检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
ReadOnlyAccess”权限，但不希望部分用户查看指定OBS资源（例如，不希望用户名以“TestUser”开头的用户查看以“TestBucket”命名开头的桶），可以再创建一条自定义策略来指定特定的资源，并将自定义策略的Effect设置为Deny，然后将OBS ReadOn
用户组及授权 创建用户组并授权 用户组添加/移除用户 删除用户组 查看或修改用户组 移除用户组权限 依赖角色的授权方法
查询终端节点列表 功能介绍 该接口可以用于查询终端节点列表。终端节点用来提供服务访问入口。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET
S，可以进入OBS的主页面并进行查看桶列表、查询桶位置的操作，但不能执行创建OBS桶的操作，表示OBS OperateAccess权限配置成功。 IAM用户Alice在“服务列表”中选择除ECS和OBS服务外的任一服务，系统提示权限不足，表示ECS和OBS服务的权限配置成功。 I
托上，黑色框中出现的第二行为委托ID，单击委托ID右侧的直接复制 图1 agency_id domain_id 在控制台右上角的用户名下拉菜单中选择“我的凭证”，在“我的凭证”界面，“API凭证”页签中查看并复制账号ID。 图2 domain_id role_id 权限ID。 权限名称
0）是一个由一组协议组成，用来传输安全声明的XML框架。SAML2.0是由标准化组织OASIS提出的用于安全操作的标准，是很多身份提供商 （IdP）使用的一种开放标准，关于SAML2.0的详细描述请参见：SAML 2.0技术概述。IAM支持使用SAML2.0协议进行联邦身份认证，因此与华为云建立联邦身份认证的企业IdP必须支持SAML2
查询OpenID Connect身份提供商配置 功能介绍 该接口可以用于管理员查询OpenID Connect身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
eny的授权语句时，遵循Deny优先的原则。 取值范围： Allow Deny Resource 否 Object 委托资源。在有其他账号与您创建了多个委托关系，即您是被委托方，需要将委托中的权限授权给不同的用户组，这些用户组中的IAM用户进行角色切换时，仅能切换到被授权的委托中，不能切换其他委托。例：
查询身份提供商列表 功能介绍 该接口可以用于查询身份提供商列表。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET /v3/OS-FED
以单击“通过资源路径指定”来指定需要授权的资源。 支持为特定资源授权的云服务请参考：支持IAM资源粒度授权的云服务。 表1 资源类型 类型 说明 特定资源 授予IAM用户特定资源的相应权限。如授予IAM用户以TestBucket命名开头的桶相应权限，需将bucket设置为通过资源
eny的授权语句时，遵循Deny优先的原则。 取值范围： Allow Deny Resource 否 Object 委托资源。当有其他账号与您创建了多个委托关系，即您是被委托方，需要将委托中的权限授权给不同的用户组，这些用户组中的IAM用户进行角色切换时，仅能切换到被授权的委托中，不能切换其他委托。例：
CMKFullAccess权限，授权成功后，SFS可以获取KMS密钥用来加解密文件系统。 您可以在IAM控制台的委托列表中查看已创建的委托。 在IAM控制台创建云服务委托 登录IAM控制台。 在统一身份认证服务的左侧导航窗格中，选择“委托”页签，单击“创建委托”。 在创建委托页面，设置“委托名称”。 图2
一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 项目 华为云的区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号中该区域的所有资源。如果您希望
nt调用。IAM的Endpoint请参见：地区和终端节点。 该接口支持在命令行侧调用，需要客户端使用IdP initiated的联邦认证方式获取SAMLResponse，并采用浏览器提交表单数据的方式，获取unscoped token。 调试 您可以在API Explorer中调试该接口。
操作： 进入IAM控制台，在左侧导航栏选择“用户组”页签。 单击用户组名称，进入用户组详情页面。 图3 查看用户组 在“授权记录”页签下，勾选需要移除的权限，单击权限列表上方的“删除”。 图4 批量删除权限 在弹窗中，单击“是”，移除用户组权限。 父主题： 用户组及授权
虚拟MFA页面”，查看虚拟MFA的动态口令页面。动态口令每30秒自动更新一次。 在“绑定虚拟MFA”页面输入连续的两组口令，然后单击“确定”，完成绑定虚拟MFA设备的操作。 已升级华为账号 进入安全设置。 在“安全设置>敏感操作”页面，单击“虚拟MFA”右侧的“前往绑定”。 图3
initiated联邦认证的流程如下图所示。 图1 流程图（IdP initiated方式） 步骤说明 Client调用IdP提供的基于IdP initiated方式的登录链接，并在登录链接中设置公有云的地址，即公有云Metadata文件中的“entityID”。 Client获取IdP的登录页面
身份提供商 查询身份提供商列表 查询身份提供商详情 创建身份提供商 修改SAML身份提供商配置 删除SAML身份提供商 创建OpenID Connect身份提供商配置 修改OpenID Connect身份提供商配置 查询OpenID Connect身份提供商配置 父主题： 联邦身份认证管理
基于用户组为企业项目授权 功能介绍 该接口用于给指定ID的企业项目授权，建立企业项目、用户组和权限的绑定关系。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
角色是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 由于华为云各服务之间存在业务依赖关系，因此给用户或用户组授予角色时，需要将依赖的其他角色
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
