华为云首页用户手册

统一身份认证服务 IAM-使用委托实现跨账号的资源授权与管理:被委托方分配委托权限

时间：2025-02-12 15:15:10

统一身份认证服务 IAM

被委托方分配委托权限

以B账号将委托分配给 IAM 用户进行管理为例，实现分配委托以及对委托进行精细授权。委托权限分配完成后，B账号中的IAM用户通过切换角色的方式，可以切换到A账号中，管理委托方授权的资源。

B账号需要提前获取委托公司的华为账号名称、所创建的委托名称以及委托的ID。

创建用户组并授权。
1. B账号在统一身份认证服务左侧导航窗格中，单击“用户组”。
2. 在“用户组”界面中，单击“创建用户组”。
3. 输入“用户组名称”，例如“委托管理”。
4. 单击“确定”。
  返回用户组列表，用户组列表中显示新创建的用户组。
5. 单击新建用户组右侧的“授权”，进入授权界面。
  - 如果需要用户仅管理一个特定的委托，请执行以下步骤对委托进行精细授权。
  - 如果需要用户管理所有委托，请跳过该步骤，直接执行下一步。
  1. 在选择策略页面，单击权限列表右上角“新建策略”。
  2. 输入“策略名称”，例如“管理A公司的委托1”。
  3. “策略配置方式”选择“JSON视图”。
  4. 在“策略内容”区域，填入以下内容：
```
{        "Version": "1.1",        "Statement": [                {                        "Action": [                                "iam:agencies:assume"                        ],                        "Resource": {                                "uri": [                                        "/iam/agencies/b36b1258b5dc41a4aa8255508xxx..."                                ]                        },                        "Effect": "Allow"                }        ]}
```
    "b36b1258b5dc41a4aa8255508xxx..."需要替换为待授权委托的ID，需要提前向委托方获取，其他内容不需修改，直接拷贝即可。
  5. 单击“下一步”，继续完成授权。
6. 选择上一步中创建的自定义策略“管理A公司的委托1”，或者“Agent Operator”权限。
  - 自定义策略：用户仅能管理指定ID的委托，不能管理其他委托。
  - “Agent Operator”权限：用户可以管理所有委托。
7. 选择授权作用范围。
8. 单击“确定”。
创建用户并加入用户组。
1. B账号在统一身份认证服务左侧导航窗格中，单击“用户”
2. 在“用户”界面，单击“创建用户”。
3. 在“创建用户”界面，输入“用户名”“邮箱”。
4. “访问方式”选择“管理控制台访问”。
5. “凭证类型”选择“首次登录时设置”。
6. “登录保护”选择“开启”，并选择身份验证方式，单击“下一步”。
7. 在“加入用户组”页面，选择步骤2中创建的用户组“委托管理”，单击“创建用户”。
切换角色。
1. 使用步骤2创建的IAM用户，通过“IAM用户登录”方式，登录华为云。登录方法，请参见：IAM用户登录。
2. IAM用户在控制台页面，右上方的用户名中，选择“切换角色”。
  图5 切换角色
3. IAM用户在“切换角色”页面中，输入委托方的账号名称，输入账号名称后，系统将会按照顺序自动匹配委托名称。
  
  如果自动匹配的是没有授权的委托，系统将提示没有权限访问，可以删除委托名称，在下拉框中选择已授权的委托名称。
4. 单击“确定”，切换至委托方账号中。IAM用户可以对B账号分配委托权限的A账号资源进行管理操作。