-
IAM侧 - 统一身份认证服务 IAM
求进行签名 数据存储安全 IAM通过加密算法对用户个人敏感数据加密后进行存储。 用户名、AK:不属于敏感数据,明文存储。 密码:使用加盐的SHA512算法进行加密存储。 邮箱、手机号、SK:使用安全AES算法进行加密存储。 数据传输安全 用户个人敏感数据(包括密码)将通过TLS 1
-
配置弹性云服务器ECS委托 - 统一身份认证服务 IAM
信,ECS元数据服务再与IAM通信,拿到临时AK、SK后返回给应用程序。然后,应用程序将临时AK、SK作为访问凭证出示给数据库服务,数据库服务收到请求后,先校验访问凭证是否合法,凭证通过校验后,ECS实例上的应用程序才能访问数据库服务。 解决方案 针对以上应用场景,可使用IAM对
-
创建永久访问密钥 - 统一身份认证服务 IAM
返回值 描述 201 创建成功。 400 参数无效。(包括密钥数量已达到上限。) 401 认证失败。 403 没有操作权限。 500 内部服务错误。 错误码 无 父主题: 访问密钥管理
-
支持IAM资源粒度授权的云服务 - 统一身份认证服务 IAM
Kafka实例 分布式缓存服务(DCS) instance 实例 文档数据库服务(DDS) instanceName 实例名称 设备接入(IoTDA) app 资源空间ID 资源编排服务(RFS) stack 堆栈 数据加密服务(KMS) KeyId 密钥ID 自动驾驶云服务(Octopus)
-
认证鉴权 - 统一身份认证服务 IAM
Access Key)加密调用请求。 Token认证 Token的有效期为24小时,需要使用同一个Token鉴权时,可以缓存起来,避免频繁调用。 Token在计算机系统中代表令牌(临时)的意思,拥有Token就代表拥有某种权限。Token认证就是在调用API的时候将Token加到请求
-
管理IAM用户访问密钥 - 统一身份认证服务 IAM
久。为了账号安全性,建议管理员定期给用户更换访问密钥。 若开启操作保护,则管理员需输入验证码或密码。 单击“确定”,生成并下载访问密钥后,将访问密钥提供给用户。 删除访问密钥 单击“删除”。 图3 删除访问密钥 若开启操作保护,则管理员需输入验证码或密码。 单击“确定”。 启用、停用访问密钥
-
服务韧性 - 统一身份认证服务 IAM
服务韧性 华为云数据中心按规则部署在全球各地,所有数据中心都处于正常运营状态,无一闲置。数据中心互为灾备中心,如一地出现故障,系统在满足合规政策前提下自动将客户应用和数据转离受影响区域,保证业务的连续性。为了减小由硬件故障、自然灾害或其他灾难带来的服务中断,华为云为所有数据中心提供灾难恢复计划。
-
委托其他云服务管理资源 - 统一身份认证服务 IAM
以图引擎服务 GES为例:将操作权限委托给GES,允许GES以您的身份使用其他服务,例如发生故障转移时,GES使用这个委托将您的弹性IP绑定到主GES负载均衡实例。 图1 云服务委托 在云服务控制台使用某项资源时,系统提示您自动创建委托,以完成云服务间的协同工作。 以创建弹性文件服务SFS委托为例:
-
数据保护技术 - 统一身份认证服务 IAM
数据保护技术 IAM侧 租户侧 父主题: 安全
-
创建用户组并授权 - 统一身份认证服务 IAM
如果选择作用范围为“区域项目”,且所勾选的策略包含全局服务权限,系统自动将全局服务权限的作用范围设置为所有资源,勾选的区域项目权限的作用范围仍为指定区域项目。 说明: 不支持选择专属云DEC的区域项目。 全局服务资源 IAM用户可以根据权限使用全局服务。全局服务部署时不区分物理区域。访问全局级服务时,不需要切换区域
-
责任共担 - 统一身份认证服务 IAM
责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击,华为云在遵从法律法规业界标准的基础上,以安全生态圈为护城河,依托华为独有的软硬件优势,构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任,如图1所示。
-
多运维人员权限设置案例 - 统一身份认证服务 IAM
在“服务列表”中选择虚拟私有云VPC、弹性负载均衡ELB,云解析服务DNS,可以进入这些服务的主页面并进行管理操作,权限配置成功。 在“服务列表”中选择除以上服务外的任一服务,系统提示权限不足,权限配置成功。 切换区域至除“华东-上海二”的任一区域,无法进入任何服务主页面,包
-
IdP initiated方式 - 统一身份认证服务 IAM
方法。“Client4ShibbolethIdP”脚本模拟用户在浏览器上登录企业IdP系统,通过呈现浏览器提交的表单数据和客户端实现的对比,帮助用户开发本企业IdP系统的客户端脚本。 前提条件 企业IdP服务器支持IdP Initiated方式的联邦认证。 客户端需要安装python模块beautifulsoup4。
-
敏感操作 - 统一身份认证服务 IAM
系统会对华为账号登录进行安全认证,如果您更换终端,初次登录将进行安全认证(安全手机二次验证)。如果您没有开启“双重验证”,初次登录完成后,单击“信任”,将终端添加到信任列表中,后续将无需二次认证。 操作保护 开启操作保护 开启后,账号以及账号中的IAM用户进行敏感操作时,例如删除弹性云服务器资源,需要输入验证码进行
-
实践场景 - 统一身份认证服务 IAM
因此,推荐A公司使用企业管理服务进行项目资源管理,以下需求将基于企业管理服务提出解决方案。如需了解更多统一身份认证和企业管理的区别,请参见:统一身份认证和企业管理的区别。 针对需求2:A公司需要配合使用企业管理服务和统一身份认证服务,在统一身份认证服务中创建用户组、为每个员工创建
-
创建IAM用户 - 统一身份认证服务 IAM
勾选后,该IAM用户只能使用USB KEY登录,IAM用户将无法使用密码相关功能。 表4 配置建议 管理控制台访问 编程访问 访问凭证 建议访问方式 建议凭证类型 勾选 不勾选 无特殊要求。 管理控制台 密码 不勾选 勾选 无特殊要求。 编程访问 访问密钥 不勾选 勾选 需要使用密码作为编程访问的凭证(部分API要求)。
-
使用IAM授权的云服务 - 统一身份认证服务 IAM
M授权的云服务请参见下方表格内容。 表格参数说明如下: 服务:使用IAM授权的云服务名称。单击服务名,可以查看该服务支持的权限,以及不同权限间的区别。 所属区域:使用IAM授权时,该服务选择的授权区域。 全局区域:服务部署时不区分物理区域,为全局级服务。在全局项目中进行授权,访问该服务时,不需要切换区域。
-
常用系统权限设置案例 - 统一身份认证服务 IAM
请参考以下文档给IAM用户设置常见云服务的访问权限。 设置弹性云服务器(ECS)的权限 设置弹性负载均衡(ELB)的权限 设置关系型数据库(RDS)的权限 设置云硬盘(EVS)的权限 设置云监控(CES)的权限 设置云容器引擎(CCE)的权限 设置对象存储服务(OBS)的权限 设置云备份(CBR)的权限
-
步骤1:创建身份提供商 - 统一身份认证服务 IAM
form_post:选择form_post模式时,请在身份提供商侧将redirect urI配置为:https://auth.huaweicloud.com/authui/oidc/post。 fragment:选择fragment模式时,请在身份提供商侧将redirect url配置为:https://auth
-
自定义策略使用样例 - 统一身份认证服务 IAM
但不希望IAM用户拥有某个服务的权限,例如云审计服务。您可以创建一个自定义策略,并将自定义策略的Effect设置为Deny,然后将较高权限的系统策略和自定义策略同时授予用户,根据Deny优先原则,则授权的IAM用户除了云审计服务,可以对其他所有服务执行所有操作。 以下策略样例表示:拒绝IAM用户使用云审计服务。