检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
该接口可以用于IAM用户为自己绑定MFA设备。启用MFA后不影响已获取Token的有效性，同时无法强制忽略MFA的二次认证。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
统颁发给自定义身份代理用户的登录票据，承载用户的身份、session等信息。调用自定义身份代理URL登录云服务控制台时，可以使用本接口获取的logintoken进行认证。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。
可查看IAM的云审计日志，云审计服务保存最近7天的操作日志。 CTS支持配置关键操作通知。用户可将与IAM相关的高危敏感操作，作为关键操作加入到CTS的实时监控列表中进行监控跟踪。当用户使用IAM服务时，如果触发了监控列表中的关键操作，那么CTS会在记录操作日志的同时，向相关订阅者实时发送通知。
如果您给IAM用户授予较高权限的系统策略，例如“FullAccess” ，但不希望IAM用户拥有某个服务的权限，例如云审计服务。您可以创建一个自定义策略，并将自定义策略的Effect设置为Deny，然后将较高权限的系统策略和自定义策略同时授予用户，根据Deny优先原则，则授权的IAM用户除了云
终端节点 终端节点即调用API的请求地址，不同服务在不同区域的终端节点不同，您可以从地区和终端节点中查询IAM的终端节点。 IAM的终端节点如表1所示。IAM是全局级服务，数据全局一份，在全局项目中存储，IAM所有的API都可以使用全局服务的Endpoint调用；除了全局区域外，
默认情况下，新创建的IAM用户没有任何权限。如未向IAM用户授予IAM服务的相关权限，则无法访问IAM控制台。 解决方法 如果IAM用户希望能够访问IAM控制台并进行相关操作，管理员可以为其授予权限，将其加入用户组，并给用户组授予IAM的相关权限，用户组中的用户将获得用户组的权限。获得权限的IAM用户即可访问IAM控制台。
策略鉴权规则 用户在发起访问请求时，系统根据用户被授予的访问策略中的action进行鉴权判断。鉴权规则如下： 图1 系统鉴权逻辑图 用户发起访问请求。 系统在用户被授予的策略中寻找请求对应的action，优先寻找Deny指令。如果找到一个适用的Deny指令，系统将返回Deny决定。 如果没
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有权限对云服务进行操作。 权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职
使用户具备用户组的权限，实现用户的授权。给已授权的用户组中添加或者移除用户，快速实现用户的权限变更。 用户组添加用户 管理员在用户组列表中，单击新建的用户组，例如“开发人员组”，右侧的“用户组管理”。 图1 用户组管理 在“可选用户”中选择需要添加至用户组中的用户。 图2 选择用户
IAM功能 IAM为您提供的主要功能包括：精细的权限管理、安全访问、敏感操作、通过用户组批量管理用户权限、区域内资源隔离、联合身份认证、委托其他账号或者云服务管理资源、设置安全策略。 精细的权限管理 使用IAM，您可以将账号内不同的资源按需分配给创建的IAM用户，实现精细的权限管理。例如：
理自己账号中的资源，则需要获取自己的用户token。详情请参考：委托其他账号管理资源。 token是系统颁发给用户的访问令牌，承载用户的身份、权限等信息。调用IAM以及其他云服务的接口时，可以使用本接口获取的token进行鉴权。 该接口可以使用全局区域的Endpoint和其他区域
码。 管理员在IAM用户列表中，单击右侧的“安全设置”，在“安全设置”页签，单击“登录凭证>登录密码”右侧的，重置IAM用户的登录密码。 图1 修改IAM用户密码 IAM提供的安全设置功能，适用于管理员重置IAM用户的密码。 账号自动生成的IAM用户无法通过“安全设置”修改密码，
initiated联邦认证的流程如下图所示。 图1 流程图（IdP initiated方式） 步骤说明 Client调用IdP提供的基于IdP initiated方式的登录链接，并在登录链接中设置公有云的地址，即公有云Metadata文件中的“entityID”。 Client获取IdP的登录页面
查询服务目录 功能介绍 该接口可以用于查询请求头中X-Auth-Token对应的服务目录。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI GET
删除SAML身份提供商 功能介绍 该接口可以用于管理员删除基于SAML协议的身份提供商。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI DELETE
托列表进行查看创建成功的委托。此时的委托将不包含任何权限。 在授权的确认弹窗中，单击“立即授权”。 勾选需要授予委托的权限，单击“下一步”，选择权限的作用范围。 给委托授权即给其他账号授权，给用户组授权即给账号中的IAM用户授权，两者操作方法相同，仅可选择的权限个数不同，授权操作请参见：给用户组授权。
说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。 Statement Array of objects 授权语句，描述自定义策略的具体内容。 表11 role
创建用户组 功能介绍 该接口可以用于管理员创建用户组。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。 URI POST /v3/groups 请求参数
说明： 1.0：系统预置的角色。以服务为粒度，提供有限的服务相关角色用于授权。 1.1：策略。IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。 Statement Array of objects 授权语句，描述自定义策略的具体内容，不超过8个。
按条件查询账号密码强度策略 功能介绍 该接口可以用于按条件查询账号密码强度策略，查询结果包括密码强度策略的正则表达式及其描述。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 调试 您可以在API Explorer中调试该接口。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
