华为云用户手册

SLO看板 SlO看板（服务级别目标）包含SLO总体达成情况、应用维度SLO统计、ErrorBudget管理。SLO总体达成情况可查看年度和月度的总体SLO情况，评估整体的服务水平趋势。应用维度SLO支持按照时间和应用维度查看SLO情况，评估每个应用的服务水平。ErrorBuget根据应用的SLO情况计算出错误成本，用以指导变更或其他高风险操作。指标详情可查看表5。 图8 SLO看板 表5 SLO看板数据字典 模块 指标名称 数据来源 指标定义 计算规则 统计周期 度量单位 SLO总体达成情况 年度SLO期望值 SLO管理 全年度应用期望达成的SLO指标 SLO期望值=SLO管理中设定的期望值； 多个应用SLO期望值=avg（SLO期望值）； 年 百分比 年度SLO实际值 SLO管理 全年度应用实际达成的SLO情况 年度SLO实际值=1-（年度应用不可用时长/全年应用总时长）*100%； 单个区域多应用SLO实际值=avg（年度SLO实际值）； 多个区域单应用SLO实际值=min（年度SLO实际值）； 多个区域多应用SLO实际值=avg（多个区域单应用SLO实际值）； 天/月 百分比 未达标应用数量 SLO管理 统计未达标SLO目标的应用数量 统计未达成SLO目标的应用数量，选择全部区域时，任一区域的年度SLO实际值＜年度SLO期望值，视为未达标 天/月 个 月度SLO期望值 SLO管理 月度应用期望达成的SLO指标 SLO期望值=SLO管理中设定的期望值； 多个应用SLO期望值=avg（SLO期望值）； 天/月 百分比 月度SLO实际值 SLO管理 月度应用实际达成的SLO情况 月度SLO实际值=1-（月度应用不可用时长/月度应用总时长）*100%； 单个区域多应用SLO实际值=avg（月度SLO实际值）； 多个区域单应用SLO实际值=min（月度SLO实际值）； 多个区域多应用SLO实际值=avg（多个区域单应用SLO实际值）； 天/月 百分比 应用维度SLO统计 应用SLO统计 SLO管理 统计应用维度的SLO情况 按照应用维度，展示月度SLO实际值； 月度SLO实际值=1-（月度应用不可用时长/月度应用总时长）*100%； 多个区域单应用SLO实际值=min（月度SLO实际值）； 天/月 百分比 Error Budget Error Budget SLO管理 用于测量实际性能与预期性能之间的差异，用于计算错误成本 当SLO实际值＞SLO期望值时： ErrorBudget=（年度SLO实际值-年度SLO期望值）*全年服务总时长（min）； 当SLO实际值≤SLO期望值时，ErrorBudget=0； 天/月 分钟

PRR看板 PRR看板（生产就绪程度评审）中包含评审服务汇总、评估雷达分布、改进任务闭环情况。评审服务汇总体现投入生产前各个服务当前所处的评审阶段，以及通过情况。评估雷达中体现服务不满足的评审项分布。改进任务闭环情况呈现对评审不满足项的整改情况。指标详情可查看表6。 图9 PRR看板 表6 PRR看板数据字典 模块 指标名称 数据来源 指标定义 计算规则 统计周期 度量单位 PRR评审汇总 评审服务 PRR评审 统计参与PRR评审的服务数量 选择时间范围内，所有参与PRR评审的去重服务数量 天/月 个 应用PRR评审列表 PRR评审 统计参与PRR各个阶段的应用数量与通过情况 选择时间范围内，参与PRR各个阶段的所有应用评审数量与通过情况分布（应用不去重） 天/月 个 评估雷达分布图 评估雷达分布 PRR评审 统计PRR不满足项的分布 选择时间范围内，各评审项中不满足的项目数量 天/月 个 改进任务闭环情况 改进任务状态分布 PRR评审 统计改进任务数量以及状态分布 选择时间范围内，所有改进任务的数量以及状态分布情况 天/月 个 改进任务列表 PRR评审 统计各个维度的改进任务数量以及闭环情况 按照评审项目维度统计，各个维度的改进任务数量以及状态分布情况 天/月 个

故障管理 故障管理包含事件统计、WarRoom、问题改进三个模块，呈现事件管理全流程核心指标。事件统计中包含数量、闭环率、处理耗时、受损应用、SLA达成率等指标，通过环比、趋势图和Top/Bottom排序的方式，呈现事件风险情况。WarRoom中包含受损应用、引起WarRoom事件级别和时间窗，反映重大故障场景的发生和改善情况。问题改进中包含问题改进的完成率和趋势分析，确保对于已发生的故障进行经验沉淀，减少相同故障再次发生的频率和处理时间。指标详情可查看表3。 图5 故障管理 表3 事件管理数据字典 模块 指标名称 数据来源 指标定义 计算规则 统计周期 度量单位 事件统计 事件总量 事件管理 统计所有事件单数量 选择时间范围内，所有事件单的数量 注：草稿、客户已关闭状态的事件单不计 天/月 个 事件级别 事件管理 统计各个类型和级别的事件单的数量 选择时间范围内，各个类型和级别的事件单的数量 天/月 个 事件闭环率 事件管理 统计事件单的闭环情况 选择时间范围内，“已完成”状态的事件单数量/事件单总量*100% 天/月 百分比 平均事件耗时 事件管理 统计事件单平均处理时长 已闭环事件单的处理时间求和/已闭环的事件单数量*100% 天/月 ddhhmm 受损应用 事件管理 统计事件单受损应用数量 去重计算事件单的受损应用数量（包含已删除应用） 天/月 个 事件SLA达成率 SLA管理 统计事件单SLA达成情况 未打破SLA的事件单数量/纳入统计的事件单总量*100% 天/月 百分比 WarRoom WarRoom WarRoom 统计所有WarRoom数量 选择时间范围内，所有WarRoom数量 天/月 个 事件级别 事件管理 WarRoom关联的事件单级别分布 统计WarRoom关联的各级别事件单的数量 天/月 个 受损应用 WarRoom 统计WarRoom中受损应用的数量 去重计算WarRoom的受损应用数量 天/月 个 平均处理时长 WarRoom 统计WarRoom平均处理时长 选择时间范围内，已关闭的WarRoom处理时间总和/已关闭WarRoom数量 天/月 ddhhmm 受理时间窗分布 WarRoom 统计WarRoom在各个时间窗内的拉起次数 统计各个时间窗范围内，WarRoom的拉起次数 天/月 个 问题改进 问题总数 问题管理 所有的问题单数量 统计时间周期内，所有的问题单数量 天/月 个 问题完成率 问题管理 统计问题单的闭环情况 闭环率=已完成问题单数量/问题单总量*100% 天/月 百分比 改进总数 改进管理 所有的改进单数量 统计时间周期内，所有的改进单数量 天/月 个 改进完成率 改进管理 统计改进单的闭环情况 闭环率=已完成改进单数量/改进单总量*100% 天/月 百分比

变更管理 变更管理包含变更概览、变更开销、变更风险三个模块，全方位呈现变更核心指标。数据概览中包含变更平均时长、成功率等指标，通过环比和趋势图体现变更整体情况。变更风险根据变更等级分布图，分析变更导致的故障。变更开销统计变更人力和时间趋势，有效控制变更成本。指标详情可查看表2。 图4 变更管理 表2 变更管理数据字典 模块 指标名称 数据来源 指标定义 计算规则 统计周期 度量单位 变更概览 变更总量 变更管理 统计的变更单的数量 选择时间周期内，已完成的变更单数量 天/月 个 变更成功率 变更管理 统计变更单的成功率情况 变更成功率=变更成功的变更单数量/已完成的变更单数量*100% 天/月 百分比 变更平均时长 变更管理 统计变更单的平均处理时长 选择时间周期内，已完成的变更单时长求和/已完成的变更单数量*100% 天/月 ddhhmm 变更趋势 变更管理 变更成功和失败的数量以及变更成功率的趋势变化 变更成功和失败的数量以及变更成功率 天/月 个 变更开销 变更人力 变更管理 统计参与变更所需要的人数 变更人力=变更配合人+变更实施人 天/月 人次 变更时间 变更管理 统计变更单的平均处理时长 选择时间周期内，已完成的变更单时长求和/已完成的变更单数量*100% 天/月 ddhhmm 变更风险 变更导致的现网故障 变更管理 统计由于变更原因导致的现网各个级别的事件数量 选择时间范围内，各级别事件单类型为变更操作问题的数量 天/月 个 变更等级 变更管理 统计各个等级的变更单的数量 选择时间周期内，各个等级的变更单数量 天/月 个

监控告警 监控告警将告警信息以直观的图表形式展示，使运维人员快速掌握服务的整体状况，监控告警中含告警分析、告警成本、告警质量三个模块，体现告警管理核心指标。告警分析中提供告警总量、告警级别、Top应用、告警降量和告警趋势等指标，运维主管可通过对历史告警数据的分析，了解服务告警的趋势和模式，发现潜在的性能问题或故障隐患。告警成本统计告警闭环率和自动化处理率，运维主管可以利用告警成本有效控制变更的人力成本。告警质量统计事件单故障和WarRoom的告警发现率，帮助运维主管评估当前告警的有效性，并及时进行告警配置的优化。指标详情可查看表4。 图6 监控告警 表4 监控告警数据字典 模块 指标名称 数据来源 指标定义 计算规则 统计周期 度量单位 告警分析 告警总量 告警管理 统计所有告警的数量 选择时间范围内，所有告警的数量 天/月 个 告警级别 告警管理 统计各个级别的告警的数量 选择时间范围内，各个级别的告警的数量 天/月 个 告警趋势 告警管理 选择时间范围内，各级别告警的数量趋势变化 选择时间范围内，各个级别的告警的数量 天/月 个 告警成本 告警闭环率 告警管理 统计告警闭环情况 选择时间范围内，已闭环告警数量/告警总数量*100% 天/月 百分比 告警自动化处理率 告警管理 统计告警的自动化处理情况 选择时间范围内，自动化处理告警/告警总数*100% 天/月 百分比 原始告警-告警质量 故障告警发现率 事件管理 统计所有事件单中，由告警发现的事件单数量 选择时间范围内，告警转事件单数量/事件单总数量*100% 天/月 百分比 WarRoom告警发现率 WarRoom 统计所有WarRoom中，由告警发现的WarRoom数量 选择时间范围内，告警转事件拉起的WarRoom数量/WarRoom 总数量*100% 天/月 百分比 汇聚告警-告警SLA统计 告警SLA达成率 SLA管理 统计汇聚告警SLA达成情况 未打破SLA的告警数量/纳入统计的告警总量*100% 天/月 百分比

运维总览 运维总览包含总览数据、风险冒泡、PRR评审汇总（生产准备度评估）、TOP5故障四个模块。总览数据可以全局视角观测运维态势情况，辅助运维优化改进和洞察决策。风险冒泡通过风险故障、WarRoom、变更导致故障呈现当前运维态势风险情况。PRR评审汇总体现应用上线/转商前的评审情况。TOP5故障通过算法统计影响最严重的Top5事件单，快速识别重大故障场景。指标详情可查看表1。 图3 运维总览 表1 运维总览数据字典 模块 指标名称 数据来源 指标定义 计算规则 统计周期 度量单位 总览数据 事件 事件中心 统计事件单的数量趋势 选择时间周期内，所有事件单的数量 天/月 个 告警 告警中心 统计汇聚告警的数量趋势 选择时间周期内，所有汇聚告警的数量 天/月 个 问题 问题管理 统计问题单的数量趋势 选择时间周期内，所有问题单的数量 天/月 个 WarRoom WarRoom 统计WarRoom的数量趋势 选择时间周期内，所有WarRoom的数量 天/月 个 变更 变更管理 统计变更单的数量趋势 选择时间周期内，所有变更单的数量 天/月 个 服务SLO SLO管理 统计服务SLO实际值的变化趋势 SLO实际值 = 1 - （服务不可用时长 / 云服务总时长）*100% 天/月 百分比 风险冒泡 变更导致故障数 事件管理 统计变更问题引发事件单数量 事件类型为变更操作问题的事件单数量 天/月 个 风险故障 事件管理 统计发生的P3+事件单数量 P1、P2、P3级别的所有事件单的数量，包括未完成状态的事件单 天/月 个 Warroom 告警中心 统计Warroom数量 选择时间周期内，WarRoom的数量 天/月 个 PRR评审汇总 PRR评审应用 PRR评审 统计参与PRR评审的应用数量 参与PRR评审的应用数量 天/月 个 PRR评审通过情况 PRR评审 统计在PRR各阶段中，通过与未通过的服务数量 PRR各阶段，通过与未通过的服务数量 天/月 个 TOP5故障 TOP5故障 事件管理 统计严重性最高的事件Top5 根据选择时间范围，统计已完成的P3+事件，并先按事件级别排序，再按照中断时长排序，排列TOP5事件 天/月 事件信息

操作场景 云运维中心提供运维态势感知的能力，包含变更、事件、告警、安全合规、SLO（服务级别目标）、PRR（生产准备度评估）等多种运维指标数据，从宏观到微观全面呈现运维全局态势，提供企业级运维沙盘。 面向不同角色运维人员的专属运维BI看板，辅助运维优化改进和洞察决策。 预置接入30个+运维指标，构建7张运维态势感知大屏，从宏观到微观全面呈现运维全局态势，提供企业级运维沙盘。 支持组织/委托管理员跨账号查看组织成员账号的运维态势，提供跨账号场景下的多区域、多应用数据汇聚能力。

资源看板 登录云运维中心。 进入COC“总览”，查看资源看板。默认展示全部区域的资源。 图1 资源信息 单击右上方。 同步资源与告警信息。 单击“全部区域”自定义筛选指定区域查看该区域下的资源。 图2 区域筛选 选择云服务图标鼠标悬停。 展示紧急/重要告警数量，和资源实例的区域分布。云服务图标右上角红底数字代表告警数量。 图3 鼠标悬停查看资源 单击云服务图标。 展示对应资源类型的全部资源信息。 图4 查询资源信息 选择需要查看的资源，单击操作列“查看详情”。 跳转至对应服务的资源详情页面。 选择需要查看的资源，单击资源名称左侧。 展开全部告警信息（来源于 CES ）。 图5 查看告警 选择需要查看的告警，单击告警规则名称。 跳转至CES对应的告警规则页面。 选择需要查看的告警，单击“告警自动处理”。 进入COC执行响应预案页面，快速处理告警。

前提条件 开通组织服务，请参见开通组织服务。 图1 开通组织服务 只有企业中心的企业主账号的权限才能创建组织，非企业账号不支持使用Organizations。 企业中心创建组织后，需要在Organizations重新授权，即可访问组织所有功能。 组织开通之后，跳转到组织管理页面，按照以下步骤创建组织： 组织管理员需要创建一个组织，一个账号只能有一个组织； 成员账号看不到除了控制面板外的东西； 成员账号也必须是企业级账号。 授权COC为可信服务，请参见授权为可信服务。 图2 授权为可信服务 该账号为管理员或者委托管理员，如果不是请参照添加委托管理员章节的内容。 图3 添加委托管理员

概述 云运维中心服务具备安全可靠的跨账号数据汇聚和资源运维能力，如果您的账号由组织管理，您可以在云运维中心对组织内所有成员账号进行统一的资源管理、自动化运维以及运维态势感知，而无需逐个登录到成员账号。 通过COC对组织成员账号进行跨账号管理需要执行以下操作（以A账号管理B账号为例）： 如果A账号是组织管理员，则跳过此步骤。如果A账号不是组织管理员，则由组织管理员将A账号添加为委托管理员，相关操作请参见添加委托管理员。 管理员可以添加或者取消成员的委托管理员权限，组织成员架构变动时需要1-2分钟后刷新页面才能生效。 由组织管理员或委托管理员邀请B账号加入组织，相关操作请参见邀请账号加入组织。 B账号加入组织后，登录A账号在COC服务“运维态势感知”、“资源管理”、“作业管理”页面可对B账号进行跨账号运维管理。 有关组织的详细说明请参见《组织用户指南》。 为了请求B账号下的数据资产信息，COC会自动在B账号中创建服务关联委托： 该委托是云服务委托，“委托权限”为“COCAssumeServiceLinkedAgencyPolicy”，“委托名称”为“ServiceLinkedAgencyForCOC”。 删除B账号时，COC会自动删除B账号内的服务关联委托。

修改或删除委托权限 若开通COC后，识别到存在委托权限过大或权限不足的情况，可以前往 统一身份认证 服务中修改委托策略。 如果需要修改委托的权限、持续时间、描述等，可以在委托列表中，单击委托右侧的“修改”，修改委托。 图2 委托列表 可在授权记录页面中，对该委托进行授权或删除已授权的权限。 图3 授权记录 云服务委托支持修改云服务、持续时间、描述、权限，委托名称、类型不支持修改。 修改云服务委托权限后可能会影响该云服务部分功能的使用，请谨慎操作。 需要了解更多委托相关信息，请访问统一身份认证服务进行了解。

COC自定义策略样例 示例1：授权用户创建运维事务 { "Version": "5.0", "Statement": [ { "Effect": "Allow", "Action": [ "coc:task:create" ] } ] } 示例2：拒绝用户删除文档 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。 如果您给用户授予COC FullAccessPolicy的系统策略，但不希望用户拥有COC FullAccessPolicy中定义的删除文档的权限，您可以创建一条拒绝删除文档的自定义策略，然后同时将COC FullAccessPolicy和拒绝策略授予用户，根据Deny优先原则，则用户可以对COC执行除了删除文档外的所有操作。拒绝策略示例如下： { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "coc:document:delete" ] } ] } 示例3：多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务。多个授权语句策略描述如下： { "Version": "5.0", "Statement": [ { "Effect": "Allow", "Action": [ "coc:document:create", "scm:cert:complete" ] } ] }

COC自定义策略样例 示例1：授权用户创建运维事务 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "coc:task:create" ] } ] } 示例2：拒绝用户删除文档 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。 如果您给用户授予COC FullAccess的系统策略，但不希望用户拥有COC FullAccess中定义的删除文档的权限，您可以创建一条拒绝删除文档的自定义策略，然后同时将COC FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对COC执行除了删除文档外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "coc:document:delete" ] } ] } 示例3：多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "coc:document:create", "scm:cert:complete" ] } ] }

步骤二：创建并授权应用 管理员在OrgID管理中心页面，选择左侧导航栏的“应用管理”。 单击“添加自建应用”。 输入应用名称，如“App-test”，上传应用图标、选择应用类型并设置应用负责人，如图1所示，单击“确认”。 图1 自建App 进入“认证集成”页签，根据实际情况选择认证集成方式：OAuth2、OIDC、SAML、CAS3，选择后不支持修改，此处选择“OAuth2”，单击“确认”。 图2 开启认证集成方式 配置首页URL、Access Token有效期、Refresh Token有效期等参数，单击“保存”。 图3 参数配置 进入“授权管理”页签。单击“授权设置”，在“授权提醒”页面确认授权信息。 在“授权设置”页面选择可用成员范围，此处选择“全员可用”，组织下所有成员即可在用户中心看到并使用该应用。 图4 授权设置

支持的加速区域 加速区域是指您的客户端/终端用户所在的地域，分为中国大陆、中国大陆以外（不包括欧洲）和欧洲。例如，您的应用部署在中国大陆，需要加速海外用户（不包括欧洲）的访问体验，加速区域应该选择“中国大陆以外”。 全球加速服务在不同的加速区域中部署了相应的接入点，详细请参见表1。 表1 全球加速服务已开通的接入点 加速区域 大区 接入点 中国大陆 中国大陆 广州、北京、上海 中国大陆以外 亚太 中国香港、新加坡、泰国（曼谷）、印度尼西亚（雅加达）、菲律宾（马尼拉）、日本（东京）、越南（胡志明） 拉美 哥伦比亚（波哥大）、墨西哥（墨西哥城）、巴西（圣保罗）、智利（圣地亚哥） 中东 土耳其（伊斯坦布尔）、阿联酋（迪拜）、沙特（利雅得） 非洲 南非共和国（约翰内斯堡）、埃及（开罗） 欧洲 欧洲 法国 （巴黎）、德国 （法兰克福）、爱尔兰（都柏林） 如果您需要加速欧洲用户的访问体验，请提交工单为您的账号开通欧洲-都柏林区域的云联盟权限。 相关配置案例请参见如何实现华为云中国站使用欧洲接入点加速欧洲地区用户访问？

工业软件 服务 作用范围 系统权限 权限类别 权限描述 工业数字模型驱动引擎（iDME） 区域级项目 DME AppOperationAccess 策略 数据模型驱动引擎服务应用管理权限，拥有创建和修改应用的权限。 DME EnvOperationAccess 数据模型驱动引擎服务运行环境管理权限，拥有部署和卸载应用的权限。 DME FullAccess 工业数字模型驱动引擎服务所有权限。 DME ReadOnlyAccess 工业数字模型驱动引擎的只读策略，拥有应用列表、运行服务列表的只读权限。 工业数据转换引擎云服务（iDEE） 区域级项目 iDEE FullAccess 策略 工业数据转换引擎云服务所有权限。 iDEE ReadOnlyAccess 工业数据转换引擎云服务只读权限。

用户服务 服务 作用范围 系统权限 权限类别 权限描述 业务支撑系统（BSS） （项目级服务） 须知： 授权时，除了全局服务外，需要授予其他所有区域的权限。 区域级项目 BSS Administrator 角色 费用中心、资源中心、账号中心的所有执行权限。 BSS ReadonlyAccess 策略 费用中心、成本中心、消息中心的只读权限。 BSS FinanceAccess 费用中心（BSS）财务管理员，拥有财务操作相关的所有权限。 Enterprise Project BSS FullAccess 企业项目支持的所有运营权限。 企业项目管理服务（EPS） （全局级服务） 全局服务 EPS FullAccess 策略 企业项目管理服务所有权限。 EPS ReadOnlyAccess 企业项目管理服务只读权限。 工单管理（Service Ticket） （全局级服务） 全局服务 Ticket Administrator 角色 工单管理的所有执行权限。 Ticket Group Operator 该权限用于处理同组其他用户工单，以便协同办公。 专业服务 （全局级服务、项目级服务） 所有项目 PSDMFullAccess 策略 专业服务交付管理平台的所有权限。 PSDMReadOnlyAccess 专业服务交付管理平台的只读权限。 网站备案 （全局级服务） 全局服务 Beian Administrator 角色 备案服务管理员，拥有备案服务的所有执行权限。

视频 服务 作用范围 系统权限 权限类别 权限描述 媒体处理 （MPC） （项目级服务） 区域级项目 MPC Administrator 角色 媒体处理的所有执行权限。 视频点播 服务（VOD） （项目级服务） 区域级项目 VOD Administrator 角色 视频点播服务里的所有操作权限，操作对象为所有的媒资文件。 VOD Group Administrator 除全局配置以及 域名 管理以外的其他点播服务操作权限，操作对象为用户所在组创建的媒资文件。 VOD Group Operator 具有除审核媒资、删除媒资、全局配置、域名管理以外的其他点播服务操作权限，操作对象为用户所在组创建的媒资文件。 VOD Group Guest 仅具备查询媒资文件的权限，操作对象为用户所在组创建的媒资文件。 VOD Operator 具有除审核媒资、全局配置、域名管理以外的其他点播服务操作权限，操作对象为用户所在组创建的视频文件。 VOD Guest 视频点播服务只读权限。 VOD FullAccess 策略 视频点播服务所有权限。 VOD ReadOnlyAccess 视频点播服务只读权限。 VOD CommonOperations 视频点播服务基本操作权限。具有除全局配置、域名管理、权限管理、审核设置、音视频托管以外的其他点播服务操作权限。 视频直播 服务（Live） （项目级服务） 区域级项目 Live FullAccess 策略 视频直播服务所有权限。 Live ReadOnlyAccess 视频直播服务只读权限。 实时音视频 （RTC） （全局服务） 全局服务 RTC FullAccess 策略 实时音视频服务所有权限。 RTC ReadOnlyAccess 实时音视频服务只读权限。

开发与运维 服务 作用范围 系统权限 权限类别 权限描述 软件开发生产线 CodeArts （项目级服务） 区域级项目 DevCloud Console FullAccess 策略 软件开发平台控制台所有权限。 DevCloud Console ReadOnlyAccess 软件开发平台控制台只读权限。 需求管理 CodeArts Req （项目级服务） 区域级项目 ProjectMan ConfigOperations 策略 软件开发云项目配置的所有权限。 CodeArts IDE Online （项目级服务） 区域级项目 CloudIDE FullAccess 策略 CodeArts IDE Online所有权限。 CloudIDE ReadOnlyAccess CodeArts IDE Online只读权限。 CloudIDE Development CodeArts IDE Online开发权限，包括查看、启动、停止、访问实例等操作。 CloudIDE InstanceManagement CodeArts IDE Online实例管理权限，用户可以管理自己拥有的实例、访问被分发给自己的实例。

企业应用 服务 作用范围 系统权限 权限类别 权限描述 云桌面 （Workspace） （项目级服务） 区域级项目 Workspace FullAccess 策略 云桌面服务所有权限。 Workspace DesktopsManager 云桌面服务桌面管理员权限。 Workspace UserManager 云桌面服务用户管理员权限。 Workspace SecurityManager 云桌面服务安全管理员权限。 Workspace TenantManager 云桌面服务租户配置管理员权限。 Workspace ReadOnlyAccess 云桌面服务只读权限。 应用与 数据集成平台 （ROMA Connect） （项目级服务） 区域级项目 ROMA Administrator 角色 ROMAConnect管理员权限，拥有该权限的用户可以操作并使用所有ROMAConnect功能。 该角色有依赖，请根据需要在同项目中勾选依赖的角色： 使用VPC通道时，用户还需具备VPC Administrator角色权限。 使用FunctionGraph作为API的后端服务时，用户还需具备FunctionGraph Administrator角色权限。 使用规则引擎转发DIS时，用户还需具备DIS Administrator角色权限。 ROMA FullAccess 策略 ROMA Connect服务所有权限，拥有该权限的用户可以操作所有ROMA Connect服务的功能。 ROMA CommonOperations ROMA Connect服务普通用户权限（无实例创建、修改、删除的权限）。 ROMA ReadOnlyAccess ROMA Connect服务的只读权限，拥有该权限的用户仅能查看ROMA Connect服务数据。 ROMA资产中心（ROMA Exchange） （全局级服务、项目级服务） 所有项目 ROMAExchange FullAccess 策略 ROMA资产中心所有权限。 ROMAExchange CommonOperations ROMA资产中心的资产操作权限，但不包括单据审批权限。 ROMAExchange ApprovalOperations ROMA资产中心的单据审批权限，但不包括资产操作权限。

云通信 服务 作用范围 系统权限 权限类别 权限描述 语音通话（VoiceCall） （项目级服务） 区域级项目 RTC Administrator 角色 语音通话、消息&短信、 隐私保护通话 的所有执行权限。 消息&短信（MSG SMS ） （项目级服务） 区域级项目 RTC Administrator 角色 语音通话、消息&短信、隐私保护通话的所有执行权限。 MSGSMS FullAccess 策略 消息&短信服务普通用户权限，拥有该权限的用户可以拥有消息&短信支持的全部权限，包括创建、删除、查询、变更规格等操作。 MSGSMS ReadOnlyAccess 消息&短信服务只读权限，拥有该权限的用户仅能查看消息&短信服务数据。 隐私保护通话（PrivateNumber） （项目级服务） 区域级项目 RTC Administrator 角色 语音通话、消息&短信、隐私保护通话的所有执行权限。 PrivateNumber FullAccess 策略 隐私保护通话服务所有权限。 PrivateNumber ReadOnlyAccess 隐私保护通话服务只读权限。

EI 企业智能 服务 作用范围 系统权限 权限类别 权限描述 ModelArts （项目级服务） 区域级项目 ModelArts FullAccess 策略 ModelArts管理员权限，拥有ModelArts所有的权限。 ModelArts CommonOperations ModelArts操作权限，拥有除了管理专属资源池之外的所有操作权限。 数据治理中心 （ DataArts Studio ） （项目级服务） 区域级项目 DAYU Administrator 角色 DataArts Studio的所有执行权限。具备对所有工作空间的所有权限。 特殊的是，仅DAYU Administrator具有数据开发模块的默认项配置权限（周期调度、多IF策略、软硬锁策略），DAYU User不支持。 DAYU User 数据治理 中心DataArts Studio普通用户，拥有被授予的工作空间的指定角色的权限。 赋予DAYU User策略的用户具有什么权限，依赖于该用户在工作空间中被赋予什么角色。 MapReduce服务 （ MRS ） （项目级服务） 区域级项目 MRS FullAccess 策略 MapReduce服务的所有执行权限。 MRS CommonOperations MapReduce服务的普通用户权限（无新增、删除资源权限）。 MRS ReadOnlyAccess MapReduce服务的只读权限。 MRS Administrator 角色 MapReduce服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 数据仓库 服务 GaussDB （DWS） （项目级服务） 区域级项目 DWS FullAccess 策略 数据仓库服务的所有执行权限。 DWS ReadOnlyAccess 数据仓库服务的只读权限。 DWS Administrator 角色 数据仓库服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 DWS Database Access 数据仓库服务数据库访问权限，拥有该权限的用户，可以基于 IAM 用户生成临时数据库用户凭证以连接DWS集群数据库。 数据湖探索 （ DLI ） （项目级服务） 区域级项目 DLI Service Admin 角色 数据湖 探索的所有执行权限。 DLI FullAccess 策略 数据湖探索所有权限，拥有该权限的用户拥有数据湖探索所有的执行权限。 DLI ReadOnlyAccess 数据湖探索只读权限，拥有该权限的用户仅有查看队列列表、作业列表、作业详情、数据库列表、表列表、显示建表语句和显示表字段以及作业创建、更新、删除等作业元数据操作权限，无其他权限。 图引擎服务（GES） （项目级服务） 区域级项目 GES Administrator 角色 图引擎服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 GES Manager GES服务高级用户，可以对GES资源执行除创建图和删除图以外的任意操作。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 GES Operator 只读图、访问图权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 GES FullAccess 策略 图引擎服务管理员权限，拥有该权限的用户拥有图引擎服务的全部权限，包括创建、删除、访问、升级等操作。 GES Development 图引擎服务使用权限，拥有该权限的用户可以执行除了创建图、删除图以外所有操作。 GES ReadOnlyAccess 图引擎服务资源只读权限，拥有该权限的用户只能做一些资源查看类的操作如查看图列表、查看元数据和查看备份等。 云搜索服务 （ CSS ） （项目级服务） 区域级项目 CS S Administrator 角色 云搜索 服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 数据接入服务 （DIS） （项目级服务） 区域级项目 DIS Administrator 角色 数据接入服务的所有执行权限。 DIS Operator 通道管理权限，拥有创建删除等管理通道的权限，但不能使用通道上传下载数据。 DIS User 通道使用权限，拥有使用通道上传下载数据的权限，但不能管理通道。 表格存储服务 （CloudTable） （项目级服务） 区域级项目 CloudTable Administrator 角色 表格存储 服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 推荐系统（RES） （项目级服务） 区域级项目 RES FullAccess 策略 推荐系统的所有执行权限。 RES ReadOnlyAccess 推荐系统的只读权限。 对话机器人服务 （CBS） （项目级服务） 区域级项目 CBS Administrator 角色 对话机器人 服务的所有执行权限。 CBS Guest 对话机器人服务的只读权限。 华为HiLens （项目级服务） 区域级项目 HiLens FullAccess 策略 Huawei HiLens管理员权限，拥有该权限的用户可以操作并使用所有Huawei HiLens服务。 如果需要申请公测、设置告警接收和设置技能消息的操作权限，需要在同项目中勾选 SMN Administrator角色。 HiLens CommonOperations Huawei HiLens操作权限，拥有该权限的用户拥有Huawei HiLens服务的操作权限除了注销设备、下架技能的权限。 HiLens ReadOnlyAccess Huawei HiLens只读权限，拥有该权限的用户仅能查看Huawei HiLens服务的数据。 如果需要申请公测、设置告警接收和设置技能消息的操作权限，需要在同项目中勾选SMN Administrator角色。 可信智能计算服务 （ TICS ） （项目级服务） 区域级项目 TICS FullAccess 策略 可信智能计算 服务的所有访问权限。 TICS ReadOnlyAccess 可信智能计算服务的只读访问权限。 TICS CommonOperations 可信智能计算服务联盟、作业、代理、通知、数据集的管理权限 LakeFormation 全局服务 LakeFormation FullAccess 策略 LakeFormation管理员权限，拥有该权限的用户可以操作并使用所有LakeFormation服务功能。 LakeFormation ReadOnlyAccess LakeFormation只读权限，拥有该权限的用户可以执行LakeFormation所有查询类功能。 LakeFormation CommonAccess LakeFormation基础权限，包含LakeForamtion服务协议查看/授权/取消，以及OBS、TMS等周边依赖服务的基础权限集合。

迁移 服务 作用范围 系统权限 权限类别 权限描述 云数据迁移 （ CDM ） （项目级服务） 区域级项目 CDM Administrator 角色 云数据迁移的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 CDM FullAccess 策略 CDM管理员权限，拥有CDM服务所有权限。 CDMFullAccessExceptUpdateEIP 拥有除绑定/解绑EIP外的所有CDM服务权限。 CDM CommonOperations 拥有CDM作业和连接的操作权限。 CDM ReadOnlyAccess CDM服务只读权限，拥有该权限的用户仅能查看CDM集群、连接、作业。 主机迁移服务 （SMS） （全局级服务） 全局服务 SMS FullAccess 策略 主机迁移 服务所有权限。 SMS ReadOnlyAccess 主机迁移服务只读权限。 对象存储迁移 服务（ OMS ） （项目级服务） 区域级项目 OMS Administrator 角色 对象存储迁移服务所有权限。 如需使用OMS，需要为IAM用户同时授予系统策略OBS OperateAccess。

数据库 服务 作用范围 系统权限 权限类别 权限描述 关系型数据库（RDS） （项目级服务） 区域级项目 RDS FullAccess 策略 关系型数据库的所有执行权限。 RDS ReadOnlyAccess 关系型数据库的只读权限。 RDS ManageAccess 关系型数据库除删除操作外的DBA权限。 RDS Administrator 角色 关系型数据库的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 文档数据库服务（DDS） （项目级服务） 区域级项目 DDS FullAccess 策略 文档数据库服务的所有执行权限。 DDS ReadOnlyAccess 文档数据库服务的只读权限。 DDS ManageAccess 文档数据库服务除删除操作外的DBA权限。 DDS Administrator 角色 文档数据库服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator 如果配置了DDS企业项目，需要在同项目中勾选DAS Admin，才可以通过DDS界面登录到DAS服务。 数据复制服务 （DRS） （项目级服务） 区域级项目 DRS Administrator 角色 数据复制服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 DRS FullAccess 策略 数据复制服务所有权限。 DRS ReadOnlyAccess 数据复制服务只读权限 数据管理服务（DAS） （项目级服务） 区域级项目 DAS Administrator 角色 数据管理服务管理员，拥有该服务下的所有权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 DAS FullAccess 策略 数据管理服务的所有权限。 分布式数据库 中间件（DDM） （项目级服务） 区域级项目 DDM FullAccess 策略 分布式数据库中间件的所有执行权限。 DDM CommonOperations 分布式数据库中间件的普通权限。 普通权限与所有执行权限比较，普通权限不具备以下操作权限： 购买DDM实例 删除DDM实例 平滑扩容 扩容失败-回滚、扩容失败-清理 DDM ReadOnlyAccess 分布式数据库中间件的只读权限。 云数据库 GeminiDB （项目级服务） 区域级项目 GeminiDB FullAccess 策略 分布式多模NoSQL数据库服务所有权限。 GeminiDB ReadOnlyAccess 分布式多模NoSQL数据库服务只读权限。 云数据库GaussDB （项目级服务） 区域级项目 GaussDB FullAccess 策略 云数据库GaussDB服务的所有执行权限。 GaussDB ReadOnlyAccess 云数据库GaussDB服务的只读访问权限。

管理与监管 服务 作用范围 系统权限 权限类别 权限描述 统一身份认证服务（IAM） （全局服务） 全局服务 IAM ReadOnlyAccess 策略 统一身份认证服务的只读权限。 全局服务 Security Administrator 角色 统一身份认证服务(除切换角色外)所有权限。 云监控服务 （CES） （项目级服务） 区域级项目 CES Administrator 角色 云监控 服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 区域级项目 CES FullAccess 策略 云监控服务的管理员权限，拥有该权限可以操作云监控服务的全部权限。 云服务监控功能因为涉及需要查询其他云服务的实例资源，需要涉及服务支持策略授权特性，才可以正常使用，支持策略授权的云服务列表请参考: 使用IAM授权的云服务。 区域级项目 CES ReadOnlyAccess 云监控服务的只读权限，拥有该权限仅能查看云监控服务的数据。 云服务监控功能因为涉及需要查询其他云服务的实例资源，需要涉及服务支持策略授权特性，才可以正常使用，支持策略授权的云服务列表请参考: 使用IAM授权的云服务。 应用运维管理 服务（ AOM ） （项目级服务） 区域级项目 AOM FullAccess 策略 应用运维管理服务的所有执行权限。 AOM ReadOnlyAccess 应用运维管理服务的只读权限。 应用性能管理 服务（ APM ） （项目级服务） 区域级项目 APM FullAccess 策略 应用性能管理服务的所有执行权限。 APM ReadOnlyAccess 应用性能管理服务的只读权限。 APM Administrator 角色 应用性能管理服务的所有执行权限。 云审计 服务（ CTS ） （项目级服务） 区域级项目 CTS FullAccess 策略 云审计服务所有权限。 说明： 开通云审计服务，需同时拥有CTS FullAccess、Security Administrator权限。 CTS ReadOnlyAccess 云审计服务只读权限。 CTS Administrator 角色 云审计服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、以及Tenant Administrator。 云日志 服务（LTS） （项目级服务） 区域级项目 LTS FullAccess 策略 云日志服务所有权限。 LTS ReadOnlyAccess 云日志服务的只读权限。 LTS Administrator 角色 云日志服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、以及Tenant Administrator。 标签管理服务（TMS） （全局级服务） 全局服务 TMS FullAccess 策略 标签管理服务所有权限。 TMS ReadOnlyAccess 标签管理服务只读权限。 TMS Administrator 角色 标签管理服务管理员权限。 依赖以下策略： Tenant Guest：全局级/项目级策略，在同项目中勾选。 Server Administrator：项目级策略，在同项目中勾选。 Tenant Guest：全局级策略，选择“全局服务”。 Tenant Administrator：全局级策略，选择“全局服务”。 IMS Administrator：项目级服务，在同项目中勾选。 AutoScaling Administrator：项目级服务，在同项目中勾选。 VPC Administrator：项目级服务，在同项目中勾选。 VBS Administrator：项目级服务，在同项目中勾选。 资源模板服务（RTS） （项目级服务） 区域级项目 RTS Administrator 角色 资源模板服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Server Administrator、ELB Administrator、CES Administrator。 应用身份管理 服务（ OneAccess ） （全局级服务） 全局服务 OneAccess FullAccess 策略 应用身份管理服务所有执行权限，包括自定义域名、修改域名证书等，但IAM用户不支持购买并使用OneAccess。 OneAccess ReadOnlyAccess 应用身份管理服务只读权限，拥有该权限的用户仅能查看应用身份管理服务，不具备服务配置权限。 配置审计 （Config） （全局级服务） 全局服务 Config ConsoleFullAccess 策略 配置审计服务控制台使用所有权限。 Config FullAccess 配置审计服务所有权限。 Config ReadOnlyAccess 配置审计服务只读权限。 资源访问管理 （ RAM ） （全局级服务） 全局服务 RAM FullAccess 策略 资源访问管理服务所有权限。 RAM ReadOnlyAccess 资源访问管理服务只读权限。 RAM ResourceShareParticipantAccess 资源访问管理服务资源共享邀请的处理权限。 组织（Organizations） （全局级服务） 全局服务 Organizations FullAccess 策略 组织管理所有权限。 Organizations ReadOnlyAccess 组织管理只读权限。

应用服务 服务 作用范围 系统权限 权限类别 权限描述 应用管理与运维平台（ServiceStage） （项目级服务） 区域级项目 ServiceStage Administrator 角色 应用管理与运维平台管理员，拥有该服务下的所有权限。 ServiceStage Developer 应用管理与运维平台开发者，拥有该服务下的所有权限，但无基础设施创建权限。 ServiceStage Operator 应用管理与运维平台操作员，拥有该服务下的只读权限。 ServiceStage FullAccess 策略 应用管理与运维平台所有权限。 ServiceStage ReadOnlyAccess 应用管理与运维平台只读权限。 ServiceStage Development 应用管理与运维平台开发者权限，拥有应用、组件、环境的操作权限，但无审批权限和基础设施创建权限。 微服务引擎服务（CSE） 区域级项目 CSE FullAccess 策略 微服务引擎服务所有权限。 CSE ReadOnlyAccess 微服务引擎服务只读权限。 分布式缓存服务（DCS） （项目级服务） 区域级项目 DCS FullAccess 策略 分布式缓存服务的所有执行权限。 DCS UserAccess 分布式缓存服务的普通用户权限（无实例创建、修改、删除、扩缩容）。 DCS ReadOnlyAccess 分布式缓存服务的只读权限。 DCS Administrator 角色 分布式缓存服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 分布式消息服务（DMS Kafka、DMS RabbitMQ） （项目级服务） 区域级项目 DMS UserAccess 策略（DMS Kafka） 策略（DMS RabbitMQ） 分布式消息服务（DMS Kafka、DMS RabbitMQ）普通用户权限（没有实例创建、修改、删除、扩容、转储）。 DMS ReadOnlyAccess 分布式消息服务（DMS Kafka、DMS RabbitMQ）的只读权限，拥有该权限的用户仅能查看分布式消息服务数据。 DMS FullAccess 分布式消息服务（DMS Kafka、DMS RabbitMQ）管理员权限，拥有该权限的用户可以操作所有分布式消息服务的功能。 消息通知 服务（SMN） （项目级服务） 区域级项目 SMN Administrator 角色 消息通知服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 SMN FullAccess 策略 消息通知服务所有权限。 SMN ReadOnlyAccess 消息通知服务的只读访问权限。 API网关（APIG） （项目级服务） 区域级项目 APIG Administrator 角色 API网关服务的管理员权限。拥有该权限的用户可以使用共享版和专享版API网关服务的所有功能。 使用VPC通道时，用户还需具备VPC Administrator角色权限 使用自定义认证功能，用户还需具备FunctionGraph Administrator角色权限。 APIG FullAccess 策略 API网关服务所有权限。拥有该权限的用户可以使用专享版API网关服务的所有功能。 APIG ReadOnlyAccess API网关服务的只读访问权限。拥有该权限的用户只能查看专享版API网关的各类信息。 多云高可用服务（MAS） （项目级服务） 区域级项目 MAS FullAccess 策略 多云高可用服务所有权限。 MAS ReadOnlyAccess 多云高可用服务只读权限。 MAS CommonOperations 多云高可用服务基本操作权限，包括拥有应用、组件、监控器的操作权限，但无实例创建、删除权限。 区块链 服务（ BCS ） （项目级服务） 区域级项目 BCS Administrator 角色 区块链服务的管理员权限。

安全与合规 服务 作用范围 系统权限 权限类别 权限描述 Anti-DDoS流量清洗（Anti-DDoS） （项目级服务） 区域级项目 Anti-DDoS Administrator 角色 Anti-DDoS流量清洗的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 DDoS高防（AAD） （项目级服务） 区域级项目 CAD Administrator 角色 DDoS高防服务 管理员，拥有该服务下的所有权限。 DDoS防护（CNAD） （全局服务） 全局服务 CNAD FullAccess 策略 DDoS原生专业防护所有权限。 CNAD ReadOnlyAccess DDoS原生专业防护只读权限。 漏洞扫描服务 （VSS） （项目级服务） 区域级项目 VSS ReadOnlyAccess 角色 漏洞扫描 服务只读权限。 主机安全服务（HSS） （项目级服务） 区域级项目 HSS Administrator 角色 企业主机安全 的所有执行权限。 HSS FullAccess 策略 企业主机安全服务所有权限。 HSS ReadOnlyAccess 企业主机安全服务的只读访问权限。 数据库安全服务（DBSS） （项目级服务） 区域级项目 DBSS System Administrator 角色 数据库安全服务的所有执行权限。 DBSS Audit Administrator 数据库安全服务的安全审计权限。 DBSS Security Administrator 数据库安全服务的安全防护权限。 DBSS FullAccess 策略 数据库安全服务所有权限。 DBSS ReadOnlyAccess 数据库安全服务只读权限，拥有该权限的用户仅能查看数据库安全服务，不具备服务配置权限。 数据加密 服务（DEW）（项目级服务） 区域级项目 KMS Administrator 角色 数据加密服务加密密钥的管理员权限。 KMS CMKFullAccess 策略 数据加密服务加密密钥所有权限。 DEW KeypairFullAccess 数据加密服务密钥对所有权限。 DEW KeypairReadOnlyAccess 数据加密服务密钥对查看权限。 CSMS FullAccess 凭据管理服务所有权限。 CSMS ReadOnlyAccess 凭据管理服务凭据只读权限。 Web应用防火墙 （WAF） （项目级服务） 区域级项目 WAF Administrator 角色 Web应用防火墙的所有执行权限。 该角色有依赖，需要在全局项目中勾选Tenant Guest角色、在同项目中勾选Server Administrator角色。 WAF FullAccess 策略 Web应用防火墙服务的所有权限。 WAF ReadOnlyAccess Web应用防火墙服务的只读访问权限。 云防火墙 （CFW） （项目级服务） 区域级项目 CFW FullAccess 策略 云防火墙服务所有权限。 CFW ReadOnlyAccess 云防火墙服务只读权限。 SSL证书管理（SCM） （全局级服务） （SCM已合并到 云证书管理服务 CCM） 全局服务 SCM Administrator 角色 SSL证书管理服务的管理员权限，拥有服务的所有权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator SCM FullAccess 策略 SSL证书管理服务的所有权限。 SCM ReadOnlyAccess SSL证书管理服务只读权限，拥有该权限的用户仅能查询证书信息，不具备对证书进行增删改权限。 云堡垒机 （CBH） （项目级服务） 区域级项目 CBH FullAccess 策略 云 堡垒机 实例的所有权限。 CBH ReadOnlyAccess 云堡垒机实例只读权限，拥有该权限的用户仅能查看云堡垒机服务，不具备服务配置和操作权限。 数据安全中心 （DSC） （项目级服务） 区域级项目 DSC FullAccess 策略 数据安全中心服务所有权限。 DSC ReadOnlyAccess 数据安全中心服务只读权限。 DSC DashboardReadOnlyAccess 数据安全中心服务大屏服务只读权限。 数据库和应用迁移（UGO） （项目级服务） 区域级项目 UGO FullAccess 策略 数据库和应用迁移服务所有权限。 UGO ReadOnlyAccess 数据库和应用迁移服务只读权限。 UGO CommonOperations 数据库和应用迁移服务SQL语句转换权限。

容器 服务 作用范围 系统权限 权限类别 权限描述 云容器引擎（CCE） （项目级服务） 区域级项目 CCE FullAccess 策略 云容器引擎服务集群资源的普通操作权限（包含集群创建、删除、更新等）。不包括集群（启用Kubernetes RBAC鉴权）命名空间权限以及委托授权、生成集群证书等管理员权限。 说明： IAM用户可以在CCE控制台获取集群（启用Kubernetes RBAC鉴权）命名空间权限以及委托授权、生成集群证书等管理员权限，详情请参考：CCE权限概述。 CCE ReadOnlyAccess 云容器引擎服务集群资源的普通只读权限，不包括集群（启用Kubernetes RBAC鉴权）命名空间权限。 CCE Administrator 角色 具有CCE集群及集群下所有资源（包含工作负载、服务等）的读写权限。 该角色有依赖，需要同时又拥有以下权限： 全局服务：OBS Buckets Viewer。 区域级项目（在同项目中勾选）：Tenant Guest、Server Administrator、ELB Administrator、SFS Administrator、SWR Admin、APM FullAccess。 说明： 如果同时拥有NAT Gateway Administrator权限，则可以在集群中使用NAT网关的相关功能。 云容器实例（CCI） （项目级服务） 区域级项目 CCI FullAccess 策略 云容器实例所有权限，拥有该权限的用户可以执行云容器实例所有资源的创建、删除、查询、更新操作。 CCI ReadOnlyAccess 云容器实例只读权限，拥有该权限的用户仅能查看云容器实例资源。 CCI CommonOperations 云容器实例普通用户，拥有该权限的用户可以执行除RBAC、network和namespace子资源创建、删除、修改之外的所有操作。 CCI Administrator 角色 云容器实例管理员权限，拥有该权限的用户可以执行云容器实例所有资源的创建、删除、查询、更新操作。 容器镜像服务 （SWR） （项目级服务） 区域级项目 SWR Admin 角色 容器 镜像服务 的所有执行权限。 SWR FullAccess 策略 容器镜像服务企业版所有权限。 SWR ReadOnlyAccess 容器镜像服务企业版只读权限，可以查询制品仓库、Chart，创建临时凭证，下载制品等。 SWR OperateAccess 容器镜像服务企业版操作权限，可以查询企业版实例，操作制品仓库、组织，创建临时凭证，上传、下载制品等。 基因容器（GCS） （项目级服务） 区域级项目 GCS Administrator 角色 基因容器服务管理员。 GCS FullAccess 策略 基因容器服务的所有执行权限。 GCS ReadOnlyAccess 基因容器服务的只读权限。 GCS CommonOperations 基因容器服务的使用权限。 应用编排服务 （AOS） （项目级服务） 区域级项目 CDE Admin 角色 应用编排服务（AOS）管理员，拥有该服务下的所有权限。 CDE Developer 应用编排服务（AOS）开发者。 RF FullAccess 策略 资源编排 服务（RF）所有权限。 RF ReadOnlyAccess 资源编排服务（RF）只读权限。 RF DeployByExecutionPlanOperations 资源编排服务（RF）通过执行计划开发权限，拥有执行计划的创建、执行、读取权限和堆栈的读取权限。 华为云UCS （全局级服务） 全局服务 UCS FullAccess 策略 UCS服务管理员权限，拥有该权限的用户拥有服务的所有权限（包含制定权限策略、安全策略等）。 UCS CommonOperations UCS服务基本操作权限，拥有该权限的用户可以执行创建工作负载、流量分发等操作。 UCS CIAOperations UCS服务容器智能分析管理员权限。 UCS ReadOnlyAccess UCS服务只读权限（除容器智能分析只读权限）。

网络 服务 作用范围 系统权限 权限类别 权限描述 虚拟私有云（VPC） （项目级服务） 区域级项目 VPC FullAccess 策略 虚拟私有云的所有执行权限。 VPC ReadOnlyAccess 虚拟私有云的只读权限。 VPC Administrator 角色 虚拟私有云的部分操作权限，不包括创建、修改、删除、查看安全组以及安全组规则。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 Server Administrator 对弹性IP地址、安全组、端口进行任意操作。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 弹性负载均衡（ELB） （项目级服务） 区域级项目 ELB FullAccess 策略 弹性负载均衡的所有执行权限。 ELB ReadOnlyAccess 弹性负载均衡的只读权限。 ELB Administrator 角色 弹性负载均衡的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 NAT网关（NAT） （项目级服务） 区域级项目 NAT FullAccess 策略 NAT网关的所有执行权限。 NAT ReadOnlyAccess NAT网关的只读权限。 NAT Administrator 角色 NAT网关的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 云专线（DC） （项目级服务） 区域级项目 Direct Connect Administrator 角色 云专线服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 DCaaS Partner 云专线服务的合作伙伴用户权限，支持为其他用户创建托管和标准连接。 DCAAS FullAccess 策略 云专线服务所有权限。 DCAAS ReadOnlyAccess 云专线服务只读权限。 虚拟专用网络 （VPN） （项目级服务） 区域级项目 VPN Administrator 角色 虚拟专用网络的管理员权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 VPN FullAccess 策略 虚拟专用网络服务所有权限。 VPN ReadOnlyAccess 虚拟专用网络服务只读权限。 云解析服务（DNS） （项目级服务） 区域级项目 DNS Administrator 角色 云解析服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 DNS FullAccess 策略 云解析服务的所有执行权限。 DNS ReadOnlyAccess 云解析服务只读权限，拥有该权限的用户仅能查看DNS的资源。 VPC终端节点 （VPCEP） （项目级服务） 区域级项目 VPCEndpoint Administrator 角色 VPC终端节点的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Server Administrator、VPC Administrator和DNS Administrator。 云连接（CC） （全局级服务） 全局服务 Cross Connect Administrator 角色 云连接服务的管理员权限，拥有该权限的用户拥有云连接服务所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 CC FullAccess 策略 云连接服务所有权限。 CC ReadOnlyAccess 云连接服务只读权限。 CC Network Depend QueryAccess 云连接服务依赖的只读权限。 企业路由器（ER） （项目级服务） 区域级项目 ER FullAccess 策略 企业路由器所有权限。 ER ReadOnlyAccess 企业路由器只读权限。

存储 服务 作用范围 系统权限 权限类别 权限描述 对象存储服务 （OBS） （全局级服务） 全局服务 OBS OperateAccess 策略 拥有该权限的用户可以执行OBS ReadOnlyAccess的所有操作，在此基础上还可以执行上传对象、下载对象、删除对象、获取对象ACL等对象基本操作。 OBS ReadOnlyAccess 拥有该权限的用户可以执行列举桶、获取桶基本信息、获取桶元数据、列举对象的操作。 OBS Buckets Viewer 角色 拥有该权限的用户可以执行列举桶、获取桶基本信息、获取桶元数据的操作。 云硬盘（EVS） （项目级服务） 区域级项目 EVS FullAccess 策略 云硬盘的所有权限，具有云硬盘资源的创建、扩容、挂载、卸载、查询、删除等操作权限。 EVS ReadOnlyAccess 云硬盘的只读权限，只有云硬盘资源的查询权限。 Server Administrator 角色 云硬盘服务的所有执行权限。 云备份（CBR） （项目级服务） 区域级项目 CBR FullAccess 策略 云备份管理员权限，拥有该权限的用户可以操作并使用所有存储库和策略。 CBR BackupsAndVaultsFullAccess 云备份普通用户权限，拥有该权限的用户可以创建、查看和删除存储库等。 CBR ReadOnlyAccess 云备份只读权限，拥有该权限的用户仅能查看云备份数据。 内容分发网络（CDN） （全局级服务） 全局服务 CDN DomainReadOnlyAccess 策略 内容分发网络加速域名信息的只读权限。 CDN StatisticsReadOnlyAccess 内容分发网络统计信息的只读权限。 CDN LogsReadOnlyAccess 内容分发网络日志的只读权限。 CDN RefreshAndPreheatAccess 内容分发网络刷新预热权限。 CDN Administrator 角色 内容分发网络的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 存储容灾服务（SDRS） （项目级服务） 区域级项目 SDRS Administrator 角色 存储容灾服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。 弹性文件服务（SFS） （项目级服务） 区域级项目 SFS FullAccess 策略 弹性文件服务的所有执行权限。 SFS ReadOnlyAccess 弹性文件服务的只读权限。 SFS Turbo FullAccess 弹性文件服务SFS Turbo的所有权限。 SFS Turbo ReadOnlyAccess 弹性文件服务SFS Turbo的只读权限。 SFS Administrator 角色 弹性文件服务的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest。 云服务器备份（CSBS） （项目级服务） 区域级项目 CSBS Administrator 角色 云服务器备份的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Server Administrator。 云硬盘备份（VBS） （项目级服务） 区域级项目 VBS Administrator 角色 云硬盘备份的所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、Server Administrator。