检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
0）是一个由一组协议组成，用来传输安全声明的XML框架。SAML2.0是由标准化组织OASIS提出的用于安全操作的标准，是很多身份提供商 （IdP）使用的一种开放标准，关于SAML2.0的详细描述请参见：SAML 2.0技术概述。IAM支持使用SAML2.0协议进行联邦身份认证，因此与华为云建立联邦身份认证的企业IdP必须支持SAML2
服务和终端节点 查询服务列表 查询服务详情 查询服务目录 查询终端节点列表 查询终端节点详情 父主题： API
企业管理通过创建企业项目，隔离企业不同项目之间的资源，企业项目中可以包含多个区域的资源。企业项目还可以实现对特定云资源的授权，例如：将一台特定的ECS添加至企业项目，对企业项目进行授权后，可以控制用户仅能管理这台特定的ECS。 支持的服务 使用IAM授权的云服务。 企业管理目前支持的服务请参见支持的云服务 检查规则
配置联邦身份认证，需要在企业IdP上传华为云的元数据文件（Metadata文件），并在IAM控制台上创建身份提供商、上传企业IdP的元数据文件，来建立两个系统之间的互信关系。 前提条件 企业管理员已获取企业IdP的帮助文档或了解企业IdP使用方法。由于不同的企业IdP的配置存在较大差异，华为云帮助
功能介绍 该接口可以用于查询终端节点详情。终端节点用来提供服务访问入口。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3/end
终端节点 终端节点即调用API的请求地址，不同服务在不同区域的终端节点不同，您可以从地区和终端节点中查询IAM的终端节点。 IAM的终端节点如表1所示。IAM是全局级服务，数据全局一份，在全局项目中存储，IAM所有的API都可以使用全局服务的Endpoint调用；除了全局区域外，
来建立两个系统之间的互信关系。 前提条件 企业管理员在华为云注册了可用的账号，并已在IAM中创建用户组并授权，具体方法请参见：创建用户组并授权。在华为云IAM上创建的用户组是用于与企业IdP上的用户建立映射关系，使得IdP中的用户获取华为云IAM中用户组的权限。 企业管理员已获
查询服务目录 功能介绍 该接口可以用于查询请求头中X-Auth-Token对应的服务目录。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET
功能介绍 该接口可以用于查询终端节点列表。终端节点用来提供服务访问入口。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3/endpoints
支持IAM资源粒度授权的云服务 如果您需要授予IAM用户特定资源的相应权限，可以创建自定义策略并选择特定资源，该IAM用户将仅拥有对应资源的使用权限。例如创建自定义策略时，选择资源类型并添加资源路径：OBS:*:*:bucket:TestBucket*，即可授予IAM用户以TestBucket命名开头的桶相应权限。
该权限所依赖的权限。 Statement Array of objects 授权语句，描述权限的具体内容。 Version String 权限版本号。 说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可
计算域运维：负责计算域运维的团队。 网络域运维：负责网络域运维的团队。 数据库运维：负责数据库运维的团队。 安全域运维：负责安全域运维的团队。 通过表1，给公司中不同的职能团队设置不同的权限，可以实现各团队之间权限隔离，各司其职。如需了解华为云所有云服务的系统权限，请参见：系统权限。 表1
获取用户组名称和ID 登录华为云，进入IAM控制台，选择“用户组”页签。 单击需要查询的用户组前的下拉框，即可查询用户组名称、用户组ID。 图3 查询用户组名称、用户组ID 获取区域ID 登录华为云，进入IAM控制台，选择“项目”页签。 “项目”列的内容即为所属区域对应的ID。 图4
开启操作保护 开启后，账号以及账号中的IAM用户进行敏感操作时，例如删除弹性云服务器资源，需要输入验证码进行验证，避免误操作带来的风险和损失。“操作保护”默认为开启状态，为了您的资源安全，建议保持开启状态。 开启操作保护后，默认在敏感操作验证成功后的15分钟之内，进行敏感操作无需再次验证。
查询服务列表 功能介绍 该接口可以用于查询服务列表。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3/services 表1 Query参数
该接口可以用于管理员修改账号接口访问策略，策略修改后将对账号下所有IAM用户和联邦用户（SP方式）生效。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI
理员选择2中配置的用户UserB为例。 自定义代理的用户列表是在华为账号下的IAM用户列表，将IAM用户的访问密钥或用户名和密码（推荐使用访问密钥）配置到企业IdP的配置文件中，即可将这些用户按需赋予不同企业用户。 企业IdP自定义代理携带IAM用户UserB的token调用API（POST
查询服务详情 功能介绍 该接口可以用于查询服务详情。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3/services/{service_id}
不同的企业IdP发起Idp侧登录的方式差异较大，华为云帮助文档不做详述，具体操作请参考企业IdP的帮助文档。本节重点介绍SP侧发起登录的方法： 联邦用户登录。 在控制台的“身份提供商”页面，单击“操作”列的“查看”，进入“身份提供商基本信息”页面；单击“登录链接”右侧的“”，在
initiated方式 Openstack和Shibboleth是被广泛使用的一套开源联邦身份认证解决方案，提供了强大的单点登录能力，将用户连接到企业内外的各种应用服务。本章介绍通过Openstack Client和ShibbolethECP Client获取联邦认证Token的方法。 流程图 SP
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
