检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
用户组绑定的是自定义策略,该参数为创建该自定义策略用户的租户ID。 用户组绑定的是系统策略,该参数为空:null。 flag 否 String fine_grained,标识系统内置的细粒度权限Role catalog 是 String 权限所属目录。 用户组绑定的是自定义策略时,权限所属目录为“CUSTOMED”。
授权方法请参见给IAM用户授权。 选择“服务列表 > 管理与监管 > 云审计服务”,进入云审计服务授权页面。 单击“同意授权并开通”,进入云审计服务页面。 后续使用云审计服务,仅需拥有云审计服务相关权限即可,无需拥有Security Administrator权限。 同意授权并开通CTS服务后,系统会自动
务支持的授权项,创建自定义策略,并通过给用户组授予自定义策略来进行精细的访问控制,自定义策略是对系统策略的扩展和补充。目前支持可视化视图、JSON视图两种自定义策略配置方式。 图4 权限内容示例 身份凭证 身份凭证是识别用户身份的依据,您通过控制台或者API访问华为云时,需要使用
0凭据,在华为云平台创建身份提供商并配置授权信息,从而建立企业管理系统和华为云平台的信任关系。 配置身份转换规则:通过在华为云平台配置身份转换规则,将IdP中的用户、用户组及其访问权限映射到华为云平台。 配置企业管理系统登录入口:将华为云平台的访问入口配置到企业管理系统中,用户可通过登录企业管理系统直接访问华为云平台。
在企业项目视图下,您可以选择如下过滤条件查看对应授权记录。 策略名:权限的名称。单击权限名称可以查看权限详情。 如需查看指定权限的授权记录,选择过滤条件为“策略名”,输入指定权限名称,查看该权限的授权记录。如需查看企业项目支持的云服务权限,请参见:云服务权限说明。 用户名/用户组名/委托名:IAM用户、用户组、委托的名称。
该接口可以用于管理员为用户组授予所有项目服务权限。 自定义策略管理 接口 说明 查询自定义策略列表 该接口可以用于管理员查询自定义策略列表。 查询自定义策略详情 该接口可以用于管理员查询自定义策略详情。 创建云服务自定义策略 该接口可以用于管理员创建云服务自定义策略。 创建委托自定义策略 该接口可以用于管理员创建委托自定义策略。
创建自定义策略。 如果需要授予IAM用户精细的委托权限,仅管理指定的委托,请执行以下步骤创建细粒度的委托权限。如果不需要进行精细的委托授权,授予IAM用户管理所有的委托权限,请跳过该步骤,直接执行f。 在选择策略页面,单击权限列表右上角“新建策略”。 输入“策略名称”。 “策略配置方式”选择“JSON视图”。
方法请参见:用户组添加用户。 请确认该IAM用户支持编程访问华为云服务。如需修改IAM用户访问方式,请参考:查看或修改IAM用户信息。 将UserB的访问密钥或用户名和密码(推荐使用访问密钥)配置到企业IdP的配置文件中,以便获取用户认证token和调用API。为了保障您的账号安全,密码和访问密钥建议加密存储。
服务名为产品名称,例如ecs、evs和vpc等,服务名仅支持小写。 资源类型和操作没有大小写,要求支持通配符号*,无需罗列全部授权项。 当自定义策略为委托自定义策略时,该字段值为: "Action": ["iam:agencies:assume"]。 Effect String 作用。包含两种
权。 如果需要用户管理所有委托,请跳过该步骤,直接执行下一步。 在选择策略页面,单击权限列表右上角“新建策略”。 输入“策略名称”,例如“管理A公司的委托1”。 “策略配置方式”选择“JSON视图”。 在“策略内容”区域,填入以下内容: { "Version": "1
安全设置 安全设置概述 基本信息 敏感操作 登录验证策略 密码策略 访问控制
String 待授权用户组的ID。 role_id 是 String 权限的ID。只能给用户组授予细粒度权限策略(包括系统策略和自定义策略),细粒度策略即策略版本号为1.1的策略。 请求 Request Header参数说明 参数 是否必选 类型 说明 X-Auth-Token 是 String
权限的用户可以完成基于策略授权的所有服务的所有操作。 系统策略 FullAccess策略内容 IAM ReadOnlyAccess 统一身份认证服务的只读权限,拥有该权限的用户仅能查看统一身份认证服务数据。 系统策略 IAM ReadOnlyAccess策略内容 Security
修改SAML身份提供商配置 功能介绍 该接口可以用于管理员修改基于SAML协议的身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI
权限ID,获取方式请参见:获取权限ID。 说明: 如果您需要给用户组授予包含OBS操作的自定义策略,请分别创建作用范围为全局服务、区域级项目,其他参数相同的2个自定义策略,并将2个策略同时授予用户组。 请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 Content-Type
String 权限版本号,创建自定义策略时,该字段值填为“1.1”。 说明: 1.1:策略。IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。 Statement 是 Array of objects 授权语句,描述自定义策略的具体内容,不超过8个。 表8
步骤3:配置外部身份ID IAM用户SSO类型的单点登录,华为云必须要为企业IdP用户对应的IAM用户配置外部身份ID。外部身份ID值要与企业IdP的IAM_SAML_Attributes_xUserId值保持一致。您可以在IAM用户创建时配置外部身份ID,或者直接修改现有IAM用户的外部身份ID:
解决方法:管理员查看已授予IAM用户的系统权限详情,确认已授予的权限是否有拒绝操作的语句,方法请参考策略语法。如系统权限无法满足您的场景需要,管理员可以创建自定义策略,允许该操作对应的授权项,方法请参考:创建自定义策略。 可能原因:管理员给用户组授予权限后,忘记将IAM用户添加至用户组中。 解决方法
目中的资源。 全局服务:全局服务部署时不区分区域,访问全局服务不需要切换区域。例如:授予对象存储服务(OBS)的权限后,IAM用户可以访问所有区域项目中的OBS资源。 表1 所需权限 使用的服务 权限作用范围 设置权限 ECS 区域项目 ECS FullAccess OBS 全局区域
服务名为产品名称,例如ecs、evs和vpc等,服务名仅支持小写。 资源类型和操作没有大小写,要求支持通配符号*,无需罗列全部授权项。 当自定义策略为委托自定义策略时,该字段值为: "Action": ["iam:agencies:assume"]。 Effect String 作用。包含两种