检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
基于SAML协议的虚拟用户SSO 基于SAML协议的虚拟用户SSO配置概述 步骤1：创建身份提供商 步骤2：配置企业Idp 步骤3：配置身份转换规则 步骤4：登录验证 （可选）步骤5：配置企业管理系统登录入口 父主题： 身份提供商
基于OIDC协议的虚拟用户SSO 联邦身份认证配置概述 步骤1：创建身份提供商 步骤2：配置身份转换规则 （可选）步骤3：配置企业管理系统登录入口 父主题： 身份提供商
安全使用IAM 多运维人员权限设置案例 常用权限设置案例 分配委托权限 05 API 通过IAM开放的丰富API和调用示例，您可以管理您的身份凭证、IAM用户、用户组、项目、权限、委托和身份提供商等。 API文档 Token管理 Credential管理 项目管理 IAM用户管理 常见问题
在创建用户时由用户在界面输入用户名 在调用API接口时输入用户名 标识用户身份 控制台界面或API调用时进行身份认证 管理员权限可通过API修改 是 用户名是用户的身份标识信息 密码 在创建用户、修改用户凭证、重置密码时由用户在界面输入密码 在调用API接口时输入密码 控制台界面或API调用时进行身份认证
控制台访问（推荐）：仅对账号下的所有IAM用户和联邦用户（SP方式）登录控制台生效，对账号本身不生效。 API访问：仅对账号下的所有IAM用户和联邦用户通过API网关访问API接口生效，修改后2小时生效。 访问控制策略最多可设置200条。 如果IAM用户或联邦用户通过代理访问华为云
您可以通过基于浏览器的可视化界面，即控制台访问IAM。详情请参考如何进入IAM控制台。 REST API 您可以使用IAM提供的REST API接口以编程方式访问IAM。详情请参考：API参考。
IAM用户信息。 将UserB的访问密钥或用户名和密码（推荐使用访问密钥）配置到企业IdP的配置文件中，以便获取用户认证token和调用API。为了保障您的账号安全，密码和访问密钥建议加密存储。 在IAM控制台左侧导航栏选择“委托”，单击右上方的“ 创建委托”。 在创建委托页面，设置委托参数。
问密钥）配置到企业IdP的配置文件中，即可将这些用户按需赋予不同企业用户。 企业IdP自定义代理携带IAM用户UserB的token调用API（POST /v3.0/OS-CREDENTIAL/securitytokens），获取临时访问密钥和securityToken，调用方法
录认证。 调用API接口：开发工具/应用程序作为通讯媒介，例如OpenStack Client、ShibbolethECP Client，适用于企业或用户通过API调用方式访问华为云。 表2 联邦认证方式 SSO方式 支持协议 是否支持Web SSO 是否支持API调用 从IdP侧发起登录
应用场景 假如您是一位开发者，开发了一个应用程序，这个应用程序运行在ECS实例上，应用程序的代码中涉及调用API访问华为云服务。此时，因为华为云服务要求访问请求方出示访问凭证，所以您的API调用将会面临提供访问凭证的问题。 访问凭证按照时效性可分为永久凭证和临时凭证，相较于永久性访问凭证
IAM权限 ACL 设置访问控制策略，限制用户只能从特定IP地址区间、网段及VPC Endpoint登录 IAM 控制台或访问 OpenAPI。 访问控制 父主题： 身份认证与访问控制
置；永久安全凭证的有效期为永久，并且不能进行设置。 临时安全凭证没有数量限制；每个IAM用户最多可创建2个永久安全凭证。 临时安全凭证通过接口临时访问密钥AK/SK获取；永久安全凭证通过我的凭证界面控制台获取。 临时安全凭证为动态生成，即时使用，不能嵌入应用程序中，或者进行存储，到期后无法重复使用，只能重新获取。
身份凭证是识别用户身份的依据，您通过控制台或者API访问华为云时，需要使用身份凭证来通过系统的鉴权认证。身份凭证包括密码和访问密钥，您可以在IAM中管理账号以及账号下IAM用户的身份凭证。 密码：常见的身份凭证，密码可以用来登录控制台，还可以调用API接口。 访问密钥：即AK/SK（Access
密码登录控制台即可，不要给账号创建第二个身份凭证（访问密钥），避免因访问密钥泄露带来的信息安全风险。 不将访问密钥嵌入到代码中 当您使用API、CLI、SDK等开发工具来访问云服务时，请勿直接将访问密钥嵌入到代码中，减少访问密钥被泄露的风险。 创建单独的IAM用户 如果有任何人需
aS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措
多因素认证设备支持手机、邮箱和虚拟MFA设备。 多因素认证应用的场景 多因素认证主要应用于登录保护以及操作保护。若开启多因素认证，则管理控制台和REST API均会受到影响。 登录保护：您以及账号中的IAM用户登录时，除了在登录页面输入用户名和密码外，还需要在登录验证页面输入多因素认证设备中的验证
置密码。 选择“访问方式”。 图3 选择访问方式 表2 访问方式 访问方式 说明 编程访问 为IAM用户启用访问密钥或密码，支持用户通过API、CLI、SDK等开发工具访问云服务。 管理控制台访问 为IAM用户启用密码，支持用户登录管理控制台访问云服务。此时凭证类型“密码”为必选项。
deleteAgencyInheritedGrants 为委托授予全局服务权限 agency updateAgencyAssignsByRole 为委托授予全局服务权限（API） roleAgencyDomain assignRoleToAgencyOnDomain 更新委托权限 agency updateAgencyAssignsByRole
资源部署在同一区域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，则建议您将资源创建在同一可用区内。 区域和终端节点 当您通过API使用资源时，您必须指定其区域终端节点。有关华为云的区域和终端节点的更多信息，请参阅地区和终端节点。 父主题： 其他问题
管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，IAM支持的API授权项请参见权限及授权项说明。 如表1所示，包括了IAM的所有系统权限。 表1 IAM系统权限 系统角色/策略名称 描述
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
