检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
企业管理通过创建企业项目，隔离企业不同项目之间的资源，企业项目中可以包含多个区域的资源。企业项目还可以实现对特定云资源的授权，例如：将一台特定的ECS添加至企业项目，对企业项目进行授权后，可以控制用户仅能管理这台特定的ECS。 支持的服务 使用IAM授权的云服务。 企业管理目前支持的服务请参见支持的云服务 检查规则
可以包含多个区域的资源，且项目中的资源可以迁入迁出。企业项目可以实现对特定云资源的授权，例如：将一台特定的ECS添加至企业项目，对企业项目进行授权后，可以控制用户仅能管理这台特定的ECS。如果您开通了企业管理，将不能创建IAM项目。您可以通过这个视频了解使用企业项目进行资源权限管理：管理企业项目并授权。
IAM用户和企业子账号的区别 IAM用户 IAM用户是由账号在IAM中，或者企业管理 >人员管理中创建的用户，IAM用户由账号管理，权限由账号分配，使用资源产生的费用计入账号中。 如果一个企业中有多名员工需要使用账号在华为云中的资源，为了避免共享账号的密码，可以给员工创建IAM用
对资源的控制粒度更为精细，同时还支持企业项目费用的管理，建议结合企业需求选择IAM或是企业管理进行资源权限管理，关于两者的详细区别，请参见：IAM与企业管理的区别。 跨账号的资源操作与授权 如果您在华为云购买了多种资源，其中一种资源希望由其它账号管理，您可以使用IAM提供的委托功能。
能访问特定子项目中的资源，使得资源的权限控制更加精确。 本章描述的IAM项目与企业项目不同，具体内容请参见：IAM项目和企业项目的区别。 图1 项目隔离模型 IAM项目中的资源不能转移。 如果您已开通企业项目，将不支持创建IAM项目。 创建项目 在IAM控制台的左侧导航窗格中，选择“项目”页签，单击“创建项目”。
使用委托实现跨账号的资源授权与管理 A公司和B公司是华为云注册的企业用户，分别拥有自己单独的华为账号。本文主要介绍当A账号希望将部分资源委托给B账号时，使用IAM的委托功能来实现跨账号的资源授权与管理（A账号为委托方，B账号为被委托方）。 企业需求 A账号在华为云购买了多种资源，
您没有上述需要使用虚拟用户SSO的业务需求，而又希望尽量简化IdP配置。 两者的区别 虚拟用户SSO和IAM用户SSO的区别有身份转换方式、IAM用户身份、IAM侧权限分配3个方面的区别： 1、身份转换方式：虚拟用户SSO通过身份转换规则进行Idp用户和IAM用户的身份转换。IAM用户SS
多因素认证与虚拟MFA 多因素认证 虚拟MFA
查询项目详情与状态 功能介绍 该接口可以用于管理员查询项目详情与状态。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3-ext
身份认证与访问控制 身份认证 访问控制 父主题： 安全
该权限所依赖的权限。 Statement Array of objects 授权语句，描述权限的具体内容。 Version String 权限版本号。 说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可
ID。 每个区域的项目ID有所不同，需要根据业务所在的区域获取对应的项目ID。 图2 查看账号名、账号ID、用户名、用户ID、项目名称、项目ID 调用API获取用户ID、项目ID 获取用户ID请参考：管理员查询IAM用户列表。 获取项目ID请参考：查询指定条件下的项目列表。 获取用户组名称和ID
Token，并根据已配置的身份转换规则映射到具体的IAM用户组，颁发Token。 用户完成单点登录，访问华为云。 联邦身份认证配置示例 由于不同的企业IdP的配置存在较大差异，华为云帮助文档对于企业IdP的配置不做详述，具体操作请参考企业IdP的帮助文档。常见IdP与华为云建立联邦身份认证的操作，请参见：
约束与限制 本节介绍IAM在使用过程中的约束和限制。 配额 查看每个配额项目支持的默认配额，请参考怎样查看我的配额，登录控制台查询您的配额详情。如果需要扩大配额，可以提交工单申请提升配额。 表1 配额 资源分类 限制项 默认配额限制 是否支持调整 用户 IAM用户数 50 是 提交工单申请提升配额
查询用户组列表； 查询全局服务中的用户组权限； 查询项目服务中的用户组权限； 确定需要审计的权限，查询用户组中的IAM用户，进行安全审计。 涉及的接口如下： 查询用户组列表 查询全局服务中的用户组权限 查询项目服务中的用户组权限 管理员查询用户组所包含的IAM用户 步骤1：查询用户组列表
服务中的“CTS支持的IAM操作列表”。用户开通云审计服务并创建和配置追踪器后，CTS开始记录操作事件用于审计，开通方法参见开通云审计服务。开通云审计服务后，可查看IAM的云审计日志，云审计服务保存最近7天的操作日志。 CTS支持配置关键操作通知。用户可将与IAM相关的高危敏感操
CommonOperations CDN CDN Domain Configuration Operator CDN DomainConfigureAccess CDN Domain Viewer CDN DomainReadOnlyAccess CDN Logs Viewer CDN LogsReadOnlyAccess
号分配，使用资源产生的费用由账号支付，按照账号授予的权限使用资源。 账号与IAM用户可以类比为父子关系。 您可以通过华为账号、华为云账号、华为企业合作伙伴账号登录华为云，以账号的身份使用拥有的资源和云服务。 如果您是账号创建的IAM用户或与华为云建立信任关系的第三方系统用户，可以
参数类型 描述 zh-cn String 区域的中文名称。 en-us String 区域的英文名称。 pt-br String 区域的葡萄牙语名称。 es-us String 区域的美国西班牙语名称。 es-es String 区域的西班牙语名称。 请求示例 查询区域详情。 GET
该权限所依赖的权限。 Statement Array of objects 授权语句，描述权限的具体内容。 Version String 权限版本号。 说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
