如需了解国际站更多云产品，请访问国际站。https://www.huaweicloud.com/intl/
不再显示此消息
如需了解国际站更多云产品，请访问国际站。https://www.huaweicloud.com/intl/
不再显示此消息
步骤3：配置身份转换规则 企业IdP用户登录华为云后，华为云会根据身份转换规则，决定联邦用户的身份和拥有的权限。身份转换规则需要用户根据自身场景自定义，若不对身份转换规则进行配置，则联邦用户在华为云中的用户名默认为“FederationUser”，权限默认仅能访问华为云，没有其他任何权限。
1：创建身份提供商。 操作步骤 您可以使用“创建规则”，IAM会将您填写的身份转换规则参数转换成JSON语言；也可以单击“编辑规则”直接编写JSON语言，编辑身份转换规则的详细说明和示例请参见：身份转换规则详细说明。 创建规则 管理员在IAM控制台的左侧导航窗格中，单击“身份提供商”。
身份转换规则详细说明 联邦身份转换规则采用JSON格式呈现。您可以通过编辑JSON文件来修改规则。JSON格式如下： [ { "local": [ {
认证证书 合规证书 华为云服务及平台通过了多项国内外权威机构（ISO/SOC/PCI等）的安全合规认证，用户可自行申请下载合规资质证书。 图1 合规证书下载 资源中心 华为云还提供以下资源来帮助用户满足合规性要求，具体请查看资源中心。 图2 资源中心 销售许可证&软件著作权证书
访问密钥泄露处理方案 访问密钥即AK/SK（Access Key ID/Secret Access Key），是您通过开发工具（API、CLI、SDK）访问华为云时的身份凭证。系统通过Access Key ID识别访问用户的身份，通过Secret Access Key进行签名验证，通过加密
访问密钥限制性保护说明 访问密钥即AK/SK（Access Key ID/Secret Access Key），是您通过开发工具（API、CLI、SDK）访问华为云时的身份凭证。大量业内云上安全事件表明，访问密钥的泄漏可导致黑客利用访问密钥控制该账号进行退订、删除云上资源等操作，
管理IAM用户访问密钥 访问密钥即AK/SK（Access Key ID/Secret Access Key），是您通过开发工具（API、CLI、SDK）访问华为云时的身份凭证，不能登录控制台。系统通过AK识别访问用户的身份，通过SK进行签名验证，通过加密签名验证可以确保请求的机密性、完整性和请求者身份的正确性。
开启后，用户将在“登录验证”页面中看到公告信息。 图4 登录验证 USB KEY证书策略 设置证书过期提前提醒时间，证书过期前提醒用户及时重新申请，保障业务连续性。用户在USB KEY证书的时间内必须重新申请，否则USB KEY将会失效，无法登录云服务平台。USB KEY证书过期提前提醒时间默认为10天，可以在1~10天之间进行设置。
AM用户给自己创建永久访问密钥。 访问密钥（Access Key ID/Secret Access Key，简称AK/SK），是您通过开发工具（API、CLI、SDK）访问华为云时的身份凭证，不用于登录控制台。系统通过AK识别访问用户的身份，通过SK进行签名验证，通过加密签名验证
支持配置多个，华为云默认使用第一个。 签名证书 是 对应IdP元数据文件中“<X509Certificate>” 的值。 签名证书是一份包含公钥用于验证签名的证书，为了确保安全性，建议使用长度大于等于2048位的公钥。IAM通过元数据文件中的签名证书来确认联邦身份认证过程中断言消息的可信性、完整性。
密钥无需任何权限。 总体思路 定期轮换访问密钥（AK/SK）时，步骤如下： 创建AK/SK； 查询您所有AK/SK的创建时间（或指定AK/SK的创建时间），判断使用时间是否需要轮换； 更换新的AK/SK。 删除需要轮换的AK/SK； 涉及的接口如下： 创建永久访问密钥 查询所有永久访问密钥
Access Key)：与访问密钥ID结合使用的密钥，对请求进行加密签名，可标识发送方，并防止请求被修改。 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见：API签名指南。 签名SDK只提
OAuth 2.0凭据，在华为云平台创建身份提供商并配置授权信息，从而建立企业管理系统和华为云平台的信任关系。 配置身份转换规则：通过在华为云平台配置身份转换规则，将IdP中的用户、用户组及其访问权限映射到华为云平台。 配置企业管理系统登录入口：将华为云平台的访问入口配置到企业管
属性。 USB KEY 根据界面实际情况进行配置，部分控制台暂不支持此功能。 USB KEY是一种通过硬件存储用户凭证的设备。使用USB KEY进行身份验证，无需输入密码，可以避免密码意外泄漏带来的账号安全问题。账号可以给账号和账号中的IAM用户绑定USB KEY，IAM用户无法给自己或他人进行绑定和解绑。
/v3/OS-FEDERATION/mappings/{id} API文档详情请参见：注册映射 API Explorer在线调试请参见：注册映射 请求示例 PUT https://iam.myhuaweicloud.com/v3/OS-FEDERATION/mappings/{id} {
不需要二次验证。 不支持创建永久访问密钥（AK/SK），支持通过用户或委托token来获取临时访问凭证（临时AK/SK和securitytoken），具体方法请参见：获取临时AK/SK和securitytoken。 如需使用永久AK/SK，只能由账号或是实体IAM用户创建密钥，
配置企业IdP参数，规定在交互过程中，企业IdP向华为云发送哪些信息。 在华为云配置身份转换规则：通过配置身份转换规则，明确企业IdP用户登录华为云后的身份和权限，例如登录华为云后的用户名、加入的用户组和拥有的访问权限。 图3 用户转换模型 登录验证：发起单点登录，测试是否能成功从企业IdP跳转登录华为云。
使用账号或者“分配委托权限”步骤中新建的用户登录华为云。 “分配委托权限”步骤中新建的用户具有管理委托的权限，可以切换角色。 鼠标移动至右上方的用户名，选择“切换角色”。 图1 切换角色 在“切换角色”页面中，输入委托方的账号名称。 图2 输入委托方的账号名称、委托名称 输入账号名称后，系统将会按照顺序
虚拟用户SSO和IAM用户SSO的区别有身份转换方式、IAM用户身份、IAM侧权限分配3个方面的区别： 1、身份转换方式：虚拟用户SSO通过身份转换规则进行Idp用户和IAM用户的身份转换。IAM用户SSO使用外部身份ID来进行身份转换，Idp用户的IAM_SAML_Attrib
不支持选择专属云DEC的区域项目。 全局服务资源 IAM用户可以根据权限使用全局服务。全局服务部署时不区分物理区域。访问全局级服务时，不需要切换区域，如对象存储服务（OBS）、内容分发网络（CDN）等。 如果选择作用范围为“全局服务”，且所勾选的策略包含项目级服务权限，系统自动将项
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
您即将访问非华为云网站，请注意账号财产安全
