检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
创建用户组并授权。 IAM相关系统权限请参见IAM系统权限。 IAM相关授权项请参见IAM授权项。 将该IAM用户添加至上一步的用户组中。 IAM用户登录控制台，访问IAM控制台。 父主题： 用户组及权限管理类
色实现功能。因此管理员在基于角色授权时，对于有依赖则需要授予依赖的角色才会生效。策略不存在依赖关系，不需要进行依赖授权。 操作步骤 管理员登录IAM控制台。 在用户组列表中，单击新建用户组右侧的“授权”。 在授权页面进行授权时，管理员在权限列表的搜索框中搜索需要的角色。 选择角色，系统将自动勾选依赖角色。
前提条件 已有账号与您创建了委托关系。 您已经获取到委托方的账号名称及所创建的委托名称。 操作步骤 使用账号或者“分配委托权限”步骤中新建的用户登录华为云。 “分配委托权限”步骤中新建的用户具有管理委托的权限，可以切换角色。 鼠标移动至右上方的用户名，选择“切换角色”。 图1 切换角色
基本概念 使用API涉及的常用概念 账号 用户注册华为云时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用他们进行日常管理工作。 用户 由账号
sso_type 否 String 身份提供商类型。当前支持如下两种： virtual_user_sso：联邦登录跳转后映射为虚拟用户。 iam_user_sso：联邦登录跳转后映射为实际存在的IAM用户。如果选择该类型，请确保您已在华为云创建IAM用户。 默认配置为virtual
Token是否可以被篡改：Token生成时加入了签名防篡改的机制，Token被修改后无法通过验签，防止Token被伪造。 其他相关操作 如果您开启了登录保护并设置登录保护为MFA验证，请参考获取IAM用户Token（使用密码+虚拟MFA）获取IAM用户Token。 如果需要获取具有Security
权限，获取IAM用户Token。 如果您是第三方系统用户，直接使用联邦认证的用户名和密码获取Token，系统会提示密码错误。请先在华为云的登录页面，通过“忘记密码”功能，设置华为云账号密码。 前提条件 已安装并注册Postman。 如果您没有安装Postman，建议通过API Explorer获取用户Token。
CMKFullAccess权限，授权成功后，SFS可以获取KMS密钥用来加解密文件系统。 您可以在IAM控制台的委托列表中查看已创建的委托。 在IAM控制台创建云服务委托 登录IAM控制台。 在统一身份认证服务的左侧导航窗格中，选择“委托”页签，单击“创建委托”。 在创建委托页面，设置“委托名称”。 图2 云服务委托名称
查询租户授权信息 功能介绍 该接口用于查询指定账号中的授权记录。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3.0/OS-P
页面，如需使用，请联系管理员为您操作或添加权限。 访问控制生效条件： 控制台访问（推荐）：仅对账号下的所有IAM用户和联邦用户（SP方式）登录控制台生效，对账号本身不生效。 API访问：仅对账号下的所有IAM用户和联邦用户通过API网关访问API接口生效，修改后2小时生效。 访问控制策略最多可设置200条。
API Token管理 访问密钥管理 区域管理 项目管理 账号管理 IAM用户管理 用户组管理 权限管理 自定义策略管理 委托管理 企业项目管理 安全设置 联邦身份认证管理 自定义身份代理 版本信息管理 服务和终端节点
约束与限制 IAM中的用户数、用户组数等有限定的配额， 其中“是否支持修改”列标示“√”的，表示该限制项可以修改。如果当前资源配额无法满足业务需要，您可以申请扩大配额，具体方法请参见：如何修改配额。 限制分类 限制项 限制值 是否支持修改 用户 IAM用户数 50 √ 用户名的字符数
权限基本概念 权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 权限的分类 权限根据授权精细程度分为角色和策略。 角色：
如图1所示，管理员无需取消正在进行的授权操作，创建自定义策略完成后可继续完成授权。 图1 授权过程中创建策略 可视化视图配置自定义策略 登录IAM控制台。 在统一身份认证服务，左侧导航窗格中，选择“权限管理>权限”页签，单击右上方的“创建自定义策略”。 图2 创建自定义策略 输入“策略名称”。
获取委托的临时访问密钥和securitytoken 功能介绍 该接口可以用于通过委托来获取临时访问密钥（临时AK/SK）和securitytoken。 临时AK/SK和securitytoken是系统颁发给IAM用户的临时访问令牌，有效期可在15分钟至24小时范围内设置，过期后需
查询账号配额 功能介绍 该接口可以用于查询账号配额。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3.0/OS-QUOTA/domains/{domain_id}
如图3所示，配置ECS弹性云服务器委托分为创建ECS云服务委托、ECS实例配置委托、获取委托的临时凭证3步。详细步骤如下： 管理员创建ECS云服务委托。 登录统一身份认证服务控制台。 在统一身份认证服务的左侧导航窗格中，选择“委托”页签，单击“创建委托”。 在创建委托页面，设置“委托名称” “委
请求参数及参数说明。将消息体加入后的请求如下所示，加粗的斜体字段需要根据实际值填写，其中username为用户名，********为用户的登录密码，domainname为用户所属的账号名称，如果是账号本身获取token，username和domainname填为一致，xxxxxx
获取联邦认证token(OpenID Connect ID token方式) 功能介绍 该接口可以用于通过OpenID Connect ID token方式获取联邦认证token。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。
支持IAM资源粒度授权的云服务 如果您需要授予IAM用户特定资源的相应权限，可以创建自定义策略并选择特定资源，该IAM用户将仅拥有对应资源的使用权限。例如创建自定义策略时，选择资源类型并添加资源路径：OBS:*:*:bucket:TestBucket*，即可授予IAM用户以TestBucket命名开头的桶相应权限。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
