检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
输入“策略描述”（可选）。 单击“确定”，自定义策略创建完成。 将新创建的自定义策略授予用户组，使得用户组中的用户具备自定义策略中的权限。 给用户组授予自定义策略与系统策略操作一致，详情请参考：创建用户组并授权。 JSON视图配置自定义策略 登录IAM控制台。 在统一身份认证服务，左侧
份提供商。 后续任务 配置身份转换规则，建立IdP中的用户与IAM中用户组间的映射关系，使得IdP用户获得用户组对应的华为云操作权限。身份转换规则详情请参见：步骤2：配置身份转换规则。 在企业管理系统中配置单点登录，使企业用户可以通过企业管理系统中的华为云登录入口直接访问华为云，
权限管理 权限基本概念 角色 策略 系统策略更名详情 查看授权记录 自定义策略
起登录的方法： 联邦用户登录。 在控制台的“身份提供商”页面，单击“操作”列的“查看”，进入“身份提供商基本信息”页面；单击“登录链接”右侧的“”，在浏览器中打开，输入企业管理系统用户名和密码，登录成功。 图1 登录链接 查看联邦用户是否跳转至实体IAM用户。 跳转到指定区域或服务
调整配额 什么是配额？ 为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少个IAM用户、用户组等。 如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 怎样查看我的配额？ 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。
是否可以修改 是否必须 用户名 在创建用户时由用户在界面输入用户名 在调用API接口时输入用户名 标识用户身份 控制台界面或API调用时进行身份认证 管理员权限可通过API修改 是 用户名是用户的身份标识信息 密码 在创建用户、修改用户凭证、重置密码时由用户在界面输入密码 在调用API接口时输入密码
安全设置 安全设置概述 基本信息 敏感操作 登录验证策略 密码策略 访问控制
限制说明 创建IAM用户 单次最多创建IAM用户数量 10个 IAM用户名设置 不能与当前已创建的IAM用户同名。 手机号和邮件地址 手机号和邮件地址只能绑定一个用户（IAM用户或账号），不可重复绑定。 IAM用户密码 密码不能是用户名或者用户名的倒序，例如：用户名为A12345，
用户详情参见创建IAM用户。 图1 创建IAM用户 修改现有IAM用户的外部身份ID 管理员在IAM用户列表中，单击用户名，或者单击右侧的“安全设置”，可以查看或修改IAM用户外部身份ID。 图2 修改IAM用户外部身份ID 父主题： 基于SAML协议的IAM用户SSO
”中，单击“立即启用”。在“自主管理用户属性设置”弹窗中，选择“开启”并勾选支持IAM用户自主修改的属性，单击“确定”，开启IAM用户自主管理用户属性。 关闭自主管理用户属性 关闭后，仅管理员可以管理自己的基本信息。IAM用户如需修改登录密码、手机号、邮件地址，请联系管理员参考查看或修改IAM用户信息进行操作。
（可选）步骤5：配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上，企业用户通过该链接访问华为云。 华为云提供“企业联邦用户登录”入口，如您未配置企业管理系统登录入口，企业联邦用户可以通过该方法登录华为云，详情请参考：企业联邦用户登录。 前提条件 已在华为云创建身份提供商，并验证身份提供商的
角色是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 由于华为云各服务之间存在业务依赖关系，因此给用户或用户组授予角色时，需要将依赖的
查看IAM操作记录 开通云审计服务 在CTS事件列表查看云审计事件
策略 策略内容 策略语法 策略鉴权规则 父主题： 权限管理
身份提供商类型。当前支持如下两种： virtual_user_sso：联邦登录跳转后映射为虚拟用户。 iam_user_sso：联邦登录跳转后映射为实际存在的IAM用户。如果选择该类型，请确保您已在华为云创建IAM用户。 默认配置为virtual_user_sso类型，同一个账号下两种类型不能同
单击“确定”，项目列表中显示新创建的项目。 基于项目给用户组授权 以子项目为单位进行授权，使得IAM用户仅能访问特定子项目中的资源，使得资源的权限控制更加精确。 在用户组列表中，单击用户组右侧的“授权”，进入授权页面。 图3 权限配置 在授权页面中，勾选需要授予用户组的区域级项目权限，并单击“下一步”。
API访问：仅对账号下的所有IAM用户和联邦用户通过API网关访问API接口生效，修改后2小时生效。 访问控制策略最多可设置200条。 如果IAM用户或联邦用户通过代理访问华为云，需按照代理IP设置允许访问的IP地址区间/IP地址或网段；如果IAM用户或联邦用户通过公网访问华为云，请按照公网IP进行设置。
自定义策略 创建自定义策略 修改、删除自定义策略 自定义策略使用样例 支持IAM资源粒度授权的云服务 父主题： 权限管理
身份提供商 身份提供商概述 虚拟用户SSO与IAM用户SSO的适用场景 基于SAML协议的虚拟用户SSO 基于SAML协议的IAM用户SSO 基于OIDC协议的虚拟用户SSO 身份转换规则详细说明
自定义身份代理 使用委托方式配置自定义身份代理配置步骤 使用委托方式创建云服务登录地址 使用token方式配置自定义身份代理配置步骤 使用token方式创建云服务登录地址
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
