权限配置-华为云

云原生服务中心 OSC-单租户下如何使用IAM系统策略对各IAM子用户进行细粒度权限划分

单租户下如何使用IAM系统策略对各IAM子用户进行细粒度权限划分当华为云租户需要对各IAM用户进行细粒度权限控制时，要使用到IAM策略。关于策略的详细介绍参见IAM权限管理文档。OSC作为UCS的子服务，其细粒度权限的划分包括UCS FullAccess和UCS ReadOnlyAccess两个系统策略。其中UCS FullAccess系统策略包含OSC所有接口的使用权限，UCS ReadOnlyAccess系统策略包含OSC所有Read、List接口的使用权限。授予子用户某个系统策略的操作步骤与单租户下多IAM用户使用企业仓库场景如何配置权限？的操作步骤相同，只需在6勾选两个系统策略之一即可：需要注意的是， UCS FullAccess、UCS ReadOnlyAccess权限与CCE集群中Kubernetes资源权限相互独立。所以在涉及到CCE集群中资源的操作（如创建服务实例、查询服务实例）中，需要前往CCE管理页面进行单独授权。一般情况下，参见CCE授予集群全部权限文档进行权限授予即可。另外，出于用户数据安全的考虑，UCS FullAccess系统策略中默认不包含OBS和SWR权限的授予。所以对于ISV账户，如果其管理的某个IAM子用户需要进行商品发布的操作，除UCS FullAccess之外，还需要额外给该子用户授予OBS Administrator系统策略。如果其管理的某个IAM子用户需要使用容器镜像仓库（普通版，非企业版）进行私有服务的上传操作，除UCS FullAccess之外，还需要前往容器镜像服务-组织管理页面，为该子用户添加osc组织的管理权限：父主题：权限配置

云原生服务中心 OSC 权限配置

AI开发平台MODELARTS-配置ModelArts委托权限

配置ModelArts委托权限给用户配置ModelArts委托授权，允许ModelArts服务在运行时访问OBS等依赖服务。使用华为云账号登录ModelArts管理控制台，在左侧导航栏单击“全局配置”，进入“全局配置”页面，单击“添加授权”。在弹出的“访问授权”窗口中，授权对象类型：所有用户委托选择：新增委托权限配置：普通用户选择完成后勾选“我已经详细阅读并同意《ModelArts服务声明》”，然后单击“创建”。图1 配置委托访问授权完成配置后，在ModelArts控制台的全局配置列表，可查看到此账号的委托配置信息。图2 查看委托配置信息父主题：权限配置

AI开发平台MODELARTS 权限配置

华为云UCS-IAM用户配置权限实践:应用场景

应用场景 UCS在统一身份认证服务（IAM）能力基础上，为用户提供细粒度的权限管理功能，帮助用户灵活便捷地对租户下的IAM用户设置不同的UCS资源权限，结合权限策略和舰队设计，可实现企业不同部门或项目之间的权限隔离。例如，某公司同时推进两个项目组，每个项目组中有多名成员，权限分配如图1所示。项目组A在开发过程中需要舰队1、2的管理员权限以及舰队3的只读权限。项目组B在开发过程中需要舰队1、3的管理员权限以及舰队2的只读权限。图1 权限设计

华为云UCS 权限配置

华为云UCS-IAM用户配置权限实践:步骤二：UCS管理员授权

步骤二：UCS管理员授权使用UCS管理员登录UCS控制台，在左侧导航栏选择“权限管理”。单击右上角的“创建权限”按钮。在弹出页面中填写权限的参数项，如图7所示。图7 创建权限权限名称：自定义权限的名称，需以小写字母开头，由小写字母、数字、中划线（-）组成，且不能以中划线（-）结尾。用户：选择权限关联的用户，即上一步创建的IAM用户。实际应用中，一个用户组会有多个用户，创建权限时，可以将这个用户组下的所有用户全部选中，以达到批量授权的目的。权限类型：选择“管理员权限”。管理员权限表示对所有集群资源对象的读写权限。单击“确定”，创建权限。权限创建完成后，可前往“容器舰队”页面，单击目标舰队右上角按钮。图8 为舰队关联权限在弹出的页面单击“关联权限”，打开“修改权限”页面，将3中创建的权限和舰队的全部命名空间关联起来。图9 关联权限单击“确定”。完成后，使用该IAM用户登录UCS控制台可使用权限范围内的功能。重复以上步骤，完成表2中其他权限的创建，以及权限和舰队的关联。

华为云UCS 权限配置

华为云UCS-IAM用户配置权限实践:解决方案

解决方案要想实现上述的权限隔离，必须结合使用IAM系统策略和UCS权限管理功能，IAM系统策略控制用户可操作哪些UCS控制台的功能，UCS权限管理控制用户可操作哪些舰队和集群资源。如图2所示，授权包括如下两大步骤。第一步授权（IAM控制台）：拥有Tenant Administrator权限的IAM管理员需要创建三个用户组，一个为管理员用户组，另外两个为项目组A、B所对应的用户组（用户组1、2），分别授予UCS FullAccess和UCS CommonOperations权限。第二步授权（UCS控制台）：拥有UCS FullAccess权限的UCS管理员分别为用户组1、用户组2创建各自的管理员权限、只读权限，然后关联到舰队上。具体的关联策略如下：用户组1的管理员权限关联至舰队1、舰队2，只读权限关联至舰队3；用户组2的管理员权限关联至舰队1、舰队3，只读权限关联至舰队2。图2 授权方案

华为云UCS 权限配置

华为云UCS-IAM用户配置权限实践:步骤一：IAM管理员授权

步骤一：IAM管理员授权使用IAM管理员帐号登录IAM控制台。左侧导航栏选择“用户组”，单击右上角“创建用户组”。在“创建用户组”界面，输入管理员用户组的名称及描述，单击“确定”，完成用户组创建。图3 创建用户组在用户组列表中，单击目标用户组右侧的“授权”按钮。图4 授权搜索并选择权限策略UCS FullAccess。图5 选择策略单击“下一步”，选择授权范围方案。选择“所有资源”，不设置最小授权范围，用户可根据权限使用帐号中所有资源，包括企业项目、区域项目和全局服务资源。单击“确定”完成授权。左侧导航栏选择“用户”，单击右上角“创建用户”，新建一个IAM用户。填写用户名及初始密码，其余参数说明请参见创建IAM用户。单击“下一步”，选择加入4中已授权的用户组。图6 加入用户组单击“创建用户”。重复上述步骤，完成表1中其他用户组、用户的创建和授权。

华为云UCS 权限配置

华为云UCS-IAM用户配置权限实践:前提条件

前提条件帐号已开通UCS服务，并且按照图1完成舰队、集群资源的准备工作。按照图2完成权限数据的准备工作。表1 IAM控制台数据准备用户组用户权限管理员用户组：UCS_Group_admin UCS_Group_admin_User1 UCS FullAccess 用户组1：UCS_Group_1 UCS_Group_1_User1、UCS_Group_1_User2 ... UCS CommonOperations 用户组2：UCS_Group_2 UCS_Group_2_User1、UCS_Group_2_User2 ... UCS CommonOperations 表2 UCS控制台数据准备用户组用户权限类型权限名称用户组1 UCS_Group_1_User1、UCS_Group_1_User2 ... 管理员权限 ucs-group-1-admin 只读权限 ucs-group-1-readonly 用户组2 UCS_Group_2_User1、UCS_Group_2_User2 ... 管理员权限 ucs-group-2-admin 只读权限 ucs-group-2-readonly

华为云UCS 权限配置

云服务器内容精选

权限配置

7*24

备案

专业服务

退订

建议反馈

售前咨询热线