正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
] } } Resource 否 Array of strings 资源。规则如下: 说明: 可填 * 的五段式:::::,例:"obs:::bucket:*"。 region字段为*或用户可访问的region。se
策略 策略内容 策略语法 策略鉴权规则 父主题: 权限管理
基于OIDC协议的虚拟用户SSO 联邦身份认证配置概述 步骤1:创建身份提供商 步骤2:配置身份转换规则 (可选)步骤3:配置企业管理系统登录入口 父主题: 身份提供商
虚拟用户SSO与IAM用户SSO的适用场景 基于SAML协议的虚拟用户SSO 基于SAML协议的IAM用户SSO 基于OIDC协议的虚拟用户SSO 身份转换规则详细说明
基于SAML协议的虚拟用户SSO 基于SAML协议的虚拟用户SSO配置概述 步骤1:创建身份提供商 步骤2:配置企业Idp 步骤3:配置身份转换规则 步骤4:登录验证 (可选)步骤5:配置企业管理系统登录入口 父主题: 身份提供商
图2 交换Metadata文件模型 配置企业IdP参数,规定在交互过程中,企业IdP向华为云发送哪些信息。 在华为云配置身份转换规则:通过配置身份转换规则,明确企业IdP用户登录华为云后的身份和权限,例如登录华为云后的用户名、加入的用户组和拥有的访问权限。 图3 用户转换模型 登录
AM资源粒度授权的云服务。 表1 资源类型 类型 说明 特定资源 授予IAM用户特定资源的相应权限。如授予IAM用户以TestBucket命名开头的桶相应权限,需将bucket设置为通过资源路径指定,添加资源路径:OBS:*:*:bucket:TestBucket*。 说明: 指定桶资源:
管理员在用户组列表中,单击用户组右侧的“编辑”,修改用户组名称和描述。 图5 修改用户组名称和描述 如果该用户组名称已配置在身份提供商的身份转换规则中,修改用户组名称将导致对应身份转换规则失效,请谨慎操作。 修改用户组中的用户 管理员在用户组列表中,单击用户组右侧的“用户组管理”。 图6 修改用户组中的用户
} Resource Array of strings 资源。如果创建此策略时未传入此字段,则返回结果中也无此字段。规则如下: 说明: 可填 * 的五段式:::::,例:"obs:::bucket:*"。 region字段为*或用户可访问的region。se
CS。 支持的服务 使用IAM授权的云服务。 企业管理目前支持的服务请参见支持的云服务 检查规则 用户在发起访问请求时,系统根据用户被授权的访问策略中的action进行鉴权判断。检查规则如下: 图1 请求鉴权逻辑图 用户发起访问请求。 系统在用户被授予的访问权限中,优先寻找基于I
updateIdentityProvider 删除身份提供商 identityProvider deleteIdentityProvider 更新身份转换规则 identityProvider updateMapping 更新IDP元数据 identityProvider metadataConfiguration
图2 填写身份提供商参数 表1 身份提供商基本参数 参数 含义 名称 身份提供商的名称。身份提供商名称在全局范围内不能重复,建议以域名唯一标识命名。 协议 身份提供商协议。当前华为云支持基于SAML、OIDC的身份提供商,如需创建基于OIDC协议的联邦身份认证,请参考基于OIDC协议的虚拟用户SSO。
} } Resource Object 资源,如果创建此策略时未传入此字段,则返回结果中也无此字段。规则如下: 说明: 可填 * 的五段式:::::,例:"obs:::bucket:*"。 region字段为*或用户可访问的region。se
业项目可绑定的权限配额 assigment_user_ep:一个用户基于企业项目可绑定的权限配额 mapping:账号中所有身份提供商映射规则配额 请求参数 表3 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String IAM用户的token。(无需特殊权限。)
} } Resource Object 资源,如果创建此策略时未传入此字段,则返回结果中也无此字段。 规则如下: 说明: 可填 * 的五段式:::::,例:"obs:::bucket:*"。 region字段为*或用户可访问的region。se
一个委托可绑定的权限数(包括系统权限和自定义策略) 200 √ 身份提供商 数量 10 √ 名称字符数 64 x 账号中所有身份提供商的映射规则总数 10 √ 联邦虚拟用户绑定的用户组数 100 x 联邦虚拟用户的用户名的字符数 255 x
"public" ] } } Resource Object 资源。规则如下: 说明: 可填 * 的五段式:::::,例:"obs:::bucket:*"。 region字段为*或用户可访问的region。se
映射信息。 表4 mapping 参数 是否必选 参数类型 描述 rules 是 Array of objects 将联邦用户映射为本地用户的规则列表。 表5 mapping.rules 参数 是否必选 参数类型 描述 local 是 Array of RulesLocal objects
映射信息。 表4 mapping 参数 是否必选 参数类型 描述 rules 是 Array of objects 将联邦用户映射为本地用户的规则列表。 表5 mapping.rules 参数 是否必选 参数类型 描述 local 是 Array of RulesLocal objects
、项目、用户组、区域、委托的名称和ID。 该接口提供了锁定机制用于防止暴力破解,调用时,请确保用户名密码正确,输错一定次数(管理员可设置该规则,方法请参见:账号锁定策略)将被锁定。 表6 auth.identity.password 参数 是否必选 参数类型 描述 user 是 Object