检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
部分企业级用户在公有云上存在多账号，并且通过企业级IDP系统联邦登录至公有云对不同账号进行操作，需要提前通过API自动配置联邦认证。 本章节指导用户如何使用API调用的方式自动配置联邦认证。 前提条件 账号进行注册或导入操作需要拥有Security Administrator权限。 总体思路
intokens）时可以设置logintoken的有效时间，有效时间设置范围为10分钟~12小时。如果传入的值大于临时安全凭证securitytoken剩余的过期时间，则使用临时安全凭证securitytoken剩余的过期时间。 企业IdP自定义代理根据规范创建云服务登录地址Fe
xaccount_type 是 String 该字段为标识租户来源字段，默认为空。 metadata 是 String 该字段为用户IdP服务器的Metadata文件的内容。 响应参数 表4 响应Body参数 参数 参数类型 描述 message String 导入结果信息。 请求示例
intokens）时可以设置logintoken的有效时间，有效时间设置范围为10分钟~12小时。如果传入的值大于临时安全凭证securitytoken剩余的过期时间，则使用临时安全凭证securitytoken剩余的过期时间。 企业IdP自定义代理根据如下规范创建云服务代理登录
24：表示委托的期限为一天，即24小时。 XXX：表示委托的期限为有限时间，如480小时。 expire_time String 委托过期时间。“null”表示不过期。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssss，日期和时间戳格式如：2023-06-28T08:56:33
com/authui/saml/metadata.xml。下载华为云元数据文件，并设置文件名称，例如“SP-metadata.xml”。 将上述文件上传到企业IdP服务器上。上传方法请参见企业IdP的帮助文档。 获取企业IdP的元数据文件。获取方法请参见企业IdP的帮助文档。 在华为云上创建身份提供商 在I
面输入多因素认证设备中的验证码，再次确认登录者身份，进一步提高账号安全性。 操作保护：您以及账号中的IAM用户进行敏感操作时，例如删除弹性云服务器资源，需要输入多因素认证设备中的验证码对操作进行确认，避免误操作带来的风险和损失。 更多有关登录保护和操作保护的介绍，请参见：敏感操作。
间的资源，企业项目中可以包含多个区域的资源。企业项目还可以实现对特定云资源的授权，例如：将一台特定的ECS添加至企业项目，对企业项目进行授权后，可以控制用户仅能管理这台特定的ECS。 支持的服务 使用IAM授权的云服务。 企业管理目前支持的服务请参见支持的云服务 检查规则 用户在
注意： 下一步获取自定义代理登录票据logintoken时，如果您设置了有效期，则有效期不能大于这里获取的securitytoken的剩余有效时间。 */ TokenAuthIdentity tokenAuthIdentity = new TokenAuthIdentity().wi
[ "ecs:*:get*", "ecs:*:list*", "ecs:blockDevice:use", "ecs:serverGroups:manage"
安全设置类 如何开启登录验证功能 如何关闭登录验证功能 如何修改操作保护验证方式 如何关闭操作保护 如何绑定虚拟MFA设备 如何获取虚拟MFA验证码 如何解绑、重置虚拟MFA 虚拟MFA验证码校验不通过怎么办 无法接收验证码怎么办 账号被锁定怎么办 API访问控制策略不生效怎么办
切换角色 在“切换角色”页面中，输入委托方的账号名称。 图2 输入委托方的账号名称、委托名称 输入账号名称后，系统将会按照顺序自动匹配委托名称，如果自动匹配的是没有授权的委托，系统将提示您没有权限访问，您可以删除委托名称，在下拉框中选择已授权的委托名称。 单击“确定”，切换至委托方账号中。
Token过期时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 mfa_authn_at String MFA验证时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss
项相对应，只有发起请求的用户被授予授权项所对应的策略，该用户才能成功调用该接口。例如，用户要调用接口来查询云服务器列表，那么这个IAM用户被授予的策略中必须包含允许“ecs:servers:list”的授权项，该接口才能调用成功。 支持的授权项 策略包含系统策略和自定义策略，如果
作、资源、条件等。使用基于策略的授权是一种更加灵活地授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ECS服务，管理员能够控制IAM用户仅能对某一类云服务器的资源进行指定的管理操作。策略包含系统策略和自定义策略。 云服务在IAM预置了常用授权项，称为系统策略。管理员给
Token签名的公钥。为了您的账号安全，建议您定期轮换签名公钥。 单击“确定”，完成配置。 联邦用户登录验证 检查登录链接是否可以跳转到企业的IdP服务器提供的登录界面。 在IAM控制台的“身份提供商”页面，单击“操作”列的“修改”，进入“修改身份提供商”页面。 在修改身份提供商页面，单击登
护。 MFA设备可以基于硬件也可以基于软件，系统目前仅支持基于软件的虚拟MFA。 虚拟MFA设备是能产生6位数字认证码的应用程序，遵循基于时间的一次性密码 （TOTP）标准。此类应用程序可在移动硬件设备（包括智能手机）上运行，非常方便。 前提条件 用户需要先在智能设备上安装一个MFA应用程序（例如：华为云App、
步骤4：登录验证 登录验证 按照登录请求发起方可将联邦用户登录方式分为两类： Idp侧登录：用户从IdP侧（企业自己的身份提供商侧）发起登录请求，例如从Microsoft Active Directory（AD FS）、Shibboleth侧发起登录华为云控制台的请求。 SP侧登
com/authui/saml/metadata.xml。下载华为云元数据文件，并设置文件名称，例如“SP-metadata.xml”。 将上述文件上传到企业IdP服务器上。上传方法请参见企业IdP的帮助文档。 获取企业IdP的元数据文件。获取方法请参见企业IdP的帮助文档。 在华为云上创建身份提供商 在I
系统账号登录华为云，类似通过某社交账号登录游戏平台。 创建：账号在IAM创建身份提供商后，拥有第三方系统账号的企业用户登录华为云时，IAM自动创建虚拟IAM用户，即企业联邦用户。了解详情请参考：身份提供商概述 登录华为云：“企业联邦用户”登录入口。 其他 如果您已有华为企业合作伙
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
