-
登录验证策略 - 统一身份认证服务 IAM
管理员可以设置账号锁定时长、锁定前允许的最大登录失败次数、重置账号锁定计数器的时间。 账号锁定时长:默认为15分钟,可以在15分钟~24小时之间进行设置。 锁定前允许的最大登录失败次数:默认为5次,可以在3~10次之间进行设置。 重置账号锁定计数器的时间:默认为15分钟,可以在15~60分钟之间进行设置。 账号停用策略
-
Internet Explorer浏览器下输入框提示信息无法自动消失怎么办 - 统一身份认证服务 IAM
么办 当用户进行登录、注册、绑定华为账号、创建用户、找回密码、修改密码等操作时,由于当前输入框不能完全支持Internet Explorer 8及以下版本的浏览器,所以出现输入框提示信息(如“最短不能少于5个字符”等提示信息)无法自动消失的情况,可以参照以下方法进行操作。 图1 提示信息无法消失
-
联邦身份认证配置概述 - 统一身份认证服务 IAM
Token,并根据已配置的身份转换规则映射到具体的IAM用户组,颁发Token。 用户完成单点登录,访问华为云。 联邦身份认证配置示例 由于不同的企业IdP的配置存在较大差异,华为云帮助文档对于企业IdP的配置不做详述,具体操作请参考企业IdP的帮助文档。常见IdP与华为云建立联邦身份认证的操作,请参见:
-
安全设置概述 - 统一身份认证服务 IAM
当您需要对账号的安全信息进行设置时,可以通过“安全设置”进行操作。“安全设置”包括“基本信息”、“敏感操作”、“登录验证策略”、“密码策略”、“访问控制”。本章为您介绍“安全设置”的使用对象和如何进入“安全设置”。 使用对象 表 使用对象为安全设置中不同页签下对应的不同使用对象。
-
如何获取虚拟MFA验证码 - 统一身份认证服务 IAM
如何获取虚拟MFA验证码 绑定虚拟MFA并开启登录保护或操作保护后,用户在进行登录或进行敏感操作时,需要输入MFA应用程序的动态验证码,下图以登录验证为例。 此时,用户需要打开MFA应用程序,在首页查看用户已绑定账号的验证码,下图以华为云App为例。 如果虚拟MFA验证码校验不通过,请
-
获取联邦认证unscoped token(IdP initiated) - 统一身份认证服务 IAM
nt调用。IAM的Endpoint请参见:地区和终端节点。 该接口支持在命令行侧调用,需要客户端使用IdP initiated的联邦认证方式获取SAMLResponse,并采用浏览器提交表单数据的方式,获取unscoped token。 调试 您可以在API Explorer中调试该接口。
-
策略鉴权规则 - 统一身份认证服务 IAM
策略鉴权规则 用户在发起访问请求时,系统根据用户被授予的访问策略中的action进行鉴权判断。鉴权规则如下: 图1 系统鉴权逻辑图 用户发起访问请求。 系统在用户被授予的策略中寻找请求对应的action,优先寻找Deny指令。如果找到一个适用的Deny指令,系统将返回Deny决定。 如果没
-
委托其他云服务管理资源 - 统一身份认证服务 IAM
委托其他云服务管理资源 由于华为云各服务之间存在业务交互关系,一些云服务需要与其他云服务协同工作,需要您创建云服务委托,将操作权限委托给该服务,让该服务以您的身份使用其他云服务,代替您进行一些资源运维工作。 当前IAM提供两种创建委托方式: 在IAM控制台创建云服务委托 以图引擎服务
-
Token鉴权失败怎么办 - 统一身份认证服务 IAM
Token鉴权失败怎么办 问题描述 账号或IAM用户在云服务中通过Token进行鉴权时,鉴权失败。 可能原因 如果您是IAM用户,您可能没有该云服务的访问权限。 您的Token可能超过有效期24小时,已失效。 您可能在Token有效期内进行如下操作,导致Token失效。 删除/停用IAM用户。 修改IAM用户密码、访问密钥。
-
如何通过API Explorer获取用户Token - 统一身份认证服务 IAM
Explorer是华为云为开发者提供的一站式API解决方案的统一平台,集成华为云服务开放API,支持全量快速检索、可视化调试、帮助文档,帮助开发者快速查找、学习API和定位修复错误。 Token是用户的访问令牌,承载了用户的身份、权限等信息,用户调用API接口时,需要使用Token进行鉴权。 本章节指导用户如何通过API
-
步骤3:配置身份转换规则 - 统一身份认证服务 IAM
用户名:企业IdP用户在华为云中显示不同的用户名。 用户权限:赋予企业管理系统用户使用华为云资源的权限。由于华为云权限的最小授权单位是用户组,因此需要建立联邦用户与IAM用户组的映射关系,从而使得联邦用户获得对应用户组的权限,使用华为云上的资源。配置时请确保已创建需要映射的IAM用户组,创建IAM用户组并授权请参见:创建用户组并授权。
-
角色 - 统一身份认证服务 IAM
角色是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度,提供有限的服务相关角色用于授权。角色并不能满足用户对精细化授权的要求,无法完全达到企业对权限最小化的安全管控要求。 由于华为云各服务之间存在业务依赖关系,因此给用户或用户组授予角色时,需要将依赖的其他角色
-
什么是临时安全凭证(临时AK/SK和SecurityToken) - 统一身份认证服务 IAM
临时安全凭证是具备临时访问权限的身份凭证,包括临时AK/SK和SecurityToken,临时安全凭证与永久安全凭证的工作方式几乎相同,仅存在小量差异。 临时安全凭证与永久安全凭证的差异 临时安全凭证存在有效期,可以在15分钟至24小时之间进行设置;永久安全凭证的有效期为永久,并且不能进行设置。 临
-
认证鉴权 - 统一身份认证服务 IAM
Key):与访问密钥ID结合使用的密钥,对请求进行加密签名,可标识发送方,并防止请求被修改。 使用AK/SK认证时,您可以基于签名算法使用AK/SK对请求进行签名,也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见:API签名指南。 签名SDK只提供签名功能,与服务提供的SDK不同,使用时请注意。
-
使用IAM授权的云服务 - 统一身份认证服务 IAM
委托 策略 企业项目 云数据库 RDS 除全局区域外的其他区域 √ √ x √ √ 文档数据库服务 DDS 除全局区域外的其他区域 √ x x √ √ 分布式数据库中间件 DDM 除全局区域外的其他区域 √ √ x √ √ 数据复制服务 DRS 除全局区域外的其他区域 √ √ x √
-
多因素认证 - 统一身份认证服务 IAM
面输入多因素认证设备中的验证码,再次确认登录者身份,进一步提高账号安全性。 操作保护:您以及账号中的IAM用户进行敏感操作时,例如删除弹性云服务器资源,需要输入多因素认证设备中的验证码对操作进行确认,避免误操作带来的风险和损失。 更多有关登录保护和操作保护的介绍,请参见:敏感操作。
-
创建自定义策略 - 统一身份认证服务 IAM
务缩写,如obs:)仅适用于对应服务的操作,详情请参见对应云服务的用户指南,如OBS请求条件。 运算符 与条件键、条件值一起使用,构成完整的条件判断语句。 值 与条件键、运算符一起使用,当运算符需要某个关键字时,需要输入关键字的值,构成完整的条件判断语句。 图4 添加请求条件 表3
-
实践场景 - 统一身份认证服务 IAM
例如迁入迁出某一台ECS服务器。 统一身份认证服务:在统一身份认证服务中创建IAM项目可以实现资源之间的物理隔离,针对同一个区域内的资源进行分组和隔离,一个IAM项目中只能包含一个区域中的资源。 综上,企业管理服务能够实现项目间跨区域的资源隔离,隔离逻辑更加灵活,因此,推荐A公司
-
服务韧性 - 统一身份认证服务 IAM
服务韧性 华为云数据中心按规则部署在全球各地,所有数据中心都处于正常运营状态,无一闲置。数据中心互为灾备中心,如一地出现故障,系统在满足合规政策前提下自动将客户应用和数据转离受影响区域,保证业务的连续性。为了减小由硬件故障、自然灾害或其他灾难带来的服务中断,华为云为所有数据中心提供灾难恢复计划。
-
删除指定永久访问密钥 - 统一身份认证服务 IAM
该接口可以用于管理员删除IAM用户的指定永久访问密钥,或IAM用户删除自己的指定永久访问密钥。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。 删除操作无法恢复,为保证业务连续性,建议确认访问密钥一周以上未使用后,进行删除操作。