正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
一个账号可以创建多个虚拟用户SSO类型的身份提供商。 状态 身份提供商的状态。默认设置为“启用”。 单击“确定”,创建身份提供商成功。 在华为云上配置元数据文件 配置元数据文件,即把企业IdP的Metadata文件配置到华为云。IAM支持“上传文件”和“手动编辑”两种配置,选择其
0凭据,在华为云平台创建身份提供商并配置授权信息,从而建立企业管理系统和华为云平台的信任关系。 配置身份转换规则:通过在华为云平台配置身份转换规则,将IdP中的用户、用户组及其访问权限映射到华为云平台。 配置企业管理系统登录入口:将华为云平台的访问入口配置到企业管理系统中,用户可通过登录企业管理系统直接访问华为云平台。
步骤2:配置企业IdP 您可以在企业IdP中配置单点登录相关参数,决定向华为云提供哪些用户信息。企业IdP与华为云交互过程中,需要将企业IdP用户的相关信息发送给华为云,华为云会结合接收到的信息,确定联邦用户的身份和权限。 IAM用户SSO类型的单点登录,企业IdP必须要配置IAM
步骤2:配置企业Idp 您可以在企业IdP中配置单点登录相关参数,决定向华为云提供哪些用户信息。企业IdP与华为云交互过程中,需要将企业IdP用户的相关信息发送给华为云,华为云会结合接收到的信息和身份转换规则,确定联邦用户的身份和权限。 常用的企业IdP配置参数 表1 常用的企业IdP配置参数
使用token方式配置自定义身份代理配置步骤 如果您的企业IdP不支持SAML、OIDC协议,可以使用自定义身份代理,通过编写代码获得华为云登录链接,使企业用户通过企业IdP验证身份后,即可登录华为云。 自定义身份代理适用于不支持SAML、OIDC的企业IdP,如果您使用了支持S
使用委托方式配置自定义身份代理配置步骤 如果您的企业IdP不支持SAML、OIDC协议,可以使用自定义身份代理,通过编写代码获得华为云登录链接,使企业用户通过企业IdP验证身份后,即可登录华为云。 自定义身份代理适用于不支持SAML、OIDC的企业IdP,如果您使用了支持SAML
步骤3:配置外部身份ID IAM用户SSO类型的单点登录,华为云必须要为企业IdP用户对应的IAM用户配置外部身份ID。外部身份ID值要与企业IdP的IAM_SAML_Attributes_xUserId值保持一致。您可以在IAM用户创建时配置外部身份ID,或者直接修改现有IAM用户的外部身份ID:
示例。 请确保您使用的企业IdP支持SAML 2.0协议。 联邦身份认证的配置步骤 建立企业管理系统与华为云的联邦身份认证关系,配置流程如下。 图1 基于SAML的虚拟SSO配置流程 创建身份提供商并建立互信关系:华为云与企业IdP建立联邦认证,需要华为云平台创建一个与企业IdP
修改SAML身份提供商配置 功能介绍 该接口可以用于管理员修改基于SAML协议的身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI
选择权限策略,选择可访问的资源范围,不同的委托对应不同的权限策略。 ECS实例配置委托。在ECS实例的配置项中选择上一步创建的委托,一个ECS实例只可以选择一个委托。 获取委托的临时凭证。ECS实例配置了委托参数后,就获得了委托权限。此时,ECS实例上运行的应用程序可获取委托的临
查询OpenID Connect身份提供商配置 功能介绍 该接口可以用于管理员查询OpenID Connect身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。 调试 您可以在API Explorer中调试该接口。
修改OpenID Connect身份提供商配置 功能介绍 该接口可以用于管理员修改OpenID Connect身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。 调试 您可以在API Explorer中调试该接口。
创建OpenID Connect身份提供商配置 功能介绍 该接口可以用于管理员在创建身份提供商,并注册协议(OIDC协议)后,创建OpenID Connect身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。
创建用户组并授权 管理员可以创建用户组,并给用户组授予策略或角色,然后将用户加入用户组,使得用户组中的用户获得相应的权限。IAM用户也可以为自身授予权限。IAM预置了各服务的常用权限,例如管理员权限、只读权限,管理员可以直接使用这些系统权限给用户组授权,授权后,用户就可以基于权限对云服务
开启非对称签名功能 开启后,可以通过华为云SDK V3版本即可使用非对称签名功能。 关闭非对称签名功能 关闭后会导致正在使用非对称签名功能的访问失败。 自主管理用户属性 开启自主管理用户属性 开启后,所有IAM用户可以管理自己的基本信息,可以根据场景选择IAM用户可以修改的属性信息,可以选择登录密
常用委托配置案例 分配委托权限(被委托方操作) 配置弹性云服务器ECS委托
使用对象 基本信息 所有IAM用户可以修改,华为账号请参考基本信息管理。 敏感操作 管理员可以修改,普通IAM用户不可查看。 登录验证策略 管理员可以修改,普通IAM用户仅可查看。 密码策略 管理员可以修改,普通IAM用户仅可查看。 访问控制 管理员可以修改,普通IAM用户不可查看。
步骤2:配置身份转换规则 在IAM上创建身份提供商后,联邦用户在华为云中的用户名默认为“FederationUser”,且联邦用户仅能访问华为云,没有任何权限。您可以在IAM控制台配置身份转换规则,实现: 企业管理系统用户在华为云中显示不同的用户名。 赋予企业管理系统用户使用华为
any_one_of、not_any_of,详细说明请参见:身份转换规则详细说明。 说明: 一个规则可以创建多条生效条件,所有生效条件均满足,此规则才可以生效。 一个身份提供商可以创建多条规则,规则共同作用。如果所有规则对某个联邦用户都不生效,那么该联邦用户禁止访问华为云。 示例:为企业管理系统管理员设定规则。
创建用户组 功能介绍 该接口可以用于管理员创建用户组。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI POST /v3/groups 请求参数