访问管理-华为云

容器镜像服务 SWR-域名管理:设置访问控制与域名解析

设置访问控制与域名解析公网访问设置公网访问控制和域名解析，您可以使用公网并通过自定义域名的方式访问SWR仓库。配置公网的访问控制，详情请参考配置公网访问。进入云解析服务控制台。在左侧树状导航栏，选择“公网域名”, 进入域名列表页面。【可选】如果没有自定义域名后缀的公网域名，单击右上角的“创建公网域名”，输入域名，单击“确定”。单击您的域名名称进入详情页。单击“添加记录集”，进入“添加记录集”页面设置参数，然后单击“确定”。表1 添加记录集参数设置参数配置主机记录输入自定义域名的前缀。类型 CNAME。线路类型指域名访问者所在的地区和使用的运营商网络，本例中为全网默认。 TTL 为缓存时间，数值越小，修改记录各地生效时间越快，默认为5分钟。值设置为仓库的默认域名。内网访问设置内网访问控制和内网域名，您可以在指定VPC内的云服务器通过内网拉取SWR仓库中的镜像。配置内网访问控制，详情请参考配置内网访问。进入云解析服务控制台。在左侧树状导航栏，选择“内网域名”, 进入域名列表页面。【可选】如果没有自定义域名后缀的内网域名，单击右上角的“创建内网域名”，输入域名，选择区域，以及与仓库打通网络的VPC，单击“确定”。单击您的域名名称进入详情页。单击“添加记录集”，进入“添加记录集”页面设置参数，然后单击“确定”。表2 添加记录集参数设置参数配置主机记录输入自定义域名的前缀类型 CNAME 线路类型指域名访问者所在的地区和使用的运营商网络，本例中为全网默认。 TTL 为缓存时间，数值越小，修改记录各地生效时间越快，默认为5分钟。值设置为仓库的默认域名。

容器镜像服务 SWR 访问管理

容器镜像服务 SWR-域名管理:前提条件

前提条件需要开通云服务：云解析服务 DNS、云证书管理服务（Cloud Certificate Manager，CCM）。欲使用域名管理功能，您的账户需要具备查询证书列表权限（scm:cert:list）以及证书导出的权限（scm:cert:export）。已拥有域名。您可以通过域名注册服务注册域名，详细介绍请参见什么是域名注册服务？。如果您的SWR仓库在中国境内，那么如果您要在公网环境中使用自定义域名，则域名需要备案。如果您的SWR仓库在境外，则域名无需备案。已为域名签发证书。您可通过云证书管理CCM服务购买证书，并确认已绑定仓库需要使用的自定义域名。

容器镜像服务 SWR 访问管理

资源访问管理 RAM-授权项

授权项表1 资源访问管理授权项权限对应API接口授权项（Action） IAM项目(Project) 企业项目(Enterprise Project) 检索共享资源权限列表 GET /v1/permissions ram:permissions:list × × 检索共享资源权限内容 GET /v1/permissions/{permission_id} ram:permissions:get × × 获取权限的所有版本 GET /v1/permissions/{permission_id}/versions ram:permissions:listVersions × × 创建资源共享实例 POST /v1/resource-shares ram:resourceShares:create × × 检索资源共享实例 POST /v1/resource-shares/search ram:resourceShares:search × × 更新资源共享实例 PATCH /v1/resource-shares/{resource_share_id} ram:resourceShares:update × × 删除资源共享实例 DELETE /v1/resource-shares/{resource_share_id} ram:resourceShares:delete × × 绑定资源使用者和共享资源 POST /v1/resource-shares/{resource_share_id}/associate ram:resourceShares:associate × × 移除资源使用者和共享资源 POST /v1/resource-shares/{resource_share_id}/disassociate ram:resourceShares:disassociate × × 检索绑定的资源使用者和共享资源 POST /v1/resource-share-associations/search ram:resourceShares:searchResourceShareAssociations × × 绑定或替换共享资源权限 POST /v1/resource-shares/{resource_share_id}/associate-permission ram:resourceShares:associatePermission × × 移除共享资源权限 POST /v1/resource-shares/{resource_share_id}/disassociate-permission ram:resourceShares:disassociatePermission × × 检索绑定的共享资源权限 GET /v1/resource-shares/{resource_share_id}/associated-permissions ram:resourceShares:listAssociatedPermissions × × 查询已使用的标签列表 GET /v1/resource-shares/tags ram:resourceShares:listTags × × 根据标签信息查询实例列表 POST /v1/resource-shares/resource-instances/filter ram:resourceShares:listResourceSharesByTag × × 根据标签信息查询实例数量 POST /v1/resource-shares/resource-instances/count ram:resourceShares:searchResourceShareCountByTag × × 资源共享实例增加标签 POST /v1/resource-shares/{resource_share_id}/tags/create ram:resourceShares:tag × × 删除资源共享实例的标签 POST /v1/resource-shares/{resource_share_id}/tags/delete ram:resourceShares:untag × × 检索共享的资源 POST /v1/shared-resources/search ram:sharedResources:search × × 检索资源使用者 POST /v1/shared-principals/search ram:sharedPrincipals:search × × 接受共享邀请 POST /v1/resource-share-invitations/{resource_share_invitation_id}/accept ram:resourceShareinvitations:accept × × 拒绝共享邀请 POST /v1/resource-share-invitations/{resource_share_invitation_id}/reject ram:resourceShareinvitations:reject × × 检索共享邀请 POST /v1/resource-share-invitations/search ram:resourceShareinvitations:search × × 启用与组织共享 POST /v1/resource-shares/enable-sharing-with-organization ram:resourceShares:enableSharingWithOrganization × × 关闭与组织共享 POST /v1/resource-shares/disable-sharing-with-organization ram:resourceShares:disableSharingWithOrganization × × 检索是否启用与组织共享 POST /v1/resource-shares/search-enabled-sharing-with-organization ram:resourceShares:searchEnableSharingWithOrganization × × 查询RAM配额 GET /v1/resource-shares/quotas ram:resourceShares:listQuota × × 检索云服务资源类型 GET /v1/resource-types ram:resourceTypes:list × × 父主题：权限和授权项

资源访问管理 RAM 权限和授权项

资源访问管理 RAM-创建用户并授权使用RAM:前提条件

前提条件给用户组授权之前，请您了解用户组可以添加的RAM权限，并结合实际需求进行选择，RAM支持的系统权限如表1所示。若您需要对除RAM之外的其他服务授权，IAM支持服务的所有权限请参见系统权限。表1 RAM系统权限权限名称描述 RAM FullAccess 资源访问管理服务所有权限。 RAM ReadOnlyAccess 资源访问管理服务只读权限。 RAM ResourceShareParticipantAccess 资源访问管理服务资源共享邀请的处理权限。

资源访问管理 RAM 权限管理

资源访问管理 RAM-概述

概述资源访问管理（Resource Access Manager，简称RAM）服务为用户提供安全的跨账号共享资源的能力。如果您有多个账号，您可以创建一次资源，并使用RAM服务将该资源共享给其他账号使用。如果您的账号由组织管理，则您可以与组织、OU或成员账号共享资源。您还可以按账号ID与特定的账号共享，无论账号是否属于组织。本章节将为您介绍如下内容：创建共享更新共享查看共享删除共享查看您共享的资源查看资源使用者父主题：共享您的资源

资源访问管理 RAM 共享您的资源

资源访问管理 RAM-支持共享的资源

支持共享的资源表1 支持共享的云服务和资源类型云服务资源类型是否支持主动退出共享应用场景 VPC Subnet：子网是共享VPC功能支持多个账号在一个集中管理、共享的VPC内创建云资源，比如ECS、ELB、RDS等。VPC的所有者可以将VPC内的子网共享给一个或者多个账号使用。通过共享VPC功能，可以简化网络配置，帮助您统一配置和运维多个账号下的资源，有助于提升资源的管控效率，降低运维成本。更多信息请参见共享VPC。 DNS Private Zones：内网域名是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享内网域名，资源所有者将内网域名同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的内网域名。更多信息请参见共享内网域名。 Resolver Rules：解析器规则是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享转发规则，资源所有者将转发规则同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的转发规则。更多信息请参见共享转发规则。 SCM Cert：证书是云证书管理服务提供共享功能，用户可以将SSL证书同时共享给同一组织单元内的所有成员账号，这些账号可以将共享证书部署到ELB、WAF和CDN等服务，以启用HTTPS协议。更多信息请参见共享证书。 PCA CA：私有CA 是云证书管理服务私有证书管理提供共享功能，用户可以将私有CA同时共享给同一组织单元内的所有成员账号，这些账号可以使用共享CA来签发证书。更多信息请参见共享私有CA。 ER Instances：实例是暂无 FunctionGraph Function：函数是基于资源访问管理（Resource Access Manager，简称RAM）服务，函数工作流服务可以实现跨账号共享函数，资源所有者将函数同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的函数。更多信息请参见共享函数。父主题：附录

资源访问管理 RAM 附录

资源访问管理 RAM-查询审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)，才可在OBS桶里面查看历史文件。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

资源访问管理 RAM 审计

资源访问管理 RAM-支持共享的云服务和资源类型

支持共享的云服务和资源类型表1 支持共享的云服务和资源类型云服务资源类型是否支持主动退出共享应用场景 VPC Subnet：子网是共享VPC功能支持多个账号在一个集中管理、共享的VPC内创建云资源，比如ECS、ELB、RDS等。VPC的所有者可以将VPC内的子网共享给一个或者多个账号使用。通过共享VPC功能，可以简化网络配置，帮助您统一配置和运维多个账号下的资源，有助于提升资源的管控效率，降低运维成本。更多信息请参见共享VPC。 DNS Private Zones：内网域名是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享内网域名，资源所有者将内网域名同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的内网域名。更多信息请参见共享内网域名。 Resolver Rules：解析器规则是基于资源访问管理（Resource Access Manager，简称RAM）服务，云解析服务可以实现跨账号共享转发规则，资源所有者将转发规则同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的转发规则。更多信息请参见共享转发规则。 SCM Cert：证书是云证书管理服务提供共享功能，用户可以将SSL证书同时共享给同一组织单元内的所有成员账号，这些账号可以将共享证书部署到ELB、WAF和CDN等服务，以启用HTTPS协议。更多信息请参见共享证书。 PCA CA：私有CA 是云证书管理服务私有证书管理提供共享功能，用户可以将私有CA同时共享给同一组织单元内的所有成员账号，这些账号可以使用共享CA来签发证书。更多信息请参见共享私有CA。 ER Instances：实例是暂无 FunctionGraph Function：函数是基于资源访问管理（Resource Access Manager，简称RAM）服务，函数工作流服务可以实现跨账号共享函数，资源所有者将函数同时共享给多个其他账号使用，资源使用者接受共享邀请后就可以访问和使用共享的函数。更多信息请参见共享函数。

资源访问管理 RAM

资源访问管理 RAM-约束与限制

约束与限制 RAM的使用限制如下表所示，如果默认配额无法满足业务需求，您可以申请扩大配额，具体请参见：调整配额。不同类型的账号之间无法共享资源，具体说明如下：华为云中国站与国际站账号之间无法共享资源。华为内部账号与外部账号之间无法共享资源。表1 RAM使用限制类型默认配额是否支持修改单账号创建的资源共享实例数量 1000 是单个资源共享实例关联的资源数量 50 是单个资源共享实例关联的权限数量 50 是单个资源共享实例关联的资源使用者数量 50 是单账号中所有资源共享实例关联的资源数量 5000 是单账号中所有资源共享实例关联的权限数量 5000 是单账号中所有资源共享实例关联的资源使用者数量 5000 是单账号中待接受的共享邀请数量（发送邀请方）说明：该配额限制仅适用于给组织外的账号发送共享邀请的情况。对于接受邀请的账号中可存在的待接受共享邀请数量没有配置限制。当已启用与组织共享资源开关，同一组织内的账号之间进行的资源共享不涉及邀请。 50 是单个资源共享实例的标签数 20 是被删除的资源共享实例的保留时间 48小时否被解除的资源共享关联保留时间 48小时否单个资源使用者可以被共享的VPC子网最大数量 100 否

资源访问管理 RAM

资源访问管理 RAM-权限管理:RAM权限

RAM权限默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户可以基于已有权限进行对应的操作。 RAM部署时不区分物理区域，为全局级服务。授权时，在全局级服务中设置权限，访问RAM时，不需要切换区域。根据授权精细程度分为角色和策略。角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。如表1所示，包括了RAM的所有系统权限。表1 RAM系统权限权限名称描述 RAM FullAccess 资源访问管理服务所有权限。 RAM ReadOnlyAccess 资源访问管理服务只读权限。 RAM ResourceShareParticipantAccess 资源访问管理服务资源共享邀请的处理权限。

资源访问管理 RAM

资源访问管理 RAM-什么是资源访问管理:产品功能

产品功能资源共享管理使用RAM服务，资源所有者可以集中管理资源的共享。资源所有者可以将指定资源共享给指定对象（包括组织、OU以及账号），资源所有者还可以随时更新或删除资源共享实例。资源使用者可以接受或拒绝共享邀请，查看当前正在使用的共享信息，以及在共享资源使用结束后退出共享。共享信息查询资源所有者可以查询当前已经共享的资源信息，以及资源使用者的相关信息。资源使用者可以查询当前正在使用的共享资源信息，以及资源所有者信息。与组织共享资源 RAM启用与组织共享资源功能后，资源所有者可以将指定资源共享给组织、OU或成员账号，组织内的账号默认接受该共享邀请。

资源访问管理 RAM

资源访问管理 RAM-什么是资源访问管理:简介

简介资源访问管理（Resource Access Manager，简称RAM）服务为用户提供安全的跨账号共享资源的能力。如果您有多个华为云账号，您可以创建一次资源，并使用RAM服务将该资源共享给其他账号使用，这样您就不需要在每个账号中创建重复的资源。支持共享的云服务和资源类型请参见：支持共享的云服务和资源类型。如果您的账号由组织管理，则您可以直接与组织、OU或成员账号共享资源，还可以输入账号ID与账号共享，无论账号是否属于组织。

资源访问管理 RAM

资源访问管理 RAM-支持审计的关键操作:支持审计的关键操作列表

支持审计的关键操作列表表1 云审计服务支持的RAM操作列表操作名称资源类型事件名称创建权限 Permission createPermission 删除权限 Permission deletePermission 更新权限 Permission updatePermission 创建资源共享实例 ResourceShare createResourceShare 删除资源共享实例 ResourceShare deleteResourceShare 更新资源共享实例 ResourceShare updateResourceShare 为资源共享实例中包含的资源类型添加或替换RAM权限 ResourceShare associateResourceSharePermission 取消资源共享实例关联的RAM权限 ResourceShare disassociateResourceSharePermission 向资源共享实例增加角色和资源 ResourceShare associateResourceShare 取消角色和资源与资源共享实例的关联 ResourceShare disassociateResourceShare 接受资源共享实例的邀请 ResourceShare acceptResourceShareInvitation 拒绝资源共享实例的邀请 ResourceShare rejectResourceShareInvitation 开启与组织的共享 ResourceShare enableShareWithOrganization 关闭与组织的共享 ResourceShare disableShareWithOrganization

资源访问管理 RAM

资源访问管理 RAM-启用与组织共享资源:操作场景

操作场景当您的帐号由华为云Organizations管理时，您可以利用此优势更轻松地共享资源。如果您的帐号在组织中，则您可以与单个帐号共享，也可以与组织或OU中的所有帐号共享，而不必枚举每个帐号。要在组织内共享资源，您还需先使用RAM控制台来启用与组织共享资源。当您在组织中共享资源时，您组织或OU中的帐号无需接受邀请即可访问和使用共享资源。如果您不再需要与整个组织或OU共享资源，您可以禁用与组织共享资源，该功能禁用后，创建共享时指定的使用者将无法选择组织。在启用与组织共享资源期间，如果组织的成员帐号主动退出组织或被管理员移出组织，该成员帐号创建的资源共享实例中将解绑同组织的资源使用者；组织中共享给此成员帐号的资源共享实例中将解绑此成员帐号。在启用与组织共享资源期间，如果组织管理员删除某个OU，则共享给此OU的资源共享实例中将解绑此OU。在启用与组织共享资源期间，如果删除整个组织，则与组织共享的资源共享实例中将解绑组织内的全部帐号。

资源访问管理 RAM

资源访问管理 RAM-接受/拒绝共享邀请:操作场景

操作场景要访问共享资源，资源所有者必须将您指定为共享资源的使用者。如果资源所有者与您属于同一组织，且启用“启用与组织共享资源”功能，则您将自动获得共享资源的访问权限，无需接受邀请。如果资源所有者与您不属于同一组织，或者属于同一组织但未启用“启用与组织共享资源”功能，则您将收到加入资源共享实例的邀请。如果您收到加入资源共享实例的邀请，则必须接受该邀请才能访问其共享的资源。这些资源可直接在每个资源的管理控制台上使用。如果您拒绝资源共享实例的邀请，您将无法访问此共享资源。资源共享实例的邀请默认保留7天，如果您在到期前未接受邀请，系统会自动拒绝邀请，如您还需使用共享资源，请再次创建共享实例以生成新的邀请。

资源访问管理 RAM 使用共享资源

云服务器内容精选

访问管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线