检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
权限及授权项 权限及授权项说明 授权项
API Token管理 访问密钥管理 区域管理 项目管理 账号管理 IAM用户管理 用户组管理 权限管理 自定义策略管理 委托管理 企业项目管理 安全设置 联邦身份认证管理 自定义身份代理 版本信息管理 服务和终端节点
Token管理 获取IAM用户Token（使用密码） 获取IAM用户Token（使用密码+虚拟MFA） 获取委托Token 校验Token的有效性 父主题： API
如何调用API 构造请求 认证鉴权 返回结果
状态码 表1 状态码 状态码 编码 说明 100 Continue 继续请求。 这个临时响应用来通知客户端，它的部分请求已经被服务器接收，且仍未被拒绝。 101 Switching Protocols 切换协议。只能切换到更高级的协议。 例如，切换到HTTP的新版本协议。 201
自定义策略管理 查询自定义策略列表 查询自定义策略详情 创建云服务自定义策略 创建委托自定义策略 修改云服务自定义策略 修改委托自定义策略 删除自定义策略 父主题： API
Condition Object 限制条件。 Resource Object 资源。规则如下： 说明： 可填 * 的五段式：::::，例："obs:::bucket:*"。 region字段为*或用户可访问的region。service必须存在且resource属于对应service。
分配委托权限 05 API 通过IAM开放的丰富API和调用示例，您可以管理您的身份凭证、IAM用户、用户组、项目、权限、委托和身份提供商等。 API文档 Token管理 Credential管理 项目管理 IAM用户管理 常见问题 了解更多常见问题、案例和解决方案 热门案例 如何关闭操作保护
SDK列表 表1提供了IAM服务支持的SDK列表，您可以在GitHub仓库查看SDK更新历史、获取安装包以及查看指导文档。 表1 SDK列表 编程语言 Github地址 参考文档 Java huaweicloud-sdk-java-v3 Java SDK使用指导 Python huawe
创建自定义策略 策略内容 授权项、条件键和资源类型均不区分大小写。 如果一个自定义策略中包含多个服务的授权语句，这些服务必须是同一属性，即都是全局级服务或者项目级服务。如果需要同时设置全局服务和项目级服务的自定义策略，请创建两条自定义策略。 创建委托 被委托的账号 被委托的账号只能是账号，不能是联邦用户、IAM用户。
LI、SDK等开发工具访问云服务。 管理控制台访问 为IAM用户启用密码，支持用户登录管理控制台访问云服务。此时凭证类型“密码”为必选项。 如果IAM用户仅需登录管理控制台访问云服务，建议访问方式选择管理控制台访问，凭证类型为密码。 如果IAM用户仅需编程访问云服务，建议访问方式选择编程访问，凭证类型为访问密钥。
用户，从而拥有该子用户所在用户组的权限。IAM用户SSO适用于以下场景： 您需要使用的云产品中有部分暂时不支持虚拟用户SSO访问，例如软件开发平台。 您没有上述需要使用虚拟用户SSO的业务需求，而又希望尽量简化IdP配置。 两者的区别 虚拟用户SSO和IAM用户SSO的区别有身份
参数类型 描述 endpoints Array of objects 终端节点。 id String 服务ID。 name String 服务名称。 type String 该接口所属服务。 表21 token.catalog.endpoints 参数 参数类型 描述 id String
从企业IdP侧发起联邦认证登录，必须在企业IdP侧配置该参数。 常用联邦身份认证配置示例 由于不同的企业IdP的配置存在较大差异，华为云帮助文档对于企业IdP的配置不做详述，具体操作请参考企业IdP的帮助文档。常见IdP与华为云建立联邦身份认证的操作，请参见： 使用Active Directory Federation
service Object 服务信息。 表4 service 参数 参数类型 描述 name String 服务名。 description String 服务描述信息，未注册服务描述信息时，不返回此字段。 links Object 服务的资源链接。 id String 服务ID。 type
用户完成单点登录，访问华为云。 联邦身份认证配置示例 由于不同的企业IdP的配置存在较大差异，华为云帮助文档对于企业IdP的配置不做详述，具体操作请参考企业IdP的帮助文档。常见IdP与华为云建立联邦身份认证的操作，请参见： 使用keycloak建立与华为云的联邦身份认证 父主题：
参数类型 描述 domain 否 Object 取值为domain时，表示获取的Token可以作用于全局服务，全局服务不区分项目或区域，如OBS服务。如需了解服务作用范围，请参考系统权限。domain支持id和name，二选一即可，建议选择“domain.id”。 project 否
“SP-metadata.xml”。 将上述文件上传到企业IdP服务器上。上传方法请参见企业IdP的帮助文档。 获取企业IdP的元数据文件。获取方法请参见企业IdP的帮助文档。 在华为云上创建身份提供商 在IAM控制台上创建身份提供商，配置身份提供商的元数据文件后，可以在IAM中
查询委托是否拥有项目服务权限 功能介绍 该接口可以用于管理员查询委托是否拥有项目服务权限。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI HEAD
为用户组授予所有项目服务权限 功能介绍 该接口可以用于管理员为用户组授予所有项目服务权限，权限作用范围包括全局服务和所有IAM项目。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
