检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
应用访问权限。 添加应用侧角色/权限 使用应用侧角色/权限授权的前提是配置应用侧权限。具体可参考应用侧权限。 在“用户授权”页面可显示分级管理员拥有权限的应用账号，分级管理员可对这些应用账号添加角色/权限。对配置“基于角色的应用权限管理”的应用，只可进行角色添加，对配置“基于角色
取OIDC相关设置，以建立OneAccess云华为云的信任关系。 在OneAccess上添加华为云应用。 登录OneAccess管理门户，选择“资源 > 应用”。 在企业应用页面，单击“添加自建应用”。 输入应用名称，单击“保存”。 单击新建的应用，进入应用信息页面，获取应用ClientId。
如果二次认证方式选择“FIDO2”方式，需要配置FIDO认证源，具体配置可以参考内置认证源。 单击“添加策略”，在弹出的“添加策略”页面，配置访问控制参数，单击“保存”添加策略完成，具体配置参数可以参考访问控制。 访问用户门户 用户访问用户门户，登录成功之后，进入二次认证页面，认证成功后进入用户门户。
查询应用账号列表 功能介绍 查询一个应用被授权访问的账号列表。 接口约束 无 URI GET /api/v2/tenant/applications/{application_id}/accounts 表1 路径参数 参数 是否必选 参数类型 描述 application_id 是
OneAccess 创建OneAccess用户操作流程 04:17 创建OneAccess用户 应用身份管理服务 OneAccess 添加认证源并登录用户中心 04:20 添加认证源 应用身份管理服务 OneAccess 普通用户访问应用操作指导 02:29 普通用户访问应用 应用身份管理服务 OneAccess
在OneAccess中添加企业API OneAccess管理员在OneAccess管理门户中添加企业需要的自定义API产品。 登录OneAccess管理门户。 在导航栏中，单击“资源 > 企业API”。 在企业API页面，单击自定义API产品下的“添加自定义API产品”。 在“添加企业API
注册账号 可使用添加用户登录用户门户网站，若没有账号，可参考本章节注册账号。 前提条件 管理员已在界面配置中配置了“开启注册”功能，操作请参见全局参数设置。 操作步骤 进入用户门户登录页面。 请联系企业管理员获取用户访问域名，如https://example.huaweioneaccess
在“应用信息”页面，单击“用户门户”应用图标。 选择“登录配置 > 网站应用”，单击认证方式名为“微博认证”操作列的开启微博认证，并关联在OneAccess中添加微博认证源中添加的认证源。 图1 开启微博认证 验证微博认证登录OneAccess用户门户 用户访问用户门户，选择微博登录，如果是初次登录应用系统，会要求绑定手机号。
在“应用信息”页面，单击“用户门户”应用图标。 选择“登录配置 > 网站应用”，单击认证方式名为“QQ认证”操作列的开启QQ认证，并关联在OneAccess中添加QQ认证源中添加的认证源。 图1 开启QQ认证 验证QQ认证登录OneAccess用户门户 用户访问用户门户，选择QQ登录，如果是初次登录应用系统，会要求绑定手机号。
在“应用信息”页面，单击“用户门户”应用图标。 选择“登录配置 > 网站应用”，单击认证方式名为“微信认证”操作列的开启微信认证，并关联在OneAccess中添加微信认证源中添加的认证源。 图1 开启微信认证 验证微信认证登录OneAccess用户门户 用户访问用户门户，选择微信登录，如果是初次登录应用系统，会要求绑定手机号。
选择“登录配置 > 网站应用”，单击认证方式名为“Kerberos认证”操作列的开启Kerberos认证，并关联在OneAccess中添加Kerberos认证源和用户中添加的认证源。 当开启Kerberos认证后，访问用户门户时，优先使用该认证方式。如果需要使用其他认证方式，需关闭Kerberos认证。
如需购买请参考管理员购买实例。 在IAM控制台授予IAM用户查看OneAccess服务的权限 在IAM控制台创建用户组并授权、创建用户并添加至用户组中，用户就继承了用户组的权限。 参考创建用户组并授权在IAM控制台创建用户组，并授予OneAccess服务的只读权限“OneAccess
在“应用信息”页面，单击“用户门户”应用图标。 选择“登录配置 > 网站应用”，单击认证方式名为“支付宝认证”操作列的开启支付宝认证，并关联在OneAccess中添加支付宝认证源中添加的认证源。 图1 开启支付宝认证 验证支付宝认证登录OneAccess用户门户 用户访问用户门户，选择支付宝登录，如果是初次登录应用系统，会要求绑定手机号。
应用管理 添加应用 启用/禁用/删除应用 通用信息 认证集成 同步集成 登录配置 访问控制 对象模型 授权管理 API权限 应用侧权限 安全设置 审计日志 父主题： 资源管理
企业API管理 授权内置API产品 调用内置API产品 修改内置API产品 添加自定义API产品 配置自定义API产品 删除自定义API产品 父主题： 资源管理
选择“API权限 > 内置API”，在API权限页面，单击某一权限代码右侧操作列的“授权”则授权成功。其中权限与接口对应关系如下表。 表1 权限与接口对应表 权限代码 权限描述 对应接口描述 对应接口URL 备注 user_all 用户管理接口的读写权限 创建用户 POST /api/v2/tenant/users
若无法扫描二维码，则打开OTP小程序，选择“手动输入”，在账号名、密钥输入框中分别输入界面上信息。 公共账号 如果在应用中添加了公共账号，并设置了当前登录账号为责任人，可以通过“公共账号”统一管理公共账号的使用人。 如需添加公共账号，请参考授权管理。 查看个人偏好 在用户门户页面，单击右上角的用户名，选择“账号设
当OneAccess同步数据至企业应用时，需要企业应用对该同步事件进行识别并确认，确保事件来源的安全性和可靠性，从而保证数据在一个安全的环境中进行交互。 签名校验/加解密术语 表1 术语 术语 说明 signature 消息签名，用于验证请求是否来自OneAccess，以防攻击者伪造。签名算法为HMAC-SHA256
时”设置为“失败时，此时，如果需要通过AD成功访问用户门户时，需在OneAccess中创建与AD中同名的用户。 图3 查看AD用户 图4 添加用户 父主题： AD认证登录
加密数据为session_token=xxx×tamp=xxx&nonce=xxx，其中：session_token为会话凭证，timestamp表示当前时间戳，nonce表示当前时间戳的16进制，加密方式为RSA公钥加密。当前时间戳可调用获取服务器时间接口获取，加密公钥可调用获取公钥接口获取。 X-tenant-id
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
