检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有权限对云服务进行操作。 权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职
项目 华为云的每个区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以区域默认单位为项目进行授权，IAM用户可以访问您账号中该区域的所有资源。 如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中购买资
换规则，明确企业IdP用户登录华为云后的身份和权限，例如登录华为云后的用户名、加入的用户组和拥有的访问权限。 图3 用户转换模型 登录验证：发起单点登录，测试是否能成功从企业IdP跳转登录华为云。 （可选）配置企业管理系统登录入口：将华为云的访问入口配置到企业管理系统中，用户可通
查询用户组列表； 查询全局服务中的用户组权限； 查询项目服务中的用户组权限； 确定需要审计的权限，查询用户组中的IAM用户，进行安全审计。 涉及的接口如下： 查询用户组列表 查询全局服务中的用户组权限 查询项目服务中的用户组权限 管理员查询用户组所包含的IAM用户 步骤1：查询用户组列表
跨账号的资源授权与管理 A公司和B公司是华为云注册的企业用户，分别拥有自己单独的华为账号。本文主要介绍当A账号希望将部分资源委托给B账号时，使用IAM的委托功能来实现跨账号的资源授权与管理（A账号为委托方，B账号为被委托方）。 企业需求 A账号在华为云购买了多种资源，为了专注自己
您已开启登录保护，验证方式是“虚拟MFA”，且已解绑或重置虚拟MFA。此时，您的MFA设备和华为云的绑定关系已解除，但是登录保护依然生效，因此需要进行登录验证。 解决方法 登录华为云时，重新绑定虚拟MFA，并通过虚拟MFA进行登录验证。 单击登录验证弹窗中的“绑定虚拟MFA”，操作请参考：如何绑定虚拟MFA设备。
当您需要对账号的安全信息进行设置时，可以通过“安全设置”进行操作。“安全设置”包括“基本信息”、“敏感操作”、“登录验证策略”、“密码策略”、“访问控制”。本章为您介绍“安全设置”的使用对象和如何进入“安全设置”。 使用对象 表 使用对象为安全设置中不同页签下对应的不同使用对象。
创建IAM用户并登录 操作场景 上一个章节已完成用户组的创建，本节将描述A公司使用已注册的账号，给公司成员创建IAM用户“Alice”并加入用户组“开发人员组”的操作，使得它拥有独立的用户和密码，IAM用户Alice可以独立登录华为云平台并使用权限范围内的资源。 操作流程 操作步骤 说明 步骤一：创建IAM用户
终端节点 终端节点即调用API的请求地址，不同服务在不同区域的终端节点不同，您可以从地区和终端节点中查询IAM的终端节点。 IAM的终端节点如表1所示。IAM是全局级服务，数据全局一份，在全局项目中存储，IAM所有的API都可以使用全局服务的Endpoint调用；除了全局区域外，
管理员确定该用户组中的用户所需的权限。 通过查看系统权限，需要设置的权限如表1所示。其中“作用范围”由该服务的物理部署位置决定。对于项目级服务，如果在某个区域的项目中设置策略，则策略只在该项目中生效。 表1 所需权限 使用的服务 所属区域 设置策略或角色 ECS 除全局区域外的其他区域 ECS
返回结果 状态码 请求发送以后，您会收到响应，包含状态码、响应消息头和消息体。 状态码是一组从1xx到5xx的数字代码，状态码表示了请求响应的状态，完整的状态码列表请参见状态码。 对于获取IAM用户Token（使用密码）接口，如果调用后返回状态码为“201”，则表示请求成功。 响应消息头
管理员登录IAM控制台。 管理员在用户列表中，单击新建的用户，右侧的“授权”。 图1 IAM用户授权 在授权页面，选择授权方式和权限。 继承所选用户组的策略：将IAM用户加入用户组，用户将拥有所选用户组的所有权限。 选择“继承所选用户组的策略”，请勾选用户需要加入的用户组。 图2 暂未开通企业项目
管理员可以设置账号锁定时长、锁定前允许的最大登录失败次数、重置账号锁定计数器的时间。 账号锁定时长：默认为15分钟，可以在15分钟~24小时之间进行设置。 锁定前允许的最大登录失败次数：默认为5次，可以在3~10次之间进行设置。 重置账号锁定计数器的时间：默认为15分钟，可以在15~60分钟之间进行设置。
单击“返回”，跳转至“用户组>授权记录”页签，确认修改后的用户组权限。 图4 单击返回 修改用户组名称和描述 管理员在用户组列表中，单击用户组右侧的“编辑”，修改用户组名称和描述。 图5 修改用户组名称和描述 如果该用户组名称已配置在身份提供商的身份转换规则中，修改用户组名称将导致对应身份转换规则失效，请谨慎操作。
用户名：企业IdP用户在华为云中显示不同的用户名。 用户权限：赋予企业管理系统用户使用华为云资源的权限。由于华为云权限的最小授权单位是用户组，因此需要建立联邦用户与IAM用户组的映射关系，从而使得联邦用户获得对应用户组的权限，使用华为云上的资源。配置时请确保已创建需要映射的IAM用户组，创建IAM用户组并授权请参见：创建用户组并授权。
进行IAM用户SSO联邦认证的内部实现流程和配置步骤，以及常用的企业IdP与华为云对接示例。 请确保您使用的企业IdP支持SAML 2.0协议。 联邦身份认证的配置步骤 建立企业管理系统与华为云的联邦身份认证关系，配置流程如下。 图1 基于SAML的IAM用户SSO配置流程 创建
种服务的实现逻辑及功能不同。 企业管理服务：在企业管理服务中创建企业项目，企业项目之间的资源是逻辑隔离，针对企业不同项目间的资源进行分组和管理，一个企业项目中可以包含多个区域的资源。企业项目内的资源可以动态的迁入和迁出，某些服务可以实现指定资源的迁入迁出，例如迁入迁出某一台ECS服务器。
0）是一个由一组协议组成，用来传输安全声明的XML框架。SAML2.0是由标准化组织OASIS提出的用于安全操作的标准，是很多身份提供商 （IdP）使用的一种开放标准，关于SAML2.0的详细描述请参见：SAML 2.0技术概述。IAM支持使用SAML2.0协议进行联邦身份认证，因此与华为云建立联邦身份认证的企业IdP必须支持SAML2
升级华为账号失败怎么办 问题描述 将您的华为云账号升级成为华为账号时，系统提示升级失败。 可能原因 可能原因：您已使用相同手机号码或邮件地址分别注册了华为云账号和华为账号，且未使用华为账号登录开通过华为云。 解决方法：请退出当前的华为云账号登录，重新使用华为账号登录，然后选择关联已有的华为云账号。
临时安全凭证的优势 在给外部联邦用户授权时，临时安全凭证的优势尤为明显，您不必给外部联邦用户授予需要定时轮换，主动撤销的永久安全凭证，而是给这些外部联邦用户授予即时使用，定时过期的临时安全凭证，提高账号的安全性，遵循权限最小化的安全实践原则。 临时安全凭证的使用方法 临时安全
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
