检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
实践步骤 针对A公司的企业需求及其解决方案，按照如下流程构建项目团队、购买资源，实现企业项目管理。 图1 企业项目管理流程图 步骤1：开通并创建企业项目：开通企业项目，并在企业管理服务控制台创建企业项目。 步骤2：创建IAM用户及用户组：在统一身份认证服务控制台为各职能团队创建用
查询企业项目关联的用户组 功能介绍 该接口可用于查询企业项目直接关联的用户组。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3
时，避免分享账号的密码。 如需创建IAM用户，请参考：创建IAM用户。 企业子账号 企业主账号与企业子账号都是在华为云注册的账号，账号属性都为华为云账号。企业管理 > 财务管理提供多个华为云账号之间形成企业主子关系的能力，如果多个华为云账号属于同一组织架构，可以将多个华为云账号创建关联关系。
查询企业项目已关联用户组的权限 功能介绍 该接口用于查询指定ID的企业项目所关联用户组的权限，适用于待查询的企业项目已关联了用户组。 该接口可以使用全局区域的域名调用，全局区域的域名为iam.myhuaweicloud.com。 根据产品迭代计划，该接口将逐步下线，推荐您使用查询企业项目关联用户组的权限。
删除企业项目关联的用户组权限 功能介绍 该接口提供删除某个企业项目关联的用户组权限。 该接口可以使用全局区域的域名调用，全局区域的域名为iam.myhuaweicloud.com。 根据产品迭代计划，该接口将逐步下线，推荐您使用删除企业项目关联用户组的权限。 URI URI格式 DELETE
（可选）步骤5：配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上，企业用户通过该链接访问华为云。 华为云提供企业联邦用户登录入口，如您未配置企业管理系统登录入口，企业联邦用户可以通过该方法登录华为云，详情请参考：企业联邦用户登录。 前提条件 已在本系统创建身份
（可选）步骤3：配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上，企业用户通过该链接访问华为云。 华为云提供企业联邦用户登录入口，如您未配置企业管理系统登录入口，企业联邦用户可以通过该方法登录华为云，详情请参考：企业联邦用户登录。 前提条件 已在本系统创建身份
（可选）步骤5：配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上，企业用户通过该链接访问华为云。 华为云提供“企业联邦用户登录”入口，如您未配置企业管理系统登录入口，企业联邦用户可以通过该方法登录华为云，详情请参考：企业联邦用户登录。 前提条件 已在华为云创建
异，华为云帮助文档对于企业IdP的配置不做详述，获取企业IdP的元数据文件、华为云元数据上传至企业IdP等具体操作请参考企业IdP的帮助文档。 建立企业IdP对华为云的信任关系 在企业IdP中配置华为云的元数据文件，以建立企业IdP对华为云的信任。常用企业IdP，如Microsoft
SP initiated方式 Openstack和Shibboleth是被广泛使用的一套开源联邦身份认证解决方案，提供了强大的单点登录能力，将用户连接到企业内外的各种应用服务。本章介绍通过Openstack Client和ShibbolethECP Client获取联邦认证Token的方法。
配置联邦身份认证，需要在企业IdP上传华为云的元数据文件（Metadata文件），并在IAM控制台上创建身份提供商、上传企业IdP的元数据文件，来建立两个系统之间的互信关系。 建立企业IdP对华为云的信任关系 在企业IdP中配置华为云的元数据文件，以建立企业IdP对华为云的信任。常用企业IdP，如Microsoft
的方法。“Client4ShibbolethIdP”脚本模拟用户在浏览器上登录企业IdP系统，通过呈现浏览器提交的表单数据和客户端实现的对比，帮助用户开发本企业IdP系统的客户端脚本。 前提条件 企业IdP服务器支持IdP Initiated方式的联邦认证。 客户端需要安装pyt
而建立企业管理系统和华为云平台的信任关系。 配置身份转换规则：通过在华为云平台配置身份转换规则，将IdP中的用户、用户组及其访问权限映射到华为云平台。 配置企业管理系统登录入口：将华为云平台的访问入口配置到企业管理系统中，用户可通过登录企业管理系统直接访问华为云平台。 企业管理系统与华为云联邦身份认证交互流程
允许或拒绝用户对服务的资源类型进行指定的操作。 企业项目：该服务是否支持基于企业项目授权。关于企业项目请参见《企业管理服务用户指南》 “√”表示支持，“x”表示暂不支持。 计算 服务 所属区域 控制台 API 服务委托 策略 企业项目 弹性云服务器 ECS 除全局区域外的其他区域
操作场景 如果企业中不需要每个人都注册账号，则可以由企业的管理员注册一个账号，在这个账号下创建用户组并分配权限，然后将创建的IAM用户根据不同的职能加入到不同的用户组中，分发给企业的人员使用。关于账号和IAM用户的概念，详情请参见：IAM基本概念。 本章节以A公司Company-
综上，企业管理服务能够实现项目间跨区域的资源隔离，隔离逻辑更加灵活，因此，推荐A公司使用企业管理服务进行项目资源管理，以下需求将基于企业管理服务提出解决方案。如需了解更多统一身份认证和企业管理的区别，请参见：统一身份认证和企业管理的区别。 针对需求2：A公司需要配合使用企业管理服
登录验证：发起单点登录，测试是否能成功从企业IdP跳转登录华为云。 （可选）配置企业管理系统登录入口：将华为云的访问入口配置到企业管理系统中，用户可通过登录企业管理系统直接访问华为云，如图4所示。 图4 配置单点登录模型 企业管理系统与华为云联邦身份认证交互流程 图5为用户在发起单点登录请求后，企业管理系统与华为云间的交互流程。
自动推荐授权范围方案，便于为用户选择合适的授权作用范围，表1为IAM提供的所有授权范围方案。 表1 授权范围方案 可选方案 方案说明 所有资源 授权后，IAM用户可以根据权限使用账号中所有资源，包括企业项目、区域项目和全局服务资源。 指定企业项目资源 选择指定企业项目，IAM用户
综上，企业管理服务能够实现项目间跨区域的资源隔离，隔离逻辑更加灵活，因此，推荐A公司使用企业管理服务进行项目资源管理，以下需求将基于企业管理服务提出解决方案。如需了解更多统一身份认证和企业管理的区别，请参见：统一身份认证和企业管理的区别。 针对需求2：A公司需要配合使用企业管理服
选择权限的作用范围，勾选需要授予委托的权限，给委托授权。 在企业IdP创建用户组“testagency”（与4中的委托名称相同），将企业本地用户按需加入本地用户组，授予其自定义代理登录华为云时所需权限，具体方法请参见企业IdP帮助文档。 企业本地用户登录企业管理系统后，访问企业IdP的自定义代理，从委托列表（
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
