检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
创建用户 用户登录并访问资源 配置用户门户会话的持续时间 用户组管理 创建用户组 用户组添加/移除用户 多账号权限管理 创建权限集 账号关联用户/组和权限集 启用和配置访问控制属性 为ABAC创建权限策略 身份源管理 更改身份源 自定义用户门户URL 配置外部身份提供商 多因素认证 启用MFA
2.0配置”。 进入“编辑SAML2.0配置”页面，在“身份提供商（IdP）信息”区域右侧单击“编辑”。 修改IdP登录URL和IdP发布者URL，单击“保存”。 在“IdP证书信息”区域可查看证书信息，以及上传或删除证书，具体请参见管理证书。 图1 编辑SAML2.0配置 父主题：
解除指定实例的访问控制属性配置 功能介绍 禁用指定IAM身份中心实例的基于属性的访问控制（ABAC）功能，并删除已配置的所有属性映射。 URI DELETE /v1/instances/{instance_id}/access-control-attribute-configuration
获取指定实例的访问控制属性配置 功能介绍 返回已配置为与指定IAM身份中心实例的基于属性的访问控制（ABAC）一起使用的IAM身份中心身份源属性列表。 URI GET /v1/instances/{instance_id}/access-control-attribute-configuration
更新指定实例的访问控制属性配置 功能介绍 更新可与IAM身份中心实例一起使用的IAM身份中心身份源属性，以进行基于属性的访问控制（ABAC）。 URI PUT /v1/instances/{instance_id}/access-control-attribute-configuration
键。 上述访问控制规则配置完成后，权限策略会根据您指定的资源标签键和属性键，对资源标签的值和属性值进行匹配校验，只有资源标签的值和属性值匹配成功的用户才会获得此权限集定义的资源访问权限。 策略示例 创建权限集的具体操作请参见：创建权限集。此处仅举例说明如何在权限集的自定义身份策略
建多少个IAM身份中心用户、用户组等。IAM身份中心的配额请参见约束与限制。 如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 如何申请扩大配额？ 登录管理控制台。 在页面右上角，选择“资源 > 我的配额”。 系统进入“服务配额”页面。 图1 我的配额 单击“申请扩大配额”。
实例访问控制属性配置管理 启用指定实例的访问控制功能 获取指定实例的访问控制属性配置 更新指定实例的访问控制属性配置 解除指定实例的访问控制属性配置 父主题： API
外部身份提供商配置 外部身份提供商概述 修改SAML2.0配置 SCIM自动配置 手动配置 管理证书 父主题： 管理身份源
配置用户门户会话的持续时间 默认情况下，用户门户会话的持续时间为8小时，即用户无需重新进行身份验证即可登录用户门户的最长时间，超出会话最长持续时间后用户将从用户门户页面登出，需重新进行身份验证。您可以参考如下步骤设置不同的持续时间。 如果您使用外部身份提供商（IdP）作为IAM身
支持配置的用户属性 IAM身份中心当前支持两种身份源：IAM身份中心和外部身份提供商。两种身份源当前支持实施ABAC的用户属性如下表所示。这些用户属性是可以在配置访问控制属性时选择的属性值，对应用户的基本信息、联系方式、工作相关信息和地址信息等，选择这些用户属性并给其赋予属性键，用于实施ABAC时进行访问控制决策。
通过ABAC使用企业目录中的员工属性：您可以使用IAM身份中心配置的任何身份源的现有员工属性在华为云中做出访问控制决策。 ABAC配置流程 如下表格包括准备华为云资源和配置IAM身份中心以进行ABAC访问控制所需的操作，使用ABAC需完成此表格中的各项操作。 表1 ABAC配置流程 步骤 说明 参考文档 为资源添加标签
表示服务提供商是否支持部分修改操作，及对部分修改操作的相关配置。 bulk Object 表示服务提供商是否支持批量操作，及对批量操作的相关配置。 filter Object 表示服务提供商是否支持过滤操作，及对过滤操作的相关配置。 changePassword Object 表示服
名进行访问控制，也就是在授权时会将用户名与资源标签的值进行匹配校验。当前支持的用户属性请参见支持配置的用户属性。 图2 添加访问控制属性 配置完成后单击“确定”。 现在您已经启用并配置访问控制属性，接下来需在权限集中添加ABAC的自定义身份策略，具体请参见：为ABAC创建权限策略。
描述 instance_access_control_attribute_configuration 是 Object 指定要添加到ABAC配置的IAM身份中心身份源属性。 表4 instance_access_control_attribute_configuration 参数 是否必选
IAM身份中心支持使用跨域身份管理系统（SCIM）v2.0协议将用户/用户组信息从微软AD自动配置（同步）到IAM身份中心。您可以使用IAM身份中心生成的SCIM端点和访问令牌在微软AD中配置此连接。配置SCIM同步时，您可以在微软AD中创建用户属性与IAM身份中心中的命名属性的映射，这会
IAM身份中心支持使用跨域身份管理系统（SCIM）v2.0协议将用户和用户组信息从Okta自动配置（同步）到IAM身份中心。您可以使用IAM身份中心生成的SCIM端点和访问令牌在Okta中配置此连接。配置SCIM同步时，您可以在Okta中创建用户属性与IAM身份中心中的命名属性的映射，这会
策略，并且还可修改“仅启用身份策略”开关，修改完成后单击“下一步”。 如权限集中已配置策略和自定义策略，此时开启“仅启用身份策略”开关将删除已配置的策略和自定义策略。 图3 修改策略设置 进入“配置确认”页面，确认修改无误后单击“确定”，权限集修改完成。 更新权限集 当遇到权限集
通过IAM身份中心可以创建和管理用户、用户组以及配置登录时的身份验证方式等。使用创建的用户登录后，可集中管理和访问华为云下多个账号的资源。IAM身份中心为每个组织提供统一的用户管理及登录门户。 访问权限管理 IAM身份中心可以统一配置用户对整个组织内的任意成员账号的访问权限。IAM
权限集”，进入“权限集”页面。 单击页面右上方的“创建权限集”，进入创建权限集页面。 图1 创建权限集 在“基本信息”页签中配置权限集的基本信息，配置完成后，单击“下一步”。 图2 配置基本信息 表1 权限集基本信息 参数 描述 名称 权限集的名称。 自定义，不可与其他权限集名称重复。 会话持续时间
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
