检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如果您已开通并使用企业项目，可以选择IAM项目视图、企业项目视图，分别查看IAM项目、企业项目的授权关系。 图1 已开通并使用企业项目 如果您暂未开通企业项目，将自动显示IAM项目视图。如需开通企业项目，请参见开通企业项目。 图2 暂未开通企业项目 IAM项目视图 在IAM项目视图下，您可以选择如下过滤条件查看对应授权记录。
华为云账号、华为账号、IAM用户、企业联邦用户的关系 本文为您介绍华为云常见账号的基本概念、各账号之间的关系和区别。 华为云有哪些账号 华为云账号体系主要分为两类： 账号：在华为云注册或创建的账号。拥有华为云最高权限，可以访问拥有的所有资源并为资源付费。账号包括华为账号、华为云账号。
表2列出了IAM常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 Tenant Guest、Tenant Administrator是统一身份认证服务提供的基础权限，不包含IAM的任何权限，因此下表中不进行解析。 表2 常用操作与系统权限的关系 操作 Security Administrator
instance 弹性云服务器 云硬盘（EVS） volume 云硬盘 函数工作流服务（FunctionGraph） function 函数 trigger 触发器 图引擎服务（GES） graphName 图名称 backupName 备份名称 metadataName 元数据名称
要的角色。 选择角色，系统将自动勾选依赖角色。 图1 选择角色 单击勾选权限下方的，查看角色的依赖关系。 图2 查看角色的依赖关系 例如“DNS Administrator”，角色内容中存在“Depends”字段，表示存在依赖关系。给用户组授予“DNS Administrator
单击需要删除的IAM用户操作列的“删除”，确认弹窗中删除用户的信息，单击“是”，删除成功。 图1 删除IAM用户 批量删除IAM用户 进入IAM控制台，在左侧导航栏选择“用户”页签。 在用户列表中，勾选需要删除的用户。勾选完成后，单击用户列表上方的“删除”。 图2 批量删除IAM用户 弹窗中单击“是”，完成所选IAM用户删除。
联邦身份认证的配置步骤 建立企业管理系统与华为云的联邦身份认证关系，需要完成以下配置步骤。 创建身份提供商并创建互信关系：在企业IdP中创建OAuth 2.0凭据，在华为云平台创建身份提供商并配置授权信息，从而建立企业管理系统和华为云平台的信任关系。 配置身份转换规则：通过在华为云平台配置身份转
IAM中建立对企业IdP的信任关系，使得企业用户可以直接访问华为云。 进入IAM控制台，在左侧导航窗格中，选择“身份提供商”页签，单击右上方的“创建身份提供商”。 图1 创建身份提供商 在“创建身份提供商”窗口中设置名称、协议、类型、状态、描述。 图2 填写身份提供商参数 表1 身份提供商基本参数
（可选）分配委托权限（被委托方操作） 当其他账号与您创建了委托关系，即您是被委托方，默认情况下只有较大权限的用户（账号本身以及admin用户组中的成员）可以管理委托资源，如果您需要普通IAM用户帮助您管理委托，可以将管理委托的权限分配给IAM用户。 如果您有多个委托关系，可以授予IAM用户较大的委托权限，
成长地图 | 华为云 统一身份认证服务 统一身份认证（Identity and Access Management，简称IAM）是华为云提供权限管理的基础服务，可以帮助您安全地控制华为云服务和资源的访问权限。 IAM无需付费即可使用。 产品介绍 图说IAM 立即使用 成长地图 由浅入深，带您玩转IAM
切换角色（被委托方操作） 当其他账号与您创建了委托关系，即您是被委托方，您已经分配了委托权限的用户，可以切换角色至委托方账号中，根据权限管理委托方的资源。 前提条件 已有账号与您创建了委托关系。 您已经获取到委托方的账号名称及所创建的委托名称。 操作步骤 使用账号或者“分配委托权限”步骤中新建的用户登录华为云。
由于华为云各服务之间存在业务交互关系，一些云服务需要与其他云服务协同工作，需要您创建云服务委托，将操作权限委托给该服务，让该服务以您的身份使用其他云服务，代替您进行一些资源运维工作。 当前IAM提供两种创建委托方式： 在IAM控制台创建云服务委托 以图引擎服务 GES为例：将操作权
x √ √ 云手机服务器 CPH 除全局区域外的其他区域 √ √ x x x 镜像服务 IMS 除全局区域外的其他区域 √ √ √ √ √ 函数工作流 FunctionGraph 除全局区域外的其他区域 √ √ √ x √ 专属主机 DeH 除全局区域外的其他区域 √ x x √ √
基于用户组为企业项目授权 功能介绍 该接口用于给指定ID的企业项目授权，建立企业项目、用户组和权限的绑定关系。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
基于用户组为企业项目授权 功能介绍 该接口用于给指定ID的企业项目授权，建立企业项目、用户组和权限的绑定关系。 该接口可以使用全局区域的域名调用，全局区域的域名为iam.myhuaweicloud.com。 根据产品迭代计划，该接口将逐步下线，推荐您使用基于用户组为企业项目授权。
IAM中建立对企业IdP的信任关系，使得企业用户可以直接访问华为云。 进入IAM控制台，在左侧导航窗格中，选择“身份提供商”页签，单击右上方的“创建身份提供商”。 图1 创建身份提供商 在“创建身份提供商”窗口中设置名称、协议、类型、状态、描述。 图2 填写身份提供商参数 表1 身份提供商基本参数
拟MFA进行登录验证。 可能原因 您已开启登录保护，验证方式是“虚拟MFA”，且已解绑或重置虚拟MFA。此时，您的MFA设备和华为云的绑定关系已解除，但是登录保护依然生效，因此需要进行登录验证。 解决方法 登录华为云时，重新绑定虚拟MFA，并通过虚拟MFA进行登录验证。 单击登录
华为云账号。关闭账号的登录验证，华为账号参见：华为账号关闭自己的登录验证功能，华为云账号参见：华为云账号在安全设置中关闭自己的登录验证。 图1 华为账号信息页 华为账号关闭自己的登录验证功能 请在“华为账号中心>账号与安全>安全验证>双重验证”中单击“关闭”，输入验证信息，关闭登录保护。
常用系统权限设置案例 请参考以下文档给IAM用户设置常见云服务的访问权限。 设置弹性云服务器（ECS）的权限 设置弹性负载均衡（ELB）的权限 设置关系型数据库（RDS）的权限 设置云硬盘（EVS）的权限 设置云监控（CES）的权限 设置云容器引擎（CCE）的权限 设置对象存储服务（OBS）的权限
服务相关角色用于授权。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 由于华为云各服务之间存在业务依赖关系，因此给用户或用户组授予角色时，需要将依赖的其他角色一并授予该用户或用户组，保证权限生效。具体请参见：依赖角色的授权方法。 约束与限制 企业项目授权场景下不支持授予角色。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
