检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
权限管理 如果您要为管理账号中不同的用户，根据职能设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有权限对云服务进行操作。 权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度
权限管理 创建IAM用户并授权管理组织 自定义策略
权限和授权项 权限及授权项说明 授权项
自定义策略 如果系统预置的Organizations云服务权限，不满足您的授权要求，可以创建自定义策略。自定义策略中可以添加的授权项（Action）请参考权限及授权项说明。 目前华为云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏
授权项 组织管理 权限 对应API接口 授权项（Action） IAM项目(Project) 企业项目(Enterprise Project) 创建组织 POST /v1/organizations organizations:organizations:create iam:a
Control Policy，以下简称SCP）可以使用以下授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。 本章节介绍组织
、委托均会受到SCP和IAM策略的权限控制影响。IAM策略授予权限的有效性受SCP限制，只有在SCP允许范围内的权限才能生效。SCP禁止的权限操作，即便授予IAM用户权限，用户也不能执行相关操作。 作用效果不同。SCP是指定了组织中成员账号的权限边界，限制账号内用户的操作。IAM
ns云服务权限，并结合实际需求进行选择，Organizations云服务支持的系统权限，请参见：权限管理。 若您需要对除Organizations云服务之外的其它服务授权，IAM支持服务的所有权限请参见系统权限。 示例流程 图1 给用户授予Organizations权限流程 创建用户组并授权
Control Policy，以下简称SCP）也可以使用这些授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。 本章节介绍组织
按照终端节点的资源类型筛选访问权限。 ga:ResourceId string 单值 按照终端节点的资源ID筛选访问权限。 ga:IpAddress string 单值 按照终端节点的IP地址筛选访问权限。 ga:DomainName string 单值 按照终端节点的域名筛选访问权限。 父主题：
权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。IAMSCP授予权限的有效性受SCP限制，只有在SCP允许范围内的权限才能生效。
Control Policy，以下简称SCP）也可以使用这些授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。 本章节介绍组织
Control Policy，以下简称SCP）可以使用以下授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。 本章节介绍组织
Control Policy，以下简称SCP）可以使用以下授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。 本章节介绍组织
Control Policy，以下简称SCP）可以使用以下授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。 本章节介绍组织
Control Policy，以下简称SCP）可以使用以下授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。 本章节介绍组织
w 授予设置集群均衡活动时间窗的权限。 write instance - dds:instance:updateOpsWindow 授予设置实例可维护时间窗的权限。 write instance - dds:instance:listFlavors 授予查询规格列表的权限。 read
aad:alarmConfig:create 授予创建告警设置的权限。 write alarmConfig * - aad:alarmConfig:put 授予修改告警设置的权限。 write alarmConfig * - aad:alarmConfig:get 授予查询告警设置的权限。 read alarmConfig
授予查询服务密钥API版本的权限。 read - - kms::getInstance 授予查询用户密钥实例个数的权限。 read - - kms::getQuota 授予查询用户配额的权限。 read - - kms:cmk:scheduleKeyDeletion 授予定时删除KMS密钥的权限。 write
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
