正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
的操作日志。 CTS支持配置关键操作通知。用户可将与IAM相关的高危敏感操作,作为关键操作加入到CTS的实时监控列表中进行监控跟踪。当用户使用IAM服务时,如果触发了监控列表中的关键操作,那么CTS会在记录操作日志的同时,向相关订阅者实时发送通知。 父主题: 安全
系统策略更名详情 现对系统策略(即细粒度策略类型)名称进行调整,新的策略名称将于2020/2/6 22:30:00(北京时间)正式生效。本次调整仅涉及对系统策略名称的修改,不会影响您的业务,请放心使用。原始系统策略为Version 1.0,目标系统策略为Version 1.1,当前IAM兼容两个版本。
常用系统权限设置案例 请参考以下文档给IAM用户设置常见云服务的访问权限。 设置弹性云服务器(ECS)的权限 设置弹性负载均衡(ELB)的权限 设置关系型数据库(RDS)的权限 设置云硬盘(EVS)的权限 设置云监控(CES)的权限 设置云容器引擎(CCE)的权限 设置对象存储服务(OBS)的权限
说明。 如表1所示,包括了IAM的所有系统权限。 表1 IAM系统权限 系统角色/策略名称 描述 类别 角色/策略内容 FullAccess 基于策略授权的所有服务的所有权限,拥有该权限的用户可以完成基于策略授权的所有服务的所有操作。 系统策略 FullAccess策略内容 IAM
Key)加密调用请求。 Token认证 Token的有效期为24小时,需要使用同一个Token鉴权时,可以缓存起来,避免频繁调用。 Token在计算机系统中代表令牌(临时)的意思,拥有Token就代表拥有某种权限。Token认证就是在调用API的时候将Token加到请求消息头,从而通过身份认证,获得操作API的权限。
链接”右侧的“”,在浏览器中打开,输入企业管理系统用户名和密码,登录成功。 图1 登录链接 查看联邦用户是否具有所属用户组的权限。 跳转到指定区域或服务 如需指定联邦用户登录的目标页面,比如联邦用户登录时,指定跳转到北京四局点,云监控服务CES主页。有以下两种配置方式: SP侧登录配置方法
自定义策略使用样例 配合较高权限系统策略使用 如果您给IAM用户授予较高权限的系统策略,例如“FullAccess” ,但不希望IAM用户拥有某个服务的权限,例如云审计服务。您可以创建一个自定义策略,并将自定义策略的Effect设置为Deny,然后将较高权限的系统策略和自定义策略同时授予
(可选)步骤5:配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上,企业用户通过该链接访问华为云。 华为云提供企业联邦用户登录入口,如您未配置企业管理系统登录入口,企业联邦用户可以通过该方法登录华为云,详情请参考:企业联邦用户登录。 前提条件 已在本系统创建身份提供商,如
(可选)步骤3:配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上,企业用户通过该链接访问华为云。 华为云提供企业联邦用户登录入口,如您未配置企业管理系统登录入口,企业联邦用户可以通过该方法登录华为云,详情请参考:企业联邦用户登录。 前提条件 已在本系统创建身份提供商,如
(可选)步骤5:配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上,企业用户通过该链接访问华为云。 华为云提供“企业联邦用户登录”入口,如您未配置企业管理系统登录入口,企业联邦用户可以通过该方法登录华为云,详情请参考:企业联邦用户登录。 前提条件 已在华为云创建
负责查看并监控所有资源使用情况的团队。 负责计算域运维的团队。 负责网络域运维的团队。 负责数据库运维的团队。 负责安全域运维的团队。 通过表1,给公司中不同的职能团队设置不同的权限,可以实现各团队之间权限隔离,各司其职。如需了解华为云所有云服务的系统权限,请参见:系统权限。 表1
使用IAM授权的云服务 IAM为华为云其他服务提供认证和授权功能,在IAM中创建的用户,经过授权后可以根据权限使用系统中的其他服务。IAM支持的所有服务权限,请参见:系统权限。对于不支持使用IAM授权的服务,账号中创建的IAM用户无法使用该服务,请使用账号登录使用该服务。支持使用IAM授权的云服务请参见下方表格内容。
IaaS、PaaS 和 SaaS 类云服务内部的安全以及对租户定制配置进行安全有效的管理,包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统,虚拟防火墙、API 网关和高级安全服务,各项云服务,租户数据,以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安
用这些系统权限给用户组授权,授权后,用户就可以基于权限对云服务进行操作。详情请参见给IAM用户授权。如需查看所有云服务的系统权限,请参见:系统权限。 前提条件 在创建用户组前,建议管理员提前了解并规划以下内容: 了解权限的基本概念及分类。 所有使用IAM授权的云服务的系统策略,请参考:系统权限。
安全 责任共担 身份认证与访问控制 数据保护技术 服务韧性 审计与监控 认证证书
策略鉴权规则 用户在发起访问请求时,系统根据用户被授予的访问策略中的action进行鉴权判断。鉴权规则如下: 图1 系统鉴权逻辑图 用户发起访问请求。 系统在用户被授予的策略中寻找请求对应的action,优先寻找Deny指令。如果找到一个适用的Deny指令,系统将返回Deny决定。 如果没
链接”右侧的“”,在浏览器中打开,输入企业管理系统用户名和密码,登录成功。 图1 登录链接 查看联邦用户是否跳转至实体IAM用户。 跳转到指定区域或服务 如需指定联邦用户登录的目标页面,比如联邦用户登录时,指定跳转到北京四局点,云监控服务CES主页。有以下两种配置方式: SP侧登录配置方法
IAM用户登录失败怎么办 问题描述 IAM用户登录系统时提示“用户名或密码错误”、“您的管理员已设置了控制台ACL规则,禁止您所在的终端登录控制台”等,使IAM用户登录失败。 问题排查 系统提示“用户名或密码错误” 可能原因:IAM用户登录时,未切换IAM登录入口。 解决方法:单击“IAM用户”,切换登录入口。
策略内容 给用户组选择策略时,单击策略前面的,可以查看策略的详细内容,以系统策略“IAM ReadOnlyAccess”为例。 图1 IAM ReadOnlyAccess策略内容 { "Version": "1.1", "Statement": [
initiated方式获取联邦认证Token的方法。“Client4ShibbolethIdP”脚本模拟用户在浏览器上登录企业IdP系统,通过呈现浏览器提交的表单数据和客户端实现的对比,帮助用户开发本企业IdP系统的客户端脚本。 前提条件 企业IdP服务器支持IdP Initiated方式的联邦认证。 客户端需要