华为云首页用户手册

云证书管理服务 CCM-CCM权限管理:CCM权限

时间：2024-10-11 17:54:46

云证书管理服务 CCM

CCM权限

默认情况下，管理员创建的 IAM 用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。

CCM部署时不区分物理区域，为全局级服务。授权时，在全局项目中设置权限，访问CCM时，不需要切换区域。

根据授权精细程度分为角色和策略。

角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。
策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对CCM服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，CCM支持的API授权项请参见权限及授权项说明。

如表1所示，包括了CCM所有系统角色。

表1 CCM系统角色
角色名称/策略名称	描述	类别	依赖关系
SCM Administrator	SSL证书管理服务管理员权限，拥有服务的所有权限。	系统策略	依赖“Server Administrator”和“Tenant Guest”角色，在同项目中勾选依赖的角色。购买证书需要依赖 BSS Administrator角色。 BSS Administrator：系统角色，费用中心（BSS）管理员，拥有该服务下的所有权限。 WAF FullAccess：系统策略， Web应用防火墙管理员。 ELB FullAccess：系统策略，弹性负载均衡服务所有权限。 CDN FullAccess：系统策略，具有内容分发网络（CDN）所有细粒度鉴权接口的操作权限。 EPS FullAccess：系统策略，企业项目管理服务所有权限。 OBS Administrator：系统策略，对象存储服务管理员。 DNS FullAccess：系统策略，拥有该权限的用户可以拥有云解析服务的全部权限，包括创建、删除、查询、修改等操作。
SCM FullAccess	SSL证书管理服务的所有权限。	系统策略	购买证书需要依赖 BSS Administrator角色。 BSS Administrator：系统角色，费用中心（BSS）管理员，拥有该服务下的所有权限。 WAF FullAccess：系统策略，Web应用防火墙管理员。 ELB FullAccess：系统策略，弹性负载均衡服务所有权限。 CDN FullAccess：系统策略，具有内容分发网络（CDN）所有细粒度鉴权接口的操作权限。 EPS FullAccess：系统策略，企业项目管理服务所有权限。 OBS Administrator：系统策略，对象存储服务管理员。 DNS FullAccess：系统策略，拥有该权限的用户可以拥有云解析服务的全部权限，包括创建、删除、查询、修改等操作。
SCM ReadOnlyAccess	SSL证书管理服务只读权限，拥有该权限的用户仅能查询证书信息，不具备对证书进行增删改权限。	系统策略	无。
PCA FullAccess	私有证书管理服务所有权限。	系统策略	创建私有CA或私有证书需要依赖BSS Administrator角色。 EPS FullAccess：系统策略，企业项目管理服务所有权限。 OBS Administrator：系统策略，对象存储服务管理员。

表2列出了SSL证书管理常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。

如需购买证书，账号除了必须拥有“SCM Administrator”或“SCM FullAccess”之外，还需要拥有“BSS Administrator”权限。

BSS Administrator：费用中心、资源中心、账号中心的所有执行权限。项目级角色，在同项目中勾选。

表2 常用操作与系统权限的关系
操作	SCM Administrator	SCM FullAccess	SCM ReadOnlyAccess
查询SSL证书列表	√	√	√
查询SSL证书详情	√	√	√
查询SSL证书产品类型	√	√	√
查询SSL证书产品详情	√	√	√
取消 SSL证书申请	√	√	x
购买SSL证书	√	√	x
申请SSL证书	√	√	x
保存申请SSL证书填写的信息	√	√	x
读取申请SSL证书填写的信息	√	√	√
修改SSL证书	√	√	x
删除SSL证书	√	√	x
下载SSL证书	√	√	x
上传认证信息	√	√	x
吊销SSL证书	√	√	x
推送SSL证书	√	√	x
查询SSL证书推送记录	√	√	√
上传SSL证书	√	√	x
校验 CS R	√	√	x
新增附加域名	√	√	x
取消隐私授权	√	√	x
重新签发SSL证书	√	√	x
退订SSL证书	√	√	x