST /v3.0/OS-AUTH/id-token/tokens { "auth" : { "id_token" : { "id" : "eyJhbGciOiJSU..." }, "scope" : { "project" : { "id" : "46419baef4324...", "name" : "cn-north-1" } } } } 获取联邦认证domain scoped token POST /v3.0/OS-AUTH/id-token/tokens { "auth" : { "id_token" : { "id" : "eyJhbGciOiJSU..." }, "scope" : { "domain" : { "id" : "063bb260a480...", "name" : "IAMDomain" } } } } 获取unscoped token POST /v3.0/OS-AUTH/id-token/tokens { "auth" : { "id_token" : { "id" : "eyJhbGciOiJSU..." } } }

响应参数 状态码为 201 时: 表7 响应Header参数 参数 参数类型 描述 X-Subject-Token String 签名后的Token。 表8 响应Body参数 参数 参数类型 描述 token object 获取的token详情。 表9 token 参数 参数类型 描述 expires_at String 过期时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 methods Array of strings 获取token的方式，联邦用户默认为mapped。 issued_at String 生成时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 user object 用户详情。 domain object 租户详情。 project object 项目详情，仅请求scope为project时，返回此对象。 roles Array of objects 角色/策略详情。 catalog Array of objects catalog详情。 表10 token.user 参数 参数类型 描述 OS-FEDERATION object 联邦用户user详情。 domain object 租户详情。 id String 用户id。 name String 用户名。 表11 token.user.OS-FEDERATION 参数 参数类型 描述 identity_provider object 身份提供商详情。 protocol object 协议详情。 groups Array of objects 用户组详情。 表12 token.user.OS-FEDERATION.identity_provider 参数 参数类型 描述 id String 身份提供商id。 表13 token.user.OS-FEDERATION.protocol 参数 参数类型 描述 id String 协议id。 表14 token.user.OS-FEDERATION.groups 参数 参数类型 描述 id String 用户组id。 name String 用户组名。 表15 token.user.domain 参数 参数类型 描述 id String 租户id。 name String 租户名。 表16 token.domain 参数 参数类型 描述 id String 租户id。 name String 租户名。 表17 token.project 参数 参数类型 描述 domain object 租户详情。 id String 项目id。 name String 项目名。 表18 token.project.domain 参数 参数类型 描述 id String 租户id。 name String 租户名。 表19 roles 参数 参数类型 描述 id String 权限id。 name String 权限名。 表20 token.catalog 参数 参数类型 描述 endpoints Array of objects 终端节点。 id String 服务ID。 name String 服务名称。 type String 该接口所属服务。 表21 token.catalog.endpoints 参数 参数类型 描述 id String 终端节点ID。 interface String 接口类型，描述接口在该终端节点的可见性。值为“public”，表示该接口为公开接口。 region String 终端节点所属区域。 region_id String 终端节点所属区域ID。 url String 终端节点的URL。 表22 CatalogInfo 参数 参数类型 描述 id String 终端节点ID。 interface String 接口类型，描述接口在该终端节点的可见性。值为“public”，表示该接口为公开接口。 region String 终端节点所属区域。 region_id String 终端节点所属区域ID。 url String 终端节点的URL。

请求参数 表1 请求Header参数 参数 是否必选 参数类型 描述 X-Idp-Id 是 String 身份提供商ID。 表2 请求Body参数 参数 是否必选 参数类型 描述 auth 是 object 请求auth参数详情。 表3 GetIdTokenAuthParams 参数 是否必选 参数类型 描述 id_token 是 object 请求id token参数详情。 scope 否 object 请求scope参数详情，限制获取token的权限范围。不传此字段，获取unscoped toke。 表4 GetIdTokenIdTokenBody 参数 是否必选 参数类型 描述 id 是 String id_token的值。id_token由企业IdP构建，携带联邦用户身份信息。请参考企业IdP文档了解获取id_token的方法。 表5 GetIdTokenIdScopeBody 参数 是否必选 参数类型 描述 domain 否 object domain scope详情，与project二选一。 project 否 object project scope详情，与domain二选一。 表6 GetIdTokenScopeDomainOrProjectBody 参数 是否必选 参数类型 描述 id 否 String domain id或者project id，与name字段至少存在一个。 name 否 String domain name或者project name，与id字段至少存在一个。

功能介绍 该接口可以用于通过OpenID Connect ID token方式获取联邦认证token。 推荐您只通过该接口获取unscoped token，再使用unscoped token通过接口获取联邦用户的临时访问密钥和securitytoken获取临时访问密钥和securitytoken，后续使用获取到的临时访问密钥和securitytoken作为凭证访问云服务。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。

请求示例 获取联邦认证scoped token。 POST https://iam.myhuaweicloud.com/v3/auth/tokens { "auth": { "identity": { "methods": [ "token" ], "token": { "id": "MIIatAYJKoZIhvcNAQcCoIIapTCCGqECAQExDTALB..." } }, "scope": { "domain": { "id": "063bb260a480cecc0f36c0086bb6c..." } } } }

响应示例 状态码为 201 时: 创建成功。 响应Header参数： X-Subject-Token:MIIatAYJKoZIhvcNAQcCoIIapTCCGqECAQExDTALB... 响应Body参数： { "token": { "expires_at": "2020-02-13T14:21:34.042000Z", "methods": [ "token" ], "catalog": [ { "endpoints": [ { "id": "d2983f677ce14f1e81cbb6a9345a107a", "interface": "public", "region": "*", "region_id": "*", "url": "https://iam.cn-north-1.myhuaweicloud.com/v3" } ], "id": "fd631b3426cb40f0919091d5861d8fea", "name": "keystone", "type": "identity" } ], "domain": { "id": "06aa2260a480cecc0f36c0086bb6cfe0", "name": "IAMDomain" }, "roles": [ { "id": "0", "name": "te_admin" }, { "id": "0", "name": "secu_admin" } ], "issued_at": "2020-02-12T14:21:34.042000Z", "user": { "OS-FEDERATION": { "groups": [ { "id": "06aa2260bb00cecc3f3ac0084a74038f", "name": "admin" } ], "identity_provider": { "id": "ACME" }, "protocol": { "id": "saml" } }, "domain": { "id": "06aa2260a480cecc0f36c0086bb6cfe0", "name": "IAMDomain" }, "id": "LdQTDSC7zmJVIic3yaCbLBXDxPAdDxLg", "name": "FederationUser", "password_expires_at": "" } } }

响应参数 表10 响应Header参数 参数 参数类型 描述 X-Subject-Token String 签名后的scoped token。 表11 响应Body参数 参数 参数类型 描述 token Object 联邦认证的scoped token信息。 表12 token 参数 参数类型 描述 methods Array of strings 获取token的方式。 expires_at String token过期时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 catalog Array of objects 服务目录信息。 domain Object 获取token的用户所属的账号信息。如果获取token时请求体中scope参数设置为domain，则返回该字段。 project Object 获取token的用户所属账号的项目信息。如果获取token时请求体中scope参数设置为project，则返回该字段。 roles Array of objects token的权限信息。 user Object 获取token的用户信息。 issued_at String token下发时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 表13 token.catalog 参数 参数类型 描述 type String 该接口所属服务。 id String 服务ID。 name String 服务名称。 endpoints Array of objects 终端节点。 表14 token.catalog.endpoints 参数 参数类型 描述 url String 终端节点的URL。 region String 终端节点所属区域。 region_id String 终端节点所属区域ID。 interface String 接口类型，描述接口在该终端节点的可见性。值为“public”，表示该接口为公开接口。 id String 终端节点ID。 表15 token.domain 参数 参数类型 描述 name String 账号名。 id String 账号ID。 表16 token.project 参数 参数类型 描述 name String 项目名。 id String 项目ID。 domain Object 项目所属账号信息。 表17 token.project.domain 参数 参数类型 描述 name String 账号名。 id String 账号ID。 表18 token.roles 参数 参数类型 描述 name String 权限名称。 id String 权限ID。默认显示为0，非真实权限ID。 表19 token.user 参数 参数类型 描述 domain Object 用户所属账号信息。 OS-FEDERATION Object 联邦身份认证信息。 id String 用户ID。 name String 用户名。 password_expires_at String 密码过期时间，“”表示密码不过期。 说明： UTC时间，格式为 YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 表20 token.user.domain 参数 参数类型 描述 name String 用户所属账号名称。 id String 用户所属账号ID。 表21 token.user.OS-FEDERATION 参数 参数类型 描述 groups Array of objects 用户组信息列表。 identity_provider Object 身份提供商信息。 protocol Object 协议信息。 表22 token.user.OS-FEDERATION.groups 参数 参数类型 描述 id String 用户组ID。 name String 用户组名称。 表23 token.user.OS-FEDERATION.identity_provider 参数 参数类型 描述 id String 身份提供商ID。 表24 token.user.OS-FEDERATION.protocol 参数 参数类型 描述 id String 协议ID。

请求参数 表1 请求Header参数 参数 是否必选 参数类型 描述 Content-Type 否 String 该字段内容填为“application/json;charset=utf8”。 表2 请求Body参数 参数 是否必选 参数类型 描述 auth 是 Object 认证信息。 表3 auth 参数 是否必选 参数类型 描述 identity 是 Object 认证参数。 scope 是 Object token的使用范围，取值为project或domain，二选一即可。 表4 auth.identity 参数 是否必选 参数类型 描述 methods 是 Array of strings 认证方法，该字段内容为“token”。 token 是 Object 联邦unscoped token的信息。 表5 auth.identity.token 参数 是否必选 参数类型 描述 id 是 String 联邦unscoped token的ID。 表6 auth.scope 参数 是否必选 参数类型 描述 domain 否 Object 取值为domain时，表示获取的token可以跨区域使用，domain支持id和name，二选一即可。 project 否 Object 取值为project时，表示获取的token仅能访问指定project下的资源，project支持id和name，二选一即可。 表7 auth.scope.domain 参数 是否必选 参数类型 描述 id 否 String 账号ID，id与name二选一即可。 name 否 String 账号名，id与name二选一即可。 表8 auth.scope.project 参数 是否必选 参数类型 描述 domain 否 Object 项目所属账号，使用name时必填。 id 否 String 项目ID，id与name二选一即可。 name 否 String 项目名，id与name二选一即可。 表9 auth.scope.project.domain 参数 是否必选 参数类型 描述 id 否 String 账号ID，id与name二选一即可。 name 否 String 账号名，id与name二选一即可。

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 Content-Type 是 String 该字段内容填为“application/json;charset=utf8”。 X-Auth-Token 是 String 访问令牌，承载用户的身份、权限等信息。 token所需权限请参见授权项。 表3 请求Body参数 参数 是否必选 参数类型 描述 domain_id 是 String 用户所属账号ID。 xaccount_type 是 String 该字段为标识租户来源字段，默认为空。 metadata 是 String 该字段为用户IdP服务器的Metadata文件的内容。

响应参数 表3 响应Body参数 参数 参数类型 描述 id String Metadata的ID。 idp_id String 身份提供商名称。 entity_id String Metadata文件中的entityID字段。 protocol_id String 协议ID。 domain_id String 用户所属账号ID。 xaccount_type String 账号来源，默认为空。 update_time String 导入或更新Metadata文件的时间。 说明： UTC时间，格式为YYYY-MM-DD HH:mm:ss。 data String Metadata文件的内容。

响应示例 状态码为 200 时: 请求成功。 { "protocol": { "mapping_id": "ACME", "id": "saml", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME/protocols/saml", "identity_provider": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME" } } }

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 访问令牌，承载用户的身份、权限等信息。 token所需权限请参见授权项。 表3 请求Body参数 参数 是否必选 参数类型 描述 protocol 是 Object 协议信息。 表4 protocol 参数 是否必选 参数类型 描述 mapping_id 否 String 映射ID。身份提供商类型为iam_user_sso时，不需要绑定映射ID，无需传入此字段;否则此字段必填。

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 访问令牌，承载用户的身份、权限等信息。 token所需权限请参见授权项。 表3 请求Body参数 参数 是否必选 参数类型 描述 protocol 是 Object 协议信息。 表4 protocol 参数 是否必选 参数类型 描述 mapping_id 否 String 映射ID。身份提供商类型为iam_user_sso时，不需要绑定映射ID，无需传入此字段；否则此字段必填。

响应示例 状态码为 201 时: 请求成功。 { "protocol": { "mapping_id": "ACME", "id": "saml", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME/protocols/saml", "identity_provider": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME" } } }

响应示例 状态码为 200 时: 请求成功。 { "protocol": { "mapping_id": "ACME", "id": "saml", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME/protocols/saml", "identity_provider": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME" } } }

响应参数 表3 响应Body参数 参数 参数类型 描述 protocol Object 协议信息。 表4 protocol 参数 参数类型 描述 id String 协议ID。 mapping_id String 映射ID。 links Object 协议的资源链接信息。 表5 protocol.links 参数 参数类型 描述 identity_provider String 身份提供商的资源链接地址。 self String 资源链接地址。

响应示例 状态码为 200 时: 请求成功。 { "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/protocols", "previous": null, "next": null }, "protocols": [ { "mapping_id": "ACME", "id": "saml", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME/protocols/saml", "identity_provider": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/identity_providers/ACME" } } ] }

响应参数 表3 响应Body参数 参数 参数类型 描述 links Object 资源链接信息。 protocols Array of objects 协议信息列表。 表4 links 参数 参数类型 描述 self String 资源链接地址。 previous String 前一邻接资源链接地址，不存在时为null。 next String 后一邻接资源链接地址，不存在时为null。 表5 protocols 参数 参数类型 描述 id String 协议ID。 mapping_id String 映射ID。 links Object 协议的资源链接信息。 表6 protocols.links 参数 参数类型 描述 identity_provider String 身份提供商的资源链接地址。 self String 资源链接地址。

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 Content-Type 是 String 该字段内容填为“application/json;charset=utf8”。 X-Auth-Token 是 String 访问令牌，承载用户的身份、权限等信息。 token所需权限请参见授权项。 表3 请求Body参数 参数 是否必选 参数类型 描述 mapping 是 Object 映射信息。 表4 mapping 参数 是否必选 参数类型 描述 rules 是 Array of objects 将联邦用户映射为本地用户的规则列表。 表5 mapping.rules 参数 是否必选 参数类型 描述 local 是 Array of RulesLocal objects 表示联邦用户在本系统中的用户信息。 user:联邦用户在本系统中的用户名称。group:联邦用户在本系统中所属用户组。 remote 是 Array of objects 表示联邦用户在IdP中的用户信息。使用SAML协议时，由断言属性及运算符组成的表达式，取值由断言决定。使用OIDC协议时，取值由ID token决定。 表6 mappings.rules.local 参数 是否必选 参数类型 描述 user 否 user object 联邦用户在本系统中的用户名称 group 否 group object 联邦用户在本系统中所属用户组 表7 mappings.rules.local.user 名称 是否必选 类型 描述 name 是 String 联邦用户在本系统中的用户名称 表8 mappings.rules.local.group 名称 是否必选 类型 描述 name 是 String 联邦用户在本系统中所属用户组 表9 mapping.rules.remote 参数 是否必选 参数类型 描述 type 是 String 表示IdP断言中的属性。 any_one_of 否 Array of strings 输入属性值中包含指定值才生效，并返回布尔值，返回值不能用于local块中的占位符。在同一个remote数组元素中，any_one_of与not_any_of互斥，两者至多填写一个，不能同时填写。 not_any_of 否 Array of strings 输入属性值中不包含指定值才生效，并返回布尔值，返回值不能用于local块中的占位符。not_any_of与any_one_of互斥，两者至多填写一个，不能同时填写。

请求示例 更新映射。 PATCH https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings/{id} { "mapping": { "rules": [ { "local": [ { "user": { "name": "LocalUser" } }, { "group": { "name": "LocalGroup" } } ], "remote": [ { "type": "UserName" }, { "type": "orgPersonType", "not_any_of": [ "Contractor", "Guest" ] } ] } ] } }

响应示例 状态码为 200 时: 请求成功。 { "mapping": { "rules": [ { "local": [ { "user": { "name": "LocalUser" } }, { "group": { "name": "LocalGroup" } } ], "remote": [ { "type": "UserName" }, { "type": "orgPersonType", "not_any_of": [ "Contractor", "Guest" ] } ] } ], "id": "ACME", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings/ACME" } } }

请求示例 注册映射。 PUT https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings/{id} { "mapping": { "rules": [ { "local": [ { "user": { "name": "LocalUser" } }, { "group": { "name": "LocalGroup" } } ], "remote": [ { "type": "UserName" }, { "type": "orgPersonType", "not_any_of": [ "Contractor", "Guest" ] } ] } ] } }

响应示例 状态码为 201 时: 创建成功。 { "mapping": { "rules": [ { "local": [ { "user": { "name": "LocalUser" } }, { "group": { "name": "LocalGroup" } } ], "remote": [ { "type": "UserName" }, { "type": "orgPersonType", "not_any_of": [ "Contractor", "Guest" ] } ] } ], "id": "ACME", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings/ACME" } } }

响应参数 表10 响应Body参数 参数 参数类型 描述 mapping Object 映射信息。 表11 mapping 参数 参数类型 描述 id String 映射ID。 links Object 映射的资源链接信息。 rules Array of objects 将联邦用户映射为本地用户的规则列表。 表12 mapping.links 参数 参数类型 描述 self String 资源链接地址。 表13 mappings.rules 参数 参数类型 描述 local Array of objects 表示联邦用户在本系统中的用户信息。 user：联邦用户在本系统中的用户名称。group：联邦用户在本系统中所属用户组。 remote Array of objects 表示联邦用户在IdP中的用户信息。使用SAML协议时，由断言属性及运算符组成的表达式，取值由断言决定。使用OIDC协议时，取值由ID token决定。 表14 mappings.rules.local 参数 参数类型 描述 user user object 联邦用户在本系统中的用户名称 group group object 联邦用户在本系统中所属用户组 表15 mappings.rules.local.user 名称 类型 描述 name String 联邦用户在本系统中的用户名称 表16 mappings.rules.local.group 名称 类型 描述 name String 联邦用户在本系统中所属用户组 表17 mapping.rules.remote 参数 参数类型 描述 type String 表示IdP断言（SAML协议）或ID token（OIDC协议）中的属性。 any_one_of Array of strings 输入属性值中包含指定值才生效，并返回布尔值，返回值不能用于local块中的占位符。在同一个remote数组元素中，any_one_of与not_any_of互斥，两者至多填写一个，不能同时填写。 not_any_of Array of strings 输入属性值中不包含指定值才生效，并返回布尔值，返回值不能用于local块中的占位符。not_any_of与any_one_of互斥，两者至多填写一个，不能同时填写。

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 Content-Type 是 String 该字段内容填为“application/json;charset=utf8”。 X-Auth-Token 是 String 访问令牌，承载用户的身份、权限等信息。 token所需权限请参见授权项。 表3 请求Body参数 参数 是否必选 参数类型 描述 mapping 是 Object 映射信息。 表4 mapping 参数 是否必选 参数类型 描述 rules 是 Array of objects 将联邦用户映射为本地用户的规则列表。 表5 mapping.rules 参数 是否必选 参数类型 描述 local 是 Array of RulesLocal objects 表示联邦用户在本系统中的用户信息。 user:联邦用户在本系统中的用户名称。group:联邦用户在本系统中所属用户组。 remote 是 Array of objects 表示联邦用户在IdP中的用户信息。使用SAML协议时，由断言属性及运算符组成的表达式，取值由断言决定。使用OIDC协议时，取值由ID token决定。 表6 mappings.rules.local 参数 是否必选 参数类型 描述 user 否 user object 联邦用户在本系统中的用户名称 group 否 group object 联邦用户在本系统中所属用户组 表7 mappings.rules.local.user 名称 是否必选 类型 描述 name 是 String 联邦用户在本系统中的用户名称 表8 mappings.rules.local.group 名称 是否必选 类型 描述 name 是 String 联邦用户在本系统中所属用户组 表9 mapping.rules.remote 参数 是否必选 参数类型 描述 type 是 String 表示IdP断言（SAML协议）或ID token（OIDC协议）中的属性。 any_one_of 否 Array of strings 输入属性值中包含指定值才生效，并返回布尔值，返回值不能用于local块中的占位符。在同一个remote数中，any_one_of与not_any_of互斥，两者至多填写一个，不能同时填写。 not_any_of 否 Array of strings 输入属性值中不包含指定值才生效，并返回布尔值，返回值不能用于local块中的占位符。not_any_of与any_one_of互斥，两者至多填写一个，不能同时填写。

响应示例 状态码为 200 时: 请求成功。 { "mapping": { "rules": [ { "local": [ { "user": { "name": "LocalUser" } }, { "group": { "name": "LocalGroup" } } ], "remote": [ { "type": "UserName" }, { "type": "orgPersonType", "not_any_of": [ "Contractor", "Guest" ] } ] } ], "id": "ACME", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings/ACME" } } }

响应示例 状态码为 200 时: 请求成功。 { "mappings": [ { "rules": [ { "local": [ { "user": { "name": "LocalUser" } }, { "group": { "name": "LocalGroup" } } ], "remote": [ { "type": "UserName" }, { "type": "orgPersonType", "not_any_of": [ "Contractor", "Guest" ] } ] } ], "id": "ACME", "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings/ACME" } } ], "links": { "self": "https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings", "previous": null, "next": null } }