-
对IAM用户的权限进行安全审计 - 统一身份认证服务 IAM
本章节指导用户如何使用API调用的方式对IAM用户的权限进行安全审计,您可进一步通过编程手段完成定期安全审计工作。 前提条件 审计员对IAM用户的权限进行安全审计时,需要拥有IAM ReadOnlyAccess(推荐)或Security Administrator权限。 总体思路 对IAM用户的权限进行安全审计,步骤如下:
-
敏感操作 - 统一身份认证服务 IAM
解绑弹性公网IP 下载全量备份文件 数据库 云数据库 RDS for PostgreSQL 重置管理员密码 删除数据库实例 删除数据库备份 切换主备节点 修改数据库端口 修改实例内网IP 解绑弹性公网IP 下载全量备份文件 数据库 云数据库 GaussDB(for MySQL) 删除实例 重启实例
-
解绑虚拟MFA后,登录时仍需通过虚拟MFA进行登录验证 - 统一身份认证服务 IAM
解绑虚拟MFA后,登录时仍需通过虚拟MFA进行登录验证 问题描述 您已解绑或重置虚拟MFA,登录华为云时,仍需要通过虚拟MFA进行登录验证。 可能原因 您已开启登录保护,验证方式是“虚拟MFA”,且已解绑或重置虚拟MFA。此时,您的MFA设备和华为云的绑定关系已解除,但是登录保护依然生效,因此需要进行登录验证。
-
如何开启登录验证功能 - 统一身份认证服务 IAM
M用户的登录验证功能 在统一身份认证服务控制台左侧导航窗格中,单击“用户”。 在用户列表中,单击对应用户栏目的“安全设置”。 在“用户详情>安全设置”界面,“登录保护”下的“验证方式”中,选择需要使用的验证方式,输入相应的验证码。 单击“确定”。 账号在安全设置中开启自己的登录验证功能
-
获取账号、IAM用户、项目、用户组、区域、委托的名称和ID - 统一身份认证服务 IAM
ID。 每个区域的项目ID有所不同,需要根据业务所在的区域获取对应的项目ID。 图2 查看账号名、账号ID、用户名、用户ID、项目名称、项目ID 调用API获取用户ID、项目ID 获取用户ID请参考:管理员查询IAM用户列表。 获取项目ID请参考:查询指定条件下的项目列表。 获取用户组名称和ID
-
IAM侧 - 统一身份认证服务 IAM
IAM侧 为了确保您的个人数据(例如用户名、密码、手机号码等)不被未经过认证、授权的实体或者个人获取,IAM对用户数据的存储和传输进行加密保护,以防止个人数据泄露,保证您的个人数据安全。 收集范围 IAM收集及产生的个人数据如表1所示: 表1 个人数据范围列表 类型 收集方式 用途
-
IAM和企业管理的区别 - 统一身份认证服务 IAM
企业管理通过创建企业项目,隔离企业不同项目之间的资源,企业项目中可以包含多个区域的资源。企业项目还可以实现对特定云资源的授权,例如:将一台特定的ECS添加至企业项目,对企业项目进行授权后,可以控制用户仅能管理这台特定的ECS。 支持的服务 使用IAM授权的云服务。 企业管理目前支持的服务请参见支持的云服务 检查规则
-
如何通过Postman获取用户Token - 统一身份认证服务 IAM
Postman是网页调试与辅助接口调用的工具,具有界面简洁清晰、操作方便快捷的特性,可以处理用户发送的HTTP请求,例如:GET,PUT、POST,DELETE等,支持用户修改HTTP请求中的参数并返回响应数据。 Token是用户的访问令牌,承载了用户的身份、权限等信息,用户调用API接口时,需要使用Token进行鉴权。
-
多运维人员权限设置案例 - 统一身份认证服务 IAM
弹性负载均衡(ELB)的所有执行权限,包括购买ELB的权限,仅拥有该权限的用户不能查看ELB以及其他资源的总体消费情况,如果需要查看消费情况,需要配合BSS Administrator使用。 数据库运维 RDS FullAccess 云数据库(RDS)的所有执行权限,包括购买RDS的权限,仅拥
-
系统策略更名详情 - 统一身份认证服务 IAM
OperateAccess OBS Viewer OBS ReadOnlyAccess RDS RDS Admin RDS FullAccess RDS DBA RDS ManageAccess RDS Viewer RDS ReadOnlyAccess RES RES Admin RES FullAccess
-
什么是IAM - 统一身份认证服务 IAM
工作所需的权限,新创建的IAM用户可以使用自己单独的用户名和密码登录华为云。IAM用户的作用是多用户协同操作同一账号时,避免分享账号的密码。 除了IAM外,还有企业管理服务同样可以进行资源权限管理,相对于IAM,企业管理对资源的控制粒度更为精细,同时还支持企业项目费用的管理,建议
-
创建用户组并授权 - 统一身份认证服务 IAM
FullAccess 弹性负载均衡的管理员权限 指定区域项目资源 数据库运维 RDS FullAccess 云数据库的管理员权限 指定区域项目资源 DDS FullAccess 文档数据库服务的管理员权限 指定区域项目资源 DDM FullAccess 分布式数据库中间件的管理员权限 指定区域项目资源
-
企业管理华为云上多租户的联邦认证 - 统一身份认证服务 IAM
企业管理华为云上多租户的联邦认证 场景描述 部分企业级用户在公有云上存在多账号,并且通过企业级IDP系统联邦登录至公有云对不同账号进行操作,需要提前通过API自动配置联邦认证。 本章节指导用户如何使用API调用的方式自动配置联邦认证。 前提条件 账号进行注册或导入操作需要拥有Security
-
步骤1:创建身份提供商 - 统一身份认证服务 IAM
单击身份提供商列表中“操作”列的“修改”。 图3 修改身份提供商 单击“上传文件”左侧的“添加文件”,选择获取的企业IdP的元数据文件。 图4 上传元数据文件 单击“上传文件”。弹出页面显示系统提取到的元数据,单击“确定”。 提示“系统发现您上传的文件中包含多个身份提供商,请选择您本次需要使用的身份提供商”,请在“Entity
-
身份认证 - 统一身份认证服务 IAM
华为云IAM服务要求访问请求方出示身份凭证,并进行身份合法性校验,同时提供登录保护和登录验证策略加固身份认证安全。 身份凭证及其安全性 IAM服务支持通过账号和IAM用户两种身份访问,并且均支持通过用户名密码、访问密钥和临时访问密钥进行身份认证。详见表1,每一种身份凭证,IAM都对其进行安全性设计,目的是保护用户数据,让用户更安全地访问IAM。
-
权限管理 - 统一身份认证服务 IAM
的安全管控要求。 策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。例如:针对ECS服务,管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多
-
基本概念 - 统一身份认证服务 IAM
多个集群。一个Region中的多个AZ间通过高速光纤相连,以满足用户跨AZ构建高可用性系统的需求。 项目 华为云的区域默认对应一个项目,这个项目由系统预置,用来隔离物理区域间的资源(计算资源、存储资源和网络资源),以默认项目为单位进行授权,用户可以访问您账号中该区域的所有资源。如
-
步骤1:创建身份提供商 - 统一身份认证服务 IAM
来建立两个系统之间的互信关系。 前提条件 企业管理员在华为云注册了可用的账号,并已在IAM中创建用户组并授权,具体方法请参见:创建用户组并授权。在华为云IAM上创建的用户组是用于与企业IdP上的用户建立映射关系,使得IdP中的用户获取华为云IAM中用户组的权限。 企业管理员已获
-
获取IAM用户Token(使用密码+虚拟MFA) - 统一身份认证服务 IAM
该接口可以用于通过用户名/密码+虚拟MFA的方式进行认证,在IAM用户开启了的登录保护功能,并选择通过虚拟MFA验证时获取IAM用户Token。Token是系统颁发给用户的访问令牌,承载用户的身份、权限等信息。调用IAM以及其他云服务的接口时,可以使用本接口获取的Token进行鉴权。 该接口可以使用全局区域的End
-
查询权限列表 - 统一身份认证服务 IAM
objects 授权语句,描述权限的具体内容。 Version String 权限版本号。 说明: 1.0:系统预置的角色。以服务为粒度,提供有限的服务相关角色用于授权。 1.1:策略。IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。 表8 roles