检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
华为云还提供以下资源来帮助用户满足合规性要求，具体请查看资源中心。 图2 资源中心 销售许可证&软件著作权证书 另外，华为云还提供了以下销售许可证及软件著作权证书，供用户下载和参考。具体请查看合规资质证书。 图3 销售许可证&软件著作权证书 父主题： 安全
使用委托实现跨账号的资源授权与管理 A公司和B公司是华为云注册的企业用户，分别拥有自己单独的华为账号。本文主要介绍当A账号希望将部分资源委托给B账号时，使用IAM的委托功能来实现跨账号的资源授权与管理（A账号为委托方，B账号为被委托方）。 企业需求 A账号在华为云购买了多种资源，
组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 权限的分类 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云
步骤3：配置身份转换规则 企业IdP用户登录华为云后，华为云会根据身份转换规则，决定联邦用户的身份和拥有的权限。身份转换规则需要用户根据自身场景自定义，若不对身份转换规则进行配置，则联邦用户在华为云中的用户名默认为“FederationUser”，权限默认仅能访问华为云，没有其他任何权限。
转至华为云平台，以IAM用户的方式访问华为云。 本节为您介绍企业IdP与华为云，基于SAML协议进行IAM用户SSO联邦认证的内部实现流程和配置步骤，以及常用的企业IdP与华为云对接示例。 请确保您使用的企业IdP支持SAML 2.0协议。 联邦身份认证的配置步骤 建立企业管理系
击“添加权限”，创建多个服务的授权语句；或使用JSON视图配置自定义策略。 暂不支持一个自定义策略同时包含全局级云服务和项目级云服务。如果需要同时设置全局级服务和项目级服务的自定义策略，请创建两条自定义策略，便于授权时设置最小授权范围。 选择“操作”，根据需求勾选产品权限。 （可
终端节点 终端节点即调用API的请求地址，不同服务在不同区域的终端节点不同，您可以从地区和终端节点中查询IAM的终端节点。 IAM的终端节点如表1所示。IAM是全局级服务，数据全局一份，在全局项目中存储，IAM所有的API都可以使用全局服务的Endpoint调用；除了全局区域外，
项目 华为云的每个区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以区域默认单位为项目进行授权，IAM用户可以访问您账号中该区域的所有资源。预置项目不支持删除。 如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目
员注册一个账号，在这个账号下创建用户组并分配权限，然后将创建的IAM用户根据不同的职能加入到不同的用户组中，分发给企业的人员使用。关于账号和IAM用户的概念，详情请参见：IAM基本概念。 本章节以A公司Company-A使用IAM创建用户组并授权为例，帮助您快速了解，企业如何使用IAM完成服务权限的配置。
权限对云服务进行操作。 权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略以API接口为粒度进行权限拆分，授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。 如果您要
如何修改操作保护验证方式 问题描述 管理员开启操作保护后，用户在进行敏感操作时，例如删除资源、生成访问密钥等，需要操作员或指定人员进行验证，避免误操作带来的风险和损失。 开启操作保护后，默认在敏感操作验证成功后的15分钟之内，进行敏感操作无需再次验证。 如当前验证方式为“操作员验证”，修改为“指定人员
IAM侧 为了确保您的个人数据（例如用户名、密码、手机号码等）不被未经过认证、授权的实体或者个人获取，IAM对用户数据的存储和传输进行加密保护，以防止个人数据泄露，保证您的个人数据安全。 收集范围 IAM收集及产生的个人数据如表1所示： 表1 个人数据范围列表 类型 收集方式 用途
约束与限制 一个用户基于企业项目可绑定的权限数（包括系统权限和自定义策略）上限为500个。 操作步骤 管理员登录IAM控制台。 管理员在用户列表中，单击新建的用户，右侧的“授权”。 图1 IAM用户授权 在授权页面，选择授权方式和权限。 继承所选用户组的策略：将IAM用户加入用户组，用户将拥有所选用户组的所有权限。
单击“返回”，跳转至“用户组>授权记录”页签，确认修改后的用户组权限。 图4 单击返回 修改用户组名称和描述 管理员在用户组列表中，单击用户组右侧的“编辑”，修改用户组名称和描述。 图5 修改用户组名称和描述 如果该用户组名称已配置在身份提供商的身份转换规则中，修改用户组名称将导致对应身份转换规则失效，请谨慎操作。
对IAM用户的权限进行安全审计 场景描述 企业级用户通常需要对公有云上IAM用户的权限定期进行安全审计，以确定IAM用户的权限未超出规定的范围。例如：除账号和审计员用户以外的所有IAM用户都不应该具有任何IAM的管理权限。此安全审计往往是系统定期自动检查，所以需要使用API来完成。 本章节指导用户
使用联邦身份认证前，管理员需要在企业管理系统和华为云分别为用户创建账号。 使用联邦身份认证后，企业管理员只需要在企业管理系统中为用户创建账号，用户即可同时访问两个系统，降低了人员管理成本。 用户操作方便 使用联邦身份认证前，用户访问企业管理系统和华为云时需要使用两个系统的账号登录。 使
项目管理类 IAM和企业管理的区别 IAM项目和企业项目的区别 IAM用户和企业子账号的区别
访问密钥管理 获取委托的临时访问密钥和securitytoken 获取用户的临时访问密钥和securitytoken 获取联邦用户的临时访问密钥和securitytoken 创建永久访问密钥 查询所有永久访问密钥 查询指定永久访问密钥 修改指定永久访问密钥 删除指定永久访问密钥 父主题：
由账号在IAM中创建的用户，是云服务的使用人员，具有身份凭证（密码和访问密钥）。 在我的凭证下，您可以查看账号ID和用户ID。通常在调用API的鉴权过程中，您需要用到账号、用户和密码等信息。 区域（Region） 从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、
作用于全局服务，id和name需要二选一。 name 否 String IAM用户所属账号名称，获取方式请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。当auth.scope选择了domain时，获取的Token可以作用于全局服务，id和name需要二选一。 表11
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
