检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
问密钥）配置到企业IdP的配置文件中，以便获取用户认证token。为了保障您的账号安全，密码和访问密钥建议加密存储。 企业管理员登录企业管理系统后，访问自定义代理，从用户列表中选择需要登录华为云的企业用户，具体操作请参见企业管理系统帮助文档。此处以企业管理员选择2中配置的用户UserB为例。
0凭据，在华为云平台创建身份提供商并配置授权信息，从而建立企业管理系统和华为云平台的信任关系。 配置身份转换规则：通过在华为云平台配置身份转换规则，将IdP中的用户、用户组及其访问权限映射到华为云平台。 配置企业管理系统登录入口：将华为云平台的访问入口配置到企业管理系统中，用户可通过登录企业管理系统直接访问华为云平台。
使用委托方式配置自定义身份代理配置步骤 如果您的企业IdP不支持SAML、OIDC协议，可以使用自定义身份代理，通过编写代码获得华为云登录链接，使企业用户通过企业IdP验证身份后，即可登录华为云。 自定义身份代理适用于不支持SAML、OIDC的企业IdP，如果您使用了支持SAML
步骤3：配置身份转换规则 企业IdP用户登录华为云后，华为云会根据身份转换规则，决定联邦用户的身份和拥有的权限。身份转换规则需要用户根据自身场景自定义，若不对身份转换规则进行配置，则联邦用户在华为云中的用户名默认为“FederationUser”，权限默认仅能访问华为云，没有其他任何权限。
单击“确定”，创建身份提供商成功。 在华为云上配置元数据文件 配置元数据文件，即把企业IdP的Metadata文件配置到华为云。IAM支持“上传文件”和“手动编辑”两种配置，选择其中一种即可。如果元数据文件超过500KB，请通过“手动编辑”配置元数据。如果后续元数据有更新，需要用户重新
步骤2：配置身份转换规则 在IAM上创建身份提供商后，联邦用户在华为云中的用户名默认为“FederationUser”，且联邦用户仅能访问华为云，没有任何权限。您可以在IAM控制台配置身份转换规则，实现： 企业管理系统用户在华为云中显示不同的用户名。 赋予企业管理系统用户使用华为
修改SAML身份提供商配置 功能介绍 该接口可以用于管理员修改基于SAML协议的身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI
部分企业级用户在公有云上存在多账号，并且通过企业级IDP系统联邦登录至公有云对不同账号进行操作，需要提前通过API自动配置联邦认证。 本章节指导用户如何使用API调用的方式自动配置联邦认证。 前提条件 账号进行注册或导入操作需要拥有Security Administrator权限。 总体思路
示例。 请确保您使用的企业IdP支持SAML 2.0协议。 联邦身份认证的配置步骤 建立企业管理系统与华为云的联邦身份认证关系，配置流程如下。 图1 基于SAML的虚拟SSO配置流程 创建身份提供商并建立互信关系：华为云与企业IdP建立联邦认证，需要华为云平台创建一个与企业IdP
KEY型号、待绑定的USB KEY，输入该设备的PIN码，自定义证书显示名。 若未输入证书显示名，系统将自动生成，建议输入。 单击“申请证书”。证书审批后，可获得USB KEY信息，请妥善保管证书显示名和PIN码，后续使用USB设备、证书显示名和PIN码登录。 单击“确定”，绑定成功。您的密码立即失效，无法使用密码登录控制台。
修改OpenID Connect身份提供商配置 功能介绍 该接口可以用于管理员修改OpenID Connect身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
步骤3：配置外部身份ID IAM用户SSO类型的单点登录，华为云必须要为企业IdP用户对应的IAM用户配置外部身份ID。外部身份ID值要与企业IdP的IAM_SAML_Attributes_xUserId值保持一致。您可以在IAM用户创建时配置外部身份ID，或者直接修改现有IAM用户的外部身份ID：
创建OpenID Connect身份提供商配置 功能介绍 该接口可以用于管理员在创建身份提供商，并注册协议（OIDC协议）后，创建OpenID Connect身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。
从企业IdP侧发起联邦认证登录，必须在企业IdP侧配置该参数。 IAM_SAML_Attributes_idp_id 与企业IdP建立联邦认证的华为账号或华为云账号中，创建的身份提供商名称 从企业IdP侧发起联邦认证登录，必须在企业IdP侧配置该参数。 常用联邦身份认证配置示例 由于不同的企业IdP的配置存在较大差异
从企业IdP侧发起联邦认证登录，必须在企业IdP侧配置该参数。 IAM_SAML_Attributes_idp_id 与企业IdP建立联邦认证的华为账号或华为云账号中，创建的身份提供商名称 从企业IdP侧发起联邦认证登录，必须在企业IdP侧配置该参数。 联邦身份认证配置示例 由于不同的企业IdP的配置存在较大差异，
查询OpenID Connect身份提供商配置 功能介绍 该接口可以用于管理员查询OpenID Connect身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
单击“确定”，创建身份提供商成功。 在华为云配置元数据文件 配置元数据文件，即把企业IdP的Metadata文件配置到华为云。IAM支持“上传文件”和“手动编辑”两种配置，选择其中一种即可。如果元数据文件超过500KB，请通过“手动编辑”配置元数据。如果后续元数据有更新，需要用户重新
据，让用户更安全地访问IAM。 表1 IAM身份凭证和安全性设计 访问凭证 安全性简要说明 详细介绍 用户名、密码 按需配置用户密钥字符种类和最小长度，支持配置密码有效期策略和密码最短使用时间策略。 密码策略 访问密钥 华为云通过AK识别访问用户的身份，通过SK对请求数据进行签名
links 参数 参数类型 描述 self String 资源链接地址。 请求示例 创建名为“IAMGroup”的用户组。 POST https://iam.myhuaweicloud.com/v3/groups { "group": { "description":
目权限的作用范围仍为指定区域项目。 说明： 不支持选择专属云DEC的区域项目。 全局服务资源 IAM用户可以根据权限使用全局服务。全局服务部署时不区分物理区域。访问全局级服务时，不需要切换区域，如对象存储服务（OBS）、内容分发网络（CDN）等。 如果选择作用范围为“全局服务”，
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
