检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
K获取；永久安全凭证通过我的凭证界面控制台获取。 临时安全凭证为动态生成，即时使用，不能嵌入应用程序中，或者进行存储，到期后无法重复使用，只能重新获取。 临时安全凭证的优势 在给外部联邦用户授权时，临时安全凭证的优势尤为明显，您不必给外部联邦用户授予需要定时轮换，主动撤销的永久安
是 String 企业项目的ID。 group_id 是 String 待授权用户组的ID。 role_id 是 String 权限的ID。只能给用户组授予细粒度权限策略（包括系统策略和自定义策略），细粒度策略即策略版本号为1.1的策略。 请求 Request Header参数说明
理”。 图6 修改用户组中的用户 在“可选用户”中选择需要添加的用户。 在“已选用户”中选择移除对应用户。 系统缺省用户组“admin”，只能修改其中包含的用户，不能修改描述信息与权限。 父主题： 用户组及授权
性和请求者身份的正确性。 访问密钥 临时访问密钥 临时访问密钥除了具备访问密钥特性，还具备时效性，可对有效期进行设置，到期后无法重复使用，只能重新获取。 临时访问密钥 登录保护及登录验证策略 如表2所示，除了要求用户登录出示凭证并验证合法性，IAM还提供登录保护机制，支持登录验证策略，防止用户信息被非法盗用。
授权主体，取值范围：user、group、agency。该参数与subject.user_id、subject.group_id、subject.agency_id只能选择一个。 subject.user_id 否 String 授权的IAM用户ID，获取方式请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。
策略根据创建的对象，分为系统策略和自定义策略。 策略-系统策略 云服务在IAM预置了常用授权项，称为系统策略。管理员给用户组授权时，可以直接使用这些系统策略，系统策略只能使用，不能修改。如需查看所有云服务的系统策略，请参见：系统权限。 如果管理员在IAM控制台给用户组或者委托授权时，无法找到特定服务的系统策
“委托类型”选择“普通账号”，在“委托的账号”中输入需要建立委托关系的其他账号的账号名。 普通账号：将资源共享给其他账号或委托更专业的人或团队来代为管理账号中的资源。委托的账号只能是账号，不能是联邦用户、IAM用户。 云服务：授权指定云服务使用其他云服务。详情请参见：委托其他云服务管理资源。 选择“持续时间”，填写“描述”信息。
身份提供商类型。一个账号下只能存在一种类型的身份提供商。本章介绍IAM用户SSO，此处选择IAM用户SSO。 IAM用户SSO：该身份提供商中的用户登录华为云后，系统将自动匹配外部身份ID绑定的对应IAM子用户，从而拥有该子用户所在用户组的权限。一个账号下只能创建一个IAM用户SSO
使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必
华为云专属账号，仅能登录华为云，无法登录其他华为服务。 注册：2020年12月30日之前在华为云注册的账号。为了统一账号，提升登录体验，当前在华为云只能注册华为账号。 登录华为云：“华为账号”、“华为云账号”登录入口。 IAM用户 华为云资源的使用者，根据账号授予的权限使用账号中的资源。
自定义策略展示名。 type 是 String 自定义策略的显示模式。 说明： AX：全局服务。 XA：区域级项目。 自定义策略的显示模式只能为AX或者XA，不能同时在全局服务和区域级项目生效（AA），或者在全局服务和区域级项目都不生效（XX）。 description 是 String
Object IAM用户信息。 表3 user 参数 是否必选 参数类型 描述 name 是 String IAM用户名，长度1~64之间，只能包含如下字符：大小写字母、空格、数字或特殊字符（-_.）且不能以数字或空格开头。 domain_id 是 String IAM用户所属的账
not_any_of：输入属性值中不包含任何指定值才生效，并返回布尔值，返回值不能用于local块中的占位符。 映射到IAM中的用户身份信息只能包含：大小写字母、空格、数字或特殊字符（-_.）且不能以数字开头。 empty条件示例 empty条件的特点是能够返回一个具体字串值，该值用于填充local块中的占位符“{0
账号与IAM用户的关系 账号与IAM用户可以类比为父子关系，账号是资源归属以及计费的主体，对其拥有的资源具有所有权限。IAM用户由账号创建，只能拥有账号授予的资源使用权限，账号可以随时修改或者撤销IAM用户的使用权限。IAM用户进行资源操作时产生的费用统一计入账号中，IAM用户不需要为资源付费。
String 自定义策略展示名。 type 是 String 自定义策略的作用范围。 全局服务：AX 区域级项目：XA 自定义策略的显示模式只能为AX或者XA，不能同时在全局服务和区域级项目生效（AA），或者在全局服务和区域级项目都不生效（XX）。 说明： 如果您需要给用户组授予包
项目名称，必须以存在的"区域ID_"开头，长度小于等于64。项目所属区域不能改变，即原项目名为“cn-north-1_IAMProject”时，新项目名只能以“cn-north-1_”开头。“name”与"description"至少填写一个。 description 否 String 项目描
自定义策略展示名，长度1~128字符之间。 type 是 String 自定义策略的显示模式。 说明： AX：全局服务。 XA：区域级项目。 自定义策略的显示模式只能为AX或者XA，不能同时在全局服务和区域级项目生效（AA），或者在全局服务和区域级项目都不生效（XX）。 description 是 String
参数类型 描述 name 否 String 委托方对应的企业用户名。 用户名需满足如下规则：长度5~64之间，只能包含如下字符：大小写字母、空格、数字或特殊字符（-_.）且只能以字母开头。 表7 auth.identity.policy 参数 是否必选 参数类型 描述 Version
用户可以使用此处设置的用户名、邮件地址或手机号任意一种方式登录华为云。 当用户忘记密码时，可以通过此处绑定的邮箱或手机自行重置密码，如果用户没有绑定邮箱或手机号码，只能由管理员重置密码。 选择“访问方式”。 图3 选择访问方式 表2 访问方式 访问方式 说明 编程访问 为IAM用户启用访问密钥或密码，支持
自定义策略展示名。 type 是 String 自定义策略的显示模式。 说明： AX：全局服务。 XA：区域级项目。 自定义策略的显示模式只能为AX或者XA，不能同时在全局服务和区域级项目生效（AA），或者在全局服务和区域级项目都不生效（XX）。 description 是 String
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
