检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
用户登录并访问资源 用户创建完成后，用户即可使用用户名和密码通过用户门户URL登录控制台，如需访问资源，则还需关联权限集和组织下的一个或多个成员账号，这样登录后才能访问组织下账号的资源，而资源具体的访问权限由权限集控制。具体请参见创建权限集和账号关联用户/组和权限集。 管理员开通
图2 用户登录 输入登录密码，单击“登录”。 每个账号下的资源根据关联的多个权限集分别显示登录入口，单击操作列的“访问控制台”，即可访问此账号下对应权限集控制的资源。 图3 访问资源
文档。 启用访问控制属性 登录华为云控制台。 单击页面左上角的，选择“管理与监管 > IAM身份中心”，进入“IAM身份中心”页面。 单击左侧导航栏的“设置”，进入设置页面。 在“访问控制属性”页签中单击“启用”。 图1 启用访问控制属性 配置访问控制属性 启用访问控制属性功能后
启用指定实例的访问控制功能 功能介绍 启用指定实例的访问控制功能。 URI POST /v1/instances/{instance_id}/access-control-attribute-configuration 表1 路径参数 参数 是否必选 参数类型 描述 instance_id
获取指定实例的访问控制属性配置 功能介绍 返回已配置为与指定IAM身份中心实例的基于属性的访问控制（ABAC）一起使用的IAM身份中心身份源属性列表。 URI GET /v1/instances/{instance_id}/access-control-attribute-configuration
更新指定实例的访问控制属性配置 功能介绍 更新可与IAM身份中心实例一起使用的IAM身份中心身份源属性，以进行基于属性的访问控制（ABAC）。 URI PUT /v1/instances/{instance_id}/access-control-attribute-configuration
实例访问控制属性配置管理 启用指定实例的访问控制功能 获取指定实例的访问控制属性配置 更新指定实例的访问控制属性配置 解除指定实例的访问控制属性配置 父主题： API
解除指定实例的访问控制属性配置 功能介绍 禁用指定IAM身份中心实例的基于属性的访问控制（ABAC）功能，并删除已配置的所有属性映射。 URI DELETE /v1/instances/{instance_id}/access-control-attribute-configuration
基于属性的访问控制（ABAC） ABAC概述和配置流程 启用和配置访问控制属性 为ABAC创建权限策略 支持配置的用户属性 父主题： 多账号权限管理
refresh_token 否 String 刷新令牌，此令牌可在访问令牌过期后获取新的访问令牌。 scopes 否 Array of strings 客户端定义的作用域列表，表示客户端想要获取的权限。授权后，此列表用于在授予访问令牌时限制权限。 响应参数 状态码： 200 表2 响应Body参数
IAM身份中心为用户提供基于华为云组织的多账号统一身份管理与访问控制。可以统一管理企业中使用华为云的用户，一次性配置企业的身份管理系统与华为云的单点登录，以及所有用户对组织下账号的访问权限。管理员集中创建用户，分配登录密码，并对其进行分组管理。允许用户使用特定用户名和密码登录统一的用户
st1”的用户才会获得此策略定义的权限。 对于较为复杂的授权场景，如多用户与多资源授权，可参考如下说明： 如果您需要通过此策略授予某一用户多个资源的权限，那么您只需要为多个资源绑定相同的标签即可。 如果您需要通过此策略控制多个用户对某一资源的访问权限，那么您可以为此资源绑定多个标
多账号统一身份管理与访问控制。可以统一管理企业中使用华为云的用户，一次性配置企业的身份管理系统与华为云的单点登录，以及所有用户对组织下账号的访问权限。管理员集中创建用户，分配登录密码，并对其进行分组管理。允许用户使用特定用户名和密码登录统一的用户门户网站，访问为其分配的多个账号下
示名属性来进行访问控制。当User_A和User_B登录用户门户访问此权限集定义的资源时，IAM身份中心会将他们的显示名与资源的标签值进行匹配，只有当他们的显示名与资源上的添加的标签值匹配时，User_A和User_B才能访问该资源。如果User_A后续不再需要访问此权限集下的某
支持细粒度授权，让用户集中、安全以及高效地分配每个账号资源的访问权限 大型企业在云上一般有多个账号，各个账号承载业务不同，登录的企业员工的职责也不同。需要针对不同账号配置不同员工的细粒度访问权限，确保企业的资源访问安全合规。 集中管理用户对多个账号资源的访问权限： 允许管理员使用不超过20个IAM权
支持配置的用户属性 IAM身份中心当前支持两种身份源：IAM身份中心和外部身份提供商。两种身份源当前支持实施ABAC的用户属性如下表所示。这些用户属性是可以在配置访问控制属性时选择的属性值，对应用户的基本信息、联系方式、工作相关信息和地址信息等，选择这些用户属性并给其赋予属性键，用于实施ABAC时进行访问控制决策。
使用此权限集授权的IAM身份中心用户登录控制台后的会话持续时间。 登录时间超出设置的会话持续时间后，会话将过期，用户将自动登出，如需继续访问，需重新登录。 初始访问页面 IAM身份中心用户通过门户URL登录控制台后访问的初始页面。 例如您可以输入IAM控制台的URL，登录后将直接显示IAM控制台页面。
如果发现现有SAML证书出现泄露或处理不当的迹象时，应立即删除并轮换该证书。 证书轮换 从外部身份提供商处获取新证书。 前往外部身份提供商网站下载SAML 2.0证书，确保是以PEM编码格式下载证书文件。大多数身份提供商都允许创建多个SAML 2.0证书，它们很可能会被标记为已禁用或未激活状态。
了登录验证功能后，用户登录控制台时，除了需要输入用户名和密码外，还需要在登录验证页面输入多因素认证设备中的验证码，再次确认登录者身份，进一步提高账号安全性。 多因素认证支持的设备 IAM身份中心当前支持如下多因素认证设备： 身份验证器应用程序： 即虚拟MFA设备。虚拟Multi-Factor
entityStore 添加自定义域名 Instance CreateAlias 启用指定实例的访问控制功能 Instance CreateInstanceAccessControlAttributeConfiguration 解除指定实例的访问控制属性配置 Instance D
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
