检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
号单点登录华为云，这一过程称之为联邦身份认证。 基本概念 表1 基本概念 概念 说明 身份提供商（Identity Provider，简称IdP） 负责收集、存储用户身份信息，如用户名、密码等，在用户登录时负责认证用户的服务。在企业与华为云联邦身份认证的过程中，身份提供商指企业自
Explorer是华为云为开发者提供的一站式API解决方案的统一平台，集成华为云服务开放API，支持全量快速检索、可视化调试、帮助文档，帮助开发者快速查找、学习API和定位修复错误。 Token是用户的访问令牌，承载了用户的身份、权限等信息，用户调用API接口时，需要使用Token进行鉴权。
Token的有效期 Token的有效期为24小时。建议进行缓存，避免频繁调用。使用Token前请确保Token离过期有足够的时间，防止调用API的过程中Token过期导致调用API失败。 重新获取Token，不影响已有Token有效性。如果在Token有效期内进行如下操作，当前Token将立即失效：
联邦用户登录。 在控制台的“身份提供商”页面，单击“操作”列的“查看”，进入“身份提供商基本信息”页面；单击“登录链接”右侧的“”，在浏览器中打开，输入企业管理系统用户名和密码，登录成功。 图1 登录链接 查看联邦用户是否跳转至实体IAM用户。 跳转到指定区域或服务 如需指定联
查看或修改IAM用户信息 管理员在IAM用户列表中，单击用户名，或者单击右侧的“安全设置”，可以查看或修改IAM用户的基本信息、所属用户组、安全设置，并查看或删除授权记录。 图1 进入IAM用户安全设置页面 管理员单击搜索框右侧的“”，可以修改用户列表展示项目，用户名、状态、操作
对IAM用户的权限进行安全审计，步骤如下： 查询用户组列表； 查询全局服务中的用户组权限； 查询项目服务中的用户组权限； 确定需要审计的权限，查询用户组中的IAM用户，进行安全审计。 涉及的接口如下： 查询用户组列表 查询全局服务中的用户组权限 查询项目服务中的用户组权限 管理员查询用户组所包含的IAM用户
管理员或拥有ECS权限的IAM用户为ECS实例配置委托。 若ECS实例未创建，则参考自定义购买弹性云服务器，购买并配置ECS云服务器，在高级配置过程中，单击下拉列表选择步骤1创建的委托，获取相应权限。 图5 选择委托 若ECS实例已创建，可按照如下流程配置ECS实例委托： 进入ECS产品页，单击ECS实例名，进入配置页面。
权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 权限的分类 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一
权限及授权项说明 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有权限对云服务进行操作。 权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一
根据企业IdP元数据文件手动编辑元数据 单击“确定”，保存设置信息。 相关操作 查看身份提供商信息：在身份提供商列表中，单击“查看”，可查看身份提供商的基本信息、元数据详情、身份转换规则。 单击“查看身份提供商”页面下方的“修改身份提供商”，可直接进入“修改身份提供商”界面。 修
录： 在新版事件列表查看审计事件 在旧版事件列表查看审计事件 使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。 用户通过云审计控
Service，以下简称CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 为了方便查看IAM的关键操作事件，例如创建用户、删除用户等，建议管理员开启云审计服务。 操作步骤 登录管理控制台。
步骤2：配置企业IdP 您可以在企业IdP中配置单点登录相关参数，决定向华为云提供哪些用户信息。企业IdP与华为云交互过程中，需要将企业IdP用户的相关信息发送给华为云，华为云会结合接收到的信息，确定联邦用户的身份和权限。 IAM用户SSO类型的单点登录，企业IdP必须要配置IA
绑定虚拟MFA并开启登录保护或操作保护后，用户在进行登录或进行敏感操作时，需要输入MFA应用程序的动态验证码，下图以登录验证为例。 此时，用户需要打开MFA应用程序，在首页查看用户已绑定账号的验证码，下图以华为云App为例。 如果虚拟MFA验证码校验不通过，请参考：虚拟MFA验证码校验不通过怎么办。 父主题： 安全设置类
步骤2：配置企业Idp 您可以在企业IdP中配置单点登录相关参数，决定向华为云提供哪些用户信息。企业IdP与华为云交互过程中，需要将企业IdP用户的相关信息发送给华为云，华为云会结合接收到的信息和身份转换规则，确定联邦用户的身份和权限。 常用的企业IdP配置参数 表1 常用的企业IdP配置参数
如果您忘记了账号的密码，请参考忘记账号密码自行重置登录密码。 本节只介绍IAM用户、华为云账号、华为账号的找回密码方式。 如果找回密码的过程中，报错“此账号无效或不受支持”，说明该账号不是IAM用户、华为云账号或华为账号。请再次检查输入的账号是否正确。如果您暂未注册华为账号，建
√ × √ × 创建身份提供商 √ × √ × 导入Metadata文件 √ × √ × 查询Metadata文件 √ × √ √ 查询身份提供商 √ × √ √ 查询协议 √ × √ √ 查询映射 √ × √ √ 更新身份提供商 √ × √ × 更新协议 √ × √ × 更新映射
查看IAM操作记录 开通云审计服务 在CTS事件列表查看云审计事件
源。 选择“持续时间”，填写“描述”信息。 单击“完成”。 如您不需要给委托授权，在授权的确认弹窗中单击“取消”，可以直接返回委托列表进行查看创建成功的委托。此时的委托将不包含任何权限。 在授权的确认弹窗中，单击“立即授权”。 勾选需要授予委托的权限，单击“下一步”，选择权限的作用范围。
管理员可以设置访问控制策略，限制账号下的所有IAM用户只能从特定IP地址区间、网段及VPC Endpoint访问华为云。普通IAM用户没有权限查看此页面，如需使用，请联系管理员为您操作或添加权限。 访问控制生效条件： 控制台访问（推荐）：仅对账号下的所有IAM用户和联邦用户（SP方式）登录控制台生效，对账号本身不生效。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
