权限管理-华为云

云桌面 WORKSPACE-创建用户并授权使用云桌面

创建用户并授权使用云桌面操作场景如果需要对您所拥有的Workspace资源进行精细的权限管理，可以使用统一身份认证服务（Identity and Access Management，简称IAM）。通过IAM，您可以：根据企业的业务组织，在您的华为账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用Workspace云桌面。根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。如果华为账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用云桌面的其他功能。本章节以授予“Workspace ReadOnlyAccess”权限为例介绍为用户授权的方法前提条件给用户组授权之前，请您了解用户组可以添加的Workspace权限，并结合实际需求进行选择。若您需要对除Workspace之外的其他服务授权，IAM支持服务的所有权限请参见：系统权限。示例流程创建用户组并授权。在IAM控制台创建用户组，并授予Workspace服务只读权限“Workspace ReadOnlyAccess”。创建用户并加入用户组。在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限。新创建的用户登录控制台，切换至授权区域，验证权限（假设当前权限仅包含Workspace ReadOnlyAccess）。在“服务列表”中选择云桌面服务，进入桌面管理界面，执行除查询以外的其他操作，如：开关机、重启、创建、修改、删除等。示例：对桌面进行开机或关机操作，若提示权限不足，表示“Workspace ReadOnlyAccess”已生效。在“服务列表”中选择除云桌面服务外的任意一个服务，如“虚拟私有云”，若提示权限不足，表示“Workspace ReadOnlyAccess”已生效。父主题：权限管理

云桌面 WORKSPACE 权限管理

迁移中心 MGC-委托权限说明:主机迁移工作流

主机迁移工作流场景委托对象自定义策略名称细粒度最小使用权限主机迁移工作流 MgC MgC ServerMigrationAgencyPolicy ecs:cloudServers:showServer（查询云服务器详情） ecs:cloudServers:createServers（创建云服务器） sms:server:migrationServer（迁移源端服务器） sms:server:queryServer（查看源端服务器） ecs:cloudServers:list（查看云服务器列表） ecs:cloudServers:listServerBlockDevices（查询弹性云服务器磁盘信息）

迁移中心 MGC 权限管理

迁移中心 MGC-委托权限说明:购买资源

购买资源场景委托对象自定义策略名称细粒度最小使用权限购买资源 MgC MgC PurchaseAgencyPolicy eps:resources:add（企业项目资源迁入） ecs:cloudServers:createServers（创建云服务器） evs:volumes:list（查询云硬盘列表） ecs:cloudServerFlavors:get（查询云服务器规格详情和扩展信息列表） ecs:cloudServers:list（查询云服务器详情列表） ecs:cloudServers:createServers（创建云服务器） vpc:publicIps:update（更新弹性公网IP） vpc:publicIps:create（创建弹性公网IP）

迁移中心 MGC 权限管理

迁移中心 MGC-委托权限说明:创建迁移集群

创建迁移集群场景委托对象自定义策略名称细粒度最小使用权限创建迁移集群 OMS OMS ObsMigrationAgencyPolicy ecs:cloudServers:createServers（创建云服务器） ecs:cloudServers:listServerInterfaces（查询云服务器网卡信息） ecs:cloudServers:showServer（查询云服务器详情） ecs:cloudServers:deleteServers（删除云服务器） ecs:cloudServers:list（查询云服务器详情列表） nat:natGateways:create（创建NAT网关） nat:natGateways:get（查询NAT网关详情） nat:natGateways:delete（删除NAT网关） nat:snatRules:create（创建SNAT规则） nat:snatRules:get（查询SNAT规则详情） nat:dnatRules:list（查询DNAT规则列表） nat:snatRules:list（查询SNAT规则列表） nat:snatRules:delete（删除SNAT规则） nat:natGateways:list（查询NAT网关列表） vpc:securityGroups:create（创建安全组） vpc:securityGroups:delete（删除安全组） vpc:securityGroups:get（查询安全组列表或详情） vpc:securityGroupRules:create（创建安全组规则） vpc:securityGroupRules:get（查询安全组规则列表或详情） vpc:securityGroupRules:delete（删除安全组规则） vpc:securityGroups:get（查询安全组列表或详情） vpcep:epservices:create（创建终端节点服务） vpcep:epservices:get（查询终端节点服务详情） vpcep:permissions:list（查询终端节点服务的白名单列表） vpcep:connections:list（查询连接终端节点服务的连接列表） vpcep:epservices:list（查询终端节点服务列表） vpcep:epservices:delete（删除终端节点服务） vpcep:endpoints:create（创建终端节点） vpcep:endpoints:list（查询终端节点列表） vpcep:endpoints:get（查询终端节点详情） vpcep:endpoints:delete（删除终端节点） vpcep:connections:update（接受或拒绝终端节点的连接） vpcep:permissions:update（批量添加或移除终端节点服务的白名单） lts:topics:get（查询指定日志主题） lts:topics:create（创建日志主题） lts:topics:list（查询日志主题列表） lts:topics:delete（删除指定日志主题） lts:*:*（所有主机组相关的操作） lts:groups:create（创建日志组） lts:groups:get（查询指定日志组） lts:groups:delete（删除指定日志组） aom:*:*（aom的所有权限） apm:icmgr:*（apm采集组件的所有权限） ECS ECS ObsMigrationAgencyPolicy apm:icmgr:*（apm采集组件的所有权限）

迁移中心 MGC 权限管理

迁移中心 MGC-委托权限说明:配置主机购买模板

配置主机购买模板场景委托对象自定义策略名称细粒度最小使用权限配置主机购买模板 MgC MgC PurchaseTemplateAgencyPolicy iam:projects:listProjects（查询租户项目） eps:enterpriseProjects:list（查看企业项目列表） vpc:subnets:get（查询子网列表或详情） vpc:securityGroups:get（查询安全组列表或详情）

迁移中心 MGC 权限管理

迁移中心 MGC-委托权限说明:跨可用区迁移

跨可用区迁移场景委托对象自定义策略名称细粒度最小使用权限跨可用区迁移 MgC MgC AzMigrationAgencyPolicy ecs:cloudServers:showServer（查询云服务器详情） ecs:flavors:get（查询云服务器规格） ecs:cloudServerFlavors:get（查询云服务器规格详情和扩展信息列表） ecs:cloudServerQuotas:get（查询租户配额） ecs:servers:list（查询云服务器列表） ecs:cloudServers:list（查询云服务器详情列表） ecs:servers:stop（关闭云服务器） ecs:cloudServers:listServerInterfaces（查询云服务器网卡信息） ecs:cloudServers:createServers（创建云服务器） ecs:cloudServers:listServerBlockDevices（查询弹性云服务器磁盘信息） ecs:cloudServerNics:update（云服务器网卡配置私有IP） vpc:publicIps:create（创建弹性公网IP） vpc:publicIps:update（更新弹性公网IP） vpc:subnets:get（查询子网列表或详情） vpc:networks:get（查询网络列表或详情） vpc:publicIps:list（查询弹性公网IP） vpc:publicIps:get（查询弹性公网IP详情） evs:types:get（查询云硬盘类型） evs:volumes:list（查询云硬盘列表） cbr:vaults:get（查询指定存储） cbr:vaults:list（查询存储库列表） cbr:vaults:create（创建存储库） cbr:vaults:addResources（添加资源） cbr:vaults:backup（执行备份） cbr:backups:list（查询备份列表） cbr:tasks:list（查询任务列表） cbr:tasks:get（查询单个任务） cbr:backups:delete（删除备份） cbr:backups:get（查询指定备份） cbr:vaults:delete（删除存储库） ims:wholeImages:create（制作整机镜像） ims:images:list（查询镜像列表） ims:images:delete（删除镜像） ims:images:get（查询镜像详情） ims:serverImages:create（制作镜像）

迁移中心 MGC 权限管理

数据复制服务 DRS-创建DRS任务后执行自动功能失败:解决方案

解决方案方法一：使用主账号重新创建一次任务，主账号默认有Security Administrator权限，可在创建任务后将委托创建出来。方法二：使用主账号在子账号所在的用户组添加Security Administrator权限后，重新创建任务。添加权限的具体操作请参见：创建用户并授权使用DRS。方法三：手动添加“账户委托”，添加步骤如下：使用主账号登录华为云，在右上角单击“控制台”。在控制台页面，鼠标移动至右上方的账号名，在下拉列表中选择“统一身份认证”。在统一身份认证页面，单击左侧导航窗格中“委托”，进入“委托”页面。在“委托”页面，单击右上方的“+创建委托”进行委托创建。填写委托名称为“DRS_AGENTCY” ，委托类型为 “普通账号”时，委托的账号为 “op_svc_rds”；委托类型为“云服务”时，选择“关系型数据库MySQL”；持续时间为“永久”，完成后单击“下一步”。图1 创建委托在“选择策略”页面，选择DRS_AGENTCY的授权策略，委托权限需配置全局的 Tenant Administrator，完成后单击右下角的“下一步”。图2 选择策略在“设置最小授权范围”页面，先选择全局服务资源授权后，再基于指定区域设置最小授权范围，完成后单击右下角的“确定”。图3 全局服务资源授权图4 指定区域项目授权授权完成后，单击委托名称，在“授权记录”中可看到全局服务和指定区域两条授权记录。图5 授权记录权限生效时间提醒，您选中的OBS权限由于系统设计的原因，授权后需等待15-30分钟才可生效，权限生效后重新创建即可。

数据复制服务 DRS 权限管理

云防火墙 CFW-创建用户组并授权使用CFW:前提条件

前提条件给用户组授权之前，请您了解用户组可以添加的CFW权限，并结合实际需求进行选择，CFW支持的系统权限如表1所示。若您需要对除CFW之外的其它服务授权，IAM支持服务的所有权限请参见系统权限。表1 CFW系统角色角色名称描述类别依赖关系 CFW FullAccess 云防火墙服务的所有权限。系统策略无 CFW ReadOnlyAccess 云防火墙服务的只读权限。系统策略无

云防火墙 CFW 权限管理

云防火墙 CFW-创建用户组并授权使用CFW:示例流程

示例流程图1 给用户授权服务权限流程创建用户组并授权在IAM控制台创建用户组，并授予CFW只读权限“CFW ReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择云防火墙，进入CFW主界面，单击“购买云防火墙”，尝试购买云防火墙，如果无法购买云防火墙（假设当前权限仅包含CFW FullAccess），表示“CFW FullAccess”已生效。在“服务列表”中选择除CFW外（假设当前策略仅包含“CFW FullAccess”）的任一服务，若提示权限不足，表示“CFW FullAccess”已生效。

云防火墙 CFW 权限管理

应用平台 APPSTAGE-申请权限:更多操作

更多操作在权限管理页面，还可执行表1所示的操作。表1 更多操作操作步骤延期权限在左侧导航栏选择“我的权限”。在“我的权限”页面的权限列表中，勾选需要延期的权限，单击“延期权限”。在“已选中权限”区域修改有效期时间（权限最长有效期为360天），并填写审批人；在“申请信息”区域填写申请原因。单击“提交”。取消权限在左侧导航栏选择“我的权限”。在“我的权限”页面的权限列表中，勾选需要取消的权限，单击“取消权限”。在“权限取消”对话框中，单击“确定”。查看我的申请在左侧导航栏选择“我的申请”，在“我的申请”页面的申请单列表中，可直接查看我已申请的单号状态（分为审批中、审批结束等）以及申请结果（通过、驳回等）。单击申请单所在行“操作”列的“查看详情”，在“岗位申请状态列表”对话框可查看岗位申请详情。说明：对于“审批中”状态的申请单，在“操作”列单击“查看详情”，然后在“岗位申请状态列表”勾选申请的单号，单击“撤回”可撤回自己的权限申请；“审批结束”状态的申请单，不支持撤回权限申请。查看我的权限变更记录在左侧导航栏选择“我的权限变更记录”。选择起始时间和结束时间，单击“查询”，可查看到自己在不同租户部门、产品、服务的岗位/角色的变更类型和变更日期。

应用平台 APPSTAGE 权限管理

数据仓库服务 GAUSSDB(DWS)-创建用户并授权使用GaussDB(DWS):示例流程

示例流程图1 给用户授权GaussDB(DWS) 权限流程创建用户组并授权使用华为云账号登录IAM控制台，创建用户组，并授予数据仓库服务的只读权限“DWS ReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入步骤1中创建的用户组。用户登录并验证权限使用新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择数据仓库服务，进入DWS主界面，单击右上角“创建数据仓库集群”，尝试创建数据仓库集群，如果无法创建（假设当前权限仅包含DWS ReadOnlyAccess），表示“DWS ReadOnlyAccess”已生效。在“服务列表”中选择除数据仓库服务之外（假设当前策略仅包含DWS ReadOnlyAccess）的任一服务，若提示权限不足，表示“DWS ReadOnlyAccess”已生效。

数据仓库服务 GAUSSDB(DWS) 权限管理

数字内容生产线 METASTUDIO-创建用户并授权使用MetaStudio:示例流程

示例流程图1 给用户授权MetaStudio权限流程创建用户组并授权在IAM控制台创建用户组，并授予MetaStudio管理员权限“MetaStudio FullAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，验证MetaStudio FullAccess的管理员权限。在“服务列表”中选择数字内容生产线，进入服务主界面，单击“分身形象制作”，并参考《用户指南》手册，制作分身数字人。如果制作成功，说明MetaStudio FullAccess”已生效。

数字内容生产线 METASTUDIO IAM权限管理

弹性文件服务 SFS-查询Ldap的配置:响应参数

响应参数状态码： 200 表3 响应Body参数参数参数类型描述 url String ldap服务器的url base_dn String 数据库中的域 user_dn String 用户区别名 filter_condition String 过滤条件。保留字段，暂不支持 backup_url String ldap备节点的url schema String ldap的schema，不填写则默认为RFC2307 search_timeout String ldap搜索的超时时间，单位为秒。不填写则默认为3秒 allow_local_user String 访问ldap服务器失败后是否允许使用本地用户鉴权状态码： 500 表4 响应Body参数参数参数类型描述 errCode String 错误码最小长度：8 最大长度：36 errMsg String 错误描述最小长度：2 最大长度：512

弹性文件服务 SFS 权限管理

弹性文件服务 SFS-查询Ldap的配置:响应示例

响应示例状态码： 200 查询成功 { "url" : "ldap://192.168.1.1:60000", "base_dn" : "dc=huawei,dc=com", "user_dn" : "cn=admin,dc=huawei,dc=com", "backup_url" : "ldap://192.168.1.2:60000", "schema" : "RFC2307", "search_timeout" : 10, "allow_local_user" : "Yes" } 状态码： 500 错误响应 { "errCode" : "SFS.TURBO.0005", "errMsg" : "Internal server error" }

弹性文件服务 SFS 权限管理

分布式数据库中间件 DDM-创建用户并授权使用DDM:示例流程

示例流程图1 授权DDM权限流程创建用户组并授权在IAM控制台创建用户组，并授予分布式数据库中间件权限“DDM ReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择分布式数据库中间件服务，进入DDM主界面，单击右上角“购买数据库中间件实例”，尝试购买数据库中间件实例，如果无法购买数据库中间件实例（假设当前权限仅包含DDM ReadOnlyAccess），表示“DDM ReadOnlyAccess”已生效。在“服务列表”中选择除分布式数据库中间件服务外（假设当前策略仅包含DDM ReadOnlyAccess）的任一服务，如果提示权限不足，表示“DDM ReadOnlyAccess”已生效。

分布式数据库中间件 DDM 权限管理

云服务器内容精选

权限管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线