检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
使用前必读 IAM的使用对象 IAM的使用对象为管理员： 账号：账号可以使用所有服务，包括IAM。 admin用户组中的用户：IAM默认用户组admin中的用户，可以使用所有服务，包括IAM。 授予了“Security Administrator”权限的用户：具备该权限的用户为IAM管理员，可以使用IAM。
IAM用户登录 管理员创建IAM用户后，这个新建的IAM用户可以登录华为云。登录方式包括IAM控制台提供的“IAM用户登录链接”。 如果登录失败，请与管理员确认用户名密码是否正确，或者重置密码 。 登录方法1：华为云登录页面 在华为云的登录页面，单击登录下方的“IAM用户”，在“
什么是IAM 统一身份认证（Identity and Access Management，简称IAM）是华为云提供权限管理的基础服务，可以帮助您安全地控制云服务和资源的访问权限。 IAM无需付费即可使用，您只需要为您账号中的资源进行付费。 IAM的优势 对华为云的资源进行精细访问控制
获取联邦认证unscoped token(IdP initiated) 功能介绍 该接口可以用于通过IdP initiated的联邦认证方式获取unscoped token。 Unscoped token不能用来鉴权，若联邦用户需要使用token进行鉴权，请参考获取联邦认证scoped
实践场景 A公司是华为云企业用户，企业中有多个项目团队，需要为项目团队购买资源、配置人员、进行项目管理。本文针对A公司提出的企业需求，给出多项目管理最佳实践。 企业需求 需求1：A公司需要同时在“华北-北京四”和“华东-上海一”多地域购买多种资源，A公司希望将资源按需分配给两个项
创建IAM用户并登录 操作场景 上一个章节已完成用户组的创建，本章节将描述A公司使用已注册的账号Company-A，给公司成员创建IAM用户“Alice”并加入用户组“开发人员组”的操作，使得它拥有独立的用户和密码，IAM用户Alice可以独立登录华为云并使用权限范围内的资源。 操作流程
权限基本概念 权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 权限的分类 权限根据授权精细程度分为角色和策略。 角色：
创建IAM用户 如果您是管理员，在华为云购买了多种资源，例如弹性云服务器、云硬盘、裸金属服务器等，您需要将资源分配给企业中不同的员工或者应用程序使用，为了避免分享自己的账号密码，您可以使用IAM的用户管理功能，给员工或应用程序创建IAM用户。 默认情况下，新创建的IAM用户没有任
SP initiated方式 Openstack和Shibboleth是被广泛使用的一套开源联邦身份认证解决方案，提供了强大的单点登录能力，将用户连接到企业内外的各种应用服务。本章介绍通过Openstack Client和ShibbolethECP Client获取联邦认证Token的方法。
身份提供商概述 IAM支持基于SAML、OIDC协议的单点登录，如果您已经有自己的企业管理系统，同时您的用户需要使用您账号内的云服务资源，您可以使用IAM的身份提供商功能，实现用户使用企业管理系统账号单点登录华为云，这一过程称之为联邦身份认证。 基本概念 表1 基本概念 概念 说明
步骤4：登录验证 登录验证 按照登录请求发起方可将联邦用户登录方式分为两类： Idp侧登录：用户从IdP侧（企业自己的身份提供商侧）发起登录请求，例如从Microsoft Active Directory（AD FS）、Shibboleth侧发起登录华为云控制台的请求。 SP侧登
步骤4：登录验证 登录验证 按照登录请求发起方可将联邦用户登录方式分为两类： Idp侧登录：用户从IdP侧（企业自己的身份提供商侧）发起登录请求，例如从Microsoft Active Directory（AD FS）、Shibboleth侧发起登录华为云控制台的请求。 SP侧登
创建用户组并授权 管理员可以创建用户组，并给用户组授予策略或角色，然后将用户加入用户组，使得用户组中的用户获得相应的权限。IAM用户也可以为自身授予权限。IAM预置了各服务的常用权限，例如管理员权限、只读权限，管理员可以直接使用这些系统权限给用户组授权，授权后，用户就可以基于权限
步骤1：创建身份提供商 配置联邦身份认证，需要在企业IdP上传华为云的元数据文件（Metadata文件），并在IAM控制台上创建身份提供商、上传企业IdP的元数据文件，来建立两个系统之间的互信关系。 建立企业IdP对华为云的信任关系 在企业IdP中配置华为云的元数据文件，以建立企
使用委托方式配置自定义身份代理配置步骤 如果您的企业IdP不支持SAML、OIDC协议，可以使用自定义身份代理，通过编写代码获得华为云登录链接，使企业用户通过企业IdP验证身份后，即可登录华为云。 自定义身份代理适用于不支持SAML、OIDC的企业IdP，如果您使用了支持SAML
基本概念 本章为您介绍使用IAM服务时常用的基本概念：账号、IAM用户、账号与IAM用户的关系、身份凭证、虚拟MFA、用户组、授权、权限、项目、委托、企业项目。 账号 当您首次使用华为云时注册的账号，该账号是您的华为云资源归属、资源使用计费的主体，对其所拥有的资源及云服务具有完全
IAM功能 IAM为您提供的主要功能包括：精细的权限管理、安全访问、敏感操作、通过用户组批量管理用户权限、区域内资源隔离、联合身份认证、委托其他账号或者云服务管理资源、设置安全策略。 精细的权限管理 使用IAM，您可以将账号内不同的资源按需分配给创建的IAM用户，实现精细的权限管
步骤1：创建身份提供商 配置联邦身份认证，需要在企业IdP上传华为云的元数据文件（Metadata文件），并在IAM控制台上创建身份提供商、上传企业IdP的元数据文件，来建立两个系统之间的互信关系。 前提条件 企业管理员已获取企业IdP的帮助文档或了解企业IdP使用方法。由于不同
步骤2：配置身份转换规则 在IAM上创建身份提供商后，联邦用户在华为云中的用户名默认为“FederationUser”，且联邦用户仅能访问华为云，没有任何权限。您可以在IAM控制台配置身份转换规则，实现： 企业管理系统用户在华为云中显示不同的用户名。 赋予企业管理系统用户使用华为
登录华为云 您可以通过以下方式登录华为云，如图1所示。 华为云账号：您首次使用华为云时创建的账号，该账号是您的华为云资源归属、资源使用计费的主体，对其所拥有的资源及云服务具有完全的访问权限。如果您需要以账号身份登录华为云，请参考： 华为账号登录：华为账号是您访问华为各网站的统一“
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
