检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
系统策略更名详情 现对系统策略（即细粒度策略类型）名称进行调整，新的策略名称将于2020/2/6 22:30:00（北京时间）正式生效。本次调整仅涉及对系统策略名称的修改，不会影响您的业务，请放心使用。原始系统策略为Version 1.0，目标系统策略为Version 1.1，当前IAM兼容两个版本。
说明。 如表1所示，包括了IAM的所有系统权限。 表1 IAM系统权限 系统角色/策略名称 描述 类别 角色/策略内容 FullAccess 基于策略授权的所有服务的所有权限，拥有该权限的用户可以完成基于策略授权的所有服务的所有操作。 系统策略 FullAccess策略内容 IAM
常用系统权限设置案例 请参考以下文档给IAM用户设置常见云服务的访问权限。 设置弹性云服务器（ECS）的权限 设置弹性负载均衡（ELB）的权限 设置关系型数据库（RDS）的权限 设置云硬盘（EVS）的权限 设置云监控（CES）的权限 设置云容器引擎（CCE）的权限 设置对象存储服务（OBS）的权限
Key）加密调用请求。 Token认证 Token的有效期为24小时，需要使用同一个Token鉴权时，可以缓存起来，避免频繁调用。 Token在计算机系统中代表令牌（临时）的意思，拥有Token就代表拥有某种权限。Token认证就是在调用API的时候将Token加到请求消息头，从而通过身份认证，获得操作API的权限。
自定义策略使用样例 配合较高权限系统策略使用 如果您给IAM用户授予较高权限的系统策略，例如“FullAccess” ，但不希望IAM用户拥有某个服务的权限，例如云审计服务。您可以创建一个自定义策略，并将自定义策略的Effect设置为Deny，然后将较高权限的系统策略和自定义策略同时授予
（可选）步骤5：配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上，企业用户通过该链接访问华为云。 华为云提供企业联邦用户登录入口，如您未配置企业管理系统登录入口，企业联邦用户可以通过该方法登录华为云，详情请参考：企业联邦用户登录。 前提条件 已在本系统创建身份提供商，如
（可选）步骤3：配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上，企业用户通过该链接访问华为云。 华为云提供企业联邦用户登录入口，如您未配置企业管理系统登录入口，企业联邦用户可以通过该方法登录华为云，详情请参考：企业联邦用户登录。 前提条件 已在本系统创建身份提供商，如
（可选）步骤5：配置企业管理系统登录入口 将身份提供商的登录链接配置到企业管理系统上，企业用户通过该链接访问华为云。 华为云提供“企业联邦用户登录”入口，如您未配置企业管理系统登录入口，企业联邦用户可以通过该方法登录华为云，详情请参考：企业联邦用户登录。 前提条件 已在华为云创建
在控制台的“身份提供商”页面，单击“操作”列的“查看”，进入“身份提供商基本信息”页面；单击“登录链接”右侧的“”，在浏览器中打开，输入企业管理系统用户名和密码，登录成功。 图1 登录链接 查看联邦用户是否具有所属用户组的权限。 跳转到指定区域或服务 如需指定联邦用户登录的目标页面，比
策略鉴权规则 用户在发起访问请求时，系统根据用户被授予的访问策略中的action进行鉴权判断。鉴权规则如下： 图1 系统鉴权逻辑图 用户发起访问请求。 系统在用户被授予的策略中寻找请求对应的action，优先寻找Deny指令。如果找到一个适用的Deny指令，系统将返回Deny决定。 如果没
initiated方式获取联邦认证Token的方法。“Client4ShibbolethIdP”脚本模拟用户在浏览器上登录企业IdP系统，通过呈现浏览器提交的表单数据和客户端实现的对比，帮助用户开发本企业IdP系统的客户端脚本。 前提条件 企业IdP服务器支持IdP Initiated方式的联邦认证。 客户端需要
Sign-On，简称SSO） 用户在身份提供商IdP系统登录后，就可以通过跳转链接访问已建立互信关系的服务提供商SP系统，这一过程称之为单点登录。如：企业管理系统与华为云建立互信关系后，企业管理系统中的用户通过华为云提供的登录入口，使用已有的账号密码在企业管理系统中登录后，即可跳转访问华为云。华为
如何控制IAM用户访问控制台 通过设置访问控制，限制IAM用户只能从特定IP地址区间访问系统，提高用户信息和系统的安全性。 操作步骤 登录统一身份认证服务控制台。 在左侧导航窗格中，选择“安全设置”，单击“访问控制”页签。 访问控制仅对账号下的IAM用户生效，对账号本身不生效。
我的配额”。 系统进入“服务配额”页面。 图1 我的配额 您可以在“服务配额”页面，查看各项资源的总配额及使用情况。 如果当前配额不能满足业务要求，请参考后续操作，申请扩大配额。 如何申请扩大配额？ 登录管理控制台。 在页面右上角，选择“资源 > 我的配额”。 系统进入“服务配额”页面。
华为云。 （可选）配置企业管理系统登录入口：将华为云的访问入口配置到企业管理系统中，用户可通过登录企业管理系统直接访问华为云，如图4所示。 图4 配置单点登录模型 企业管理系统与华为云联邦身份认证交互流程 图5为用户在发起单点登录请求后，企业管理系统与华为云间的交互流程。 图5 联邦身份认证交互流程
图解统一身份认证服务
使用IAM授权的云服务 IAM为华为云其他服务提供认证和授权功能，在IAM中创建的用户，经过授权后可以根据权限使用系统中的其他服务。IAM支持的所有服务权限，请参见：系统权限。对于不支持使用IAM授权的服务，账号中创建的IAM用户无法使用该服务，请使用账号登录使用该服务。支持使用IAM授权的云服务请参见下方表格内容。
IAM用户登录失败怎么办 问题描述 IAM用户登录系统时提示“用户名或密码错误”、“您的管理员已设置了控制台ACL规则，禁止您所在的终端登录控制台”等，使IAM用户登录失败。 问题排查 系统提示“用户名或密码错误” 可能原因：IAM用户登录时，未切换IAM登录入口。 解决方法：单击“IAM用户”，切换登录入口。
搜索的服务或权限名称不正确。 解决方法 管理员通过给对应云服务提交工单，申请该服务在IAM预置权限。 请在管理控制台或帮助中心确认服务名称，并在系统权限中查看该服务提供的系统权限。 父主题： 用户组及权限管理类
创建自定义策略 如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制，自定义策略是对系统策略的扩展和补充。 目前IAM支持以下两种方式创建自定义策略： 可视化视图：通过可视化视图创建自定义策略，无需了解JSON语法，按可视化视图导
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
