统一身份认证服务 IAM-华为云

统一身份认证服务 IAM-敏感操作:敏感操作有哪些

敏感操作有哪些当您开启操作保护后，进行以下操作时，需要进行身份认证。表1 各云服务定义的敏感操作类型服务敏感操作计算弹性云服务器（E CS ）关闭、重启、删除弹性云服务器重置弹性云服务器密码卸载磁盘解绑弹性公网IP 裸金属服务器（BMS）关机、重启裸金属服务器重置裸金属服务器的密码卸载磁盘解绑弹性公网IP 弹性伸缩（AS）删除伸缩组存储对象存储服务（OBS）删除桶创建、编辑、删除桶策略配置对象策略创建、编辑、删除桶ACL 配置日志记录配置防盗链增加、编辑桶清单云硬盘服务（EVS）删除云硬盘云备份（CBR）删除存储库删除备份备份恢复删除策略解绑资源接受备份 CDN与智能边缘内容分发网络（CDN）域名下线策略容器云容器引擎（CCE）删除集群应用编排服务（AOS）删除堆栈网络云解析服务（DNS）修改、暂停、删除记录集修改、删除反向解析删除自定义线路虚拟私有云（VPC）释放、解绑弹性公网IP 删除对等连接安全组删除入（出）方向规则修改入（出）方向规则批量删除入（出）方向规则弹性负载均衡（ELB）共享型负载均衡删除负载均衡器删除监听器删除证书删除后端云服务器解绑弹性公网IP 解绑IPv4公网/私有IP 独享型负载均衡删除负载均衡器删除监听器删除证书删除后端云服务器解绑弹性公网IP 解绑IPv4公网/私有IP 解绑IPv6地址移出IPv6共享带宽弹性公网IP（EIP）删除共享带宽释放、解绑弹性公网IP 批量释放、批量解绑弹性公网IP 网络虚拟专用网络（VPN）删除VPN连接退订包周期VPN网关安全与合规 SSL证书管理（SCM）删除证书吊销证书管理与监管统一身份认证服务（ IAM ）关闭操作保护关闭登录保护修改手机号修改邮件地址修改登录密码修改登录保护验证方式删除IAM用户停用IAM用户删除委托删除用户组删除策略删除授权新增访问密钥删除访问密钥停用访问密钥删除项目修改访问密钥保护状态管理与监管云日志服务（LTS）删除日志流/组卸载ICAgent 应用服务分布式缓存服务（DCS）重置密码删除实例清空数据专属云专属分布式存储服务（DSS）删除磁盘数据库云数据库 RDS for MySQL 重置管理员密码删除数据库实例删除数据库备份通过备份文件恢复到已有实例按指定时间点恢复到已有实例切换主备节点修改数据库端口删除数据库账号删除数据库修改实例内网IP 解绑弹性公网IP 下载全量备份文件数据库云数据库 RDS for PostgreSQL 重置管理员密码删除数据库实例删除数据库备份切换主备节点修改数据库端口修改实例内网IP 解绑弹性公网IP 下载全量备份文件数据库云数据库 GaussDB (for MySQL) 删除实例重启实例重启节点删除只读节点解绑弹性公网IP 删除数据库重置数据库账号密码删除数据库账号重置管理员密码修改内网域名修改读写内网地址将数据库实例恢复到指定时间点数据库文档数据库服务（DDS）重置密码重启、删除实例重启节点副本集主备切换删除安全组规则申请Shard或Config节点IP 备份恢复到当前实例备份恢复到已有实例包周期实例转按需计费 EI 企业智能数据仓库服务 GaussDB(DWS) 扩容、调整大小重启节点修复重置密码 MapReduce服务（ MRS ）集群删除集群按需转包周期集群停止所有组件同步配置节点停止所有角色隔离主机取消隔离主机组件：停止服务重启服务滚动重启服务停止实例重启实例滚动重启实例入服退服保存服务配置补丁：安装补丁卸载补丁回滚补丁云通信消息&短信（Message& SMS ）签名删除模板删除获取app_secret 指定手机号、邮件地址绑定华为账号指定IP白名单续订套餐包软件开发生产线需求管理 CodeArts Req 删除项目删除项目成员修改成员信息修改、删除权限修改项目基本信息删除工作项用户服务费用中心订单支付订单退订资源释放

统一身份认证服务 IAM 安全设置

统一身份认证服务 IAM-查询审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

统一身份认证服务 IAM 查看IAM操作记录

统一身份认证服务 IAM-访问控制:允许访问的VPC Endpoint

允许访问的VPC Endpoint 仅在“API访问”页签中可进行配置。限制用户只能从具有设定ID的VPC Endpoint访问华为云API，例如：0ccad098-b8f4-495a-9b10-613e2a5exxxx。若未进行访问控制配置，则默认用户从所有VPC Endpoint都能访问API。图2 允许访问的VPC Endpoint “允许访问的IP地址区间”、“允许访问的IP地址区间或网段”和“允许访问的VPC Endpoint”，如果同时设置，只要满足其中一种即可允许访问。单击“恢复默认值”，可以将“允许访问的IP地址区间”恢复为默认值，即0.0.0.0~255.255.255.255，同时将“允许访问的IP地址区间或网段”、“允许访问的VPC Endpoint ”清空。

统一身份认证服务 IAM 安全设置

统一身份认证服务 IAM-支持IAM资源粒度授权的云服务

支持IAM资源粒度授权的云服务如果您需要授予IAM用户特定资源的相应权限，可以创建自定义策略并选择特定资源，该IAM用户将仅拥有对应资源的使用权限。例如创建自定义策略时，选择资源类型并添加资源路径：OBS:*:*:bucket:TestBucket*，即可授予IAM用户以TestBucket命名开头的桶相应权限。下表为当前华为云支持资源级别授权的云服务及对应资源类型。表1 支持资源粒度授权的云服务及其资源类型服务资源类型资源名称弹性云服务器（ECS） instance 弹性云服务器云硬盘（EVS） volume 云硬盘对象存储服务（OBS） bucket 桶 object 对象虚拟私有云（VPC） publicip 弹性公网IP 容器镜像服务（SWR） chart chart repository 仓库 instance 实例智能边缘平台（IEF） product 产品 node 边缘节点 group 边缘节点组 deployment 应用部署 batchjob 批量作业 application 应用模板 appVersion 应用模板版本 IEFInstance IEF实例 cluster 集群数据湖探索（ DLI ） queue 队列 database 数据库 table 表 column 列 datasourceauth 安全认证信息 jobs 作业 resource 资源包 elasticresourcepool 弹性资源池 group 资源包组图引擎服务（GES） graphName 图名称 backupName 备份名称 metadataName 元数据名称函数工作流服务（FunctionGraph） function 函数 trigger 触发器分布式消息服务（DMS） rabbitmq RabbitMQ实例 kafka Kafka实例分布式缓存服务（DCS） instance 实例文档数据库服务（DDS） instanceName 实例名称设备接入（IoTDA） app 资源空间ID 资源编排服务（ RFS ） stack 堆栈数据加密服务（KMS） KeyId 密钥ID 自动驾驶云服务（Octopus） dataset 数据集 replay 视频回放数据仓库服务（DWS） cluster 集群云堡垒机（CBH） instanceId 实例ID IAM身份中心（IAM Identity Center） account 账号 permissionSet 权限集 instance 实例应用与数据集成平台 ROMA Connect graph 业务流图父主题：自定义策略

统一身份认证服务 IAM 自定义策略

统一身份认证服务 IAM-约束与限制

约束与限制 IAM中的用户数、用户组数等有限定的配额，其中“是否支持修改”列标示“√”的，表示该限制项可以修改。如果当前资源配额无法满足业务需要，您可以申请扩大配额，具体方法请参见：如何修改配额。限制分类限制项限制值是否支持修改用户 IAM用户数 50 √ 用户名的字符数 32 x 用户可加入的用户组数 10 x 用户可创建的访问密钥（AK/SK）数 2 x 用户可绑定的虚拟MFA设备数 1 x 一个用户基于企业项目可绑定的权限数（包括系统权限和自定义策略） 500 √ 用户组用户组数 20 √ 用户组名的字符数 128 x 一个用户组中可添加的用户数账号下的IAM用户数 x 一个用户组基于IAM项目可绑定的权限数（包括系统权限和自定义策略） 200 √ 一个用户组基于企业项目可绑定的权限数（包括系统权限和自定义策略） 500 √ 项目项目数 10 √ 策略策略名称的字符数 128 x 自定义策略自定义策略个数 200 √ 字符数 6144 x Statement 无限制 x Action 无限制 x Resource 无限制 x Condition 无限制 x 委托委托数 50 √ 委托名称的字符数 64 x 一个委托可绑定的权限数（包括系统权限和自定义策略） 200 √ 身份提供商数量 10 √ 名称字符数 64 x 账号中所有身份提供商的映射规则总数 10 √ 联邦虚拟用户绑定的用户组数 100 x 联邦虚拟用户的用户名的字符数 255 x

统一身份认证服务 IAM

统一身份认证服务 IAM-如何控制IAM用户访问控制台:操作步骤

操作步骤登录统一身份认证服务控制台。在左侧导航窗格中，选择“安全设置”，单击“访问控制”页签。访问控制仅对账号下的IAM用户生效，对账号本身不生效。在“访问控制”界面中，选择“控制台访问”页签，设置允许访问的IP地址或网段。 “允许访问的IP地址区间”：限制用户只能从设定范围内的IP地址登录。 “允许访问的IP地址或网段”：限制用户只能从设定的IP地址或网段登录。例如：10.10.10.10/32 “允许访问的IP地址区间”和“允许访问的IP地址或网段”同时设置时只要满足其中一种即可允许访问。单击“应用”。

统一身份认证服务 IAM IAM用户管理类

统一身份认证服务 IAM-区域和可用区:什么是区域、可用区？

什么是区域、可用区？区域和可用区用来描述数据中心的位置，您可以在特定的区域、可用区创建资源。区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。图1阐明了区域和可用区之间的关系。图1 区域和可用区目前，华为云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。更多信息请参见华为云全球站点。

统一身份认证服务 IAM 其他问题

统一身份认证服务 IAM-区域和可用区:如何选择区域？

如何选择区域？选择区域时，您需要考虑以下几个因素：地理位置一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。在非洲地区有业务的用户，可以选择“非洲-约翰内斯堡”区域。在拉丁美洲地区有业务的用户，可以选择“拉美-圣地亚哥”区域。 “拉美-圣地亚哥”区域位于智利。资源的价格不同区域的资源价格可能有差异，请参见华为云服务价格详情。

统一身份认证服务 IAM 其他问题

统一身份认证服务 IAM-分配委托权限（被委托方操作）:操作流程

操作流程以B账号将委托分配给IAM用户进行管理为例，说明使用IAM的用户授权功能，实现分配委托以及对委托进行精细授权的操作方法，委托权限分配完成后，B账号中的IAM用户通过切换角色的方式，可以切换到A账号中，管理委托方授权的资源。B账号需要提前获取委托公司的华为账号名称、所创建的委托名称以及委托的ID。创建用户组并授权。 B账号在统一身份认证服务左侧导航窗格中，单击“用户组”。在“用户组”界面中，单击“创建用户组”。输入“用户组名称”，例如“委托管理”。单击“确定”。返回用户组列表，用户组列表中显示新创建的用户组。单击新建用户组右侧的“授权”，进入授权界面。如果需要用户仅管理一个特定的委托，请执行以下步骤对委托进行精细授权。如果需要用户管理所有委托，请跳过该步骤，直接执行下一步。在选择策略页面，单击权限列表右上角“新建策略”。输入“策略名称”，例如“管理A公司的委托1”。 “策略配置方式”选择“JSON视图”。在“策略内容”区域，填入以下内容： { "Version": "1.1", "Statement": [ { "Action": [ "iam:agencies:assume" ], "Resource": { "uri": [ "/iam/agencies/b36b1258b5dc41a4aa8255508xxx..." ] }, "Effect": "Allow" } ] } "b36b1258b5dc41a4aa8255508xxx..."需要替换为待授权委托的ID，需要提前向委托方获取，其他内容不需修改，直接拷贝即可。单击“下一步”，继续完成授权。选择上一步中创建的自定义策略“管理A公司的委托1”，或者“Agent Operator”权限。自定义策略：用户仅能管理指定ID的委托，不能管理其他委托。 “Agent Operator”权限：用户可以管理所有委托。选择授权作用范围。单击“确定”。创建用户并加入用户组。在统一身份认证服务左侧导航窗格中，单击“用户” 在“用户”界面，单击“创建用户”。在“创建用户”界面，输入“用户名”“邮箱”。 “访问方式”选择“管理控制台访问”。 “凭证类型”选择“首次登录时设置”。 “登录保护”选择“开启”，并选择身份验证方式，单击“下一步”。在“加入用户组”页面，选择步骤2中创建的用户组“委托管理”，单击“创建用户”。切换角色。使用步骤3创建的用户，使用“IAM用户登录”方式，登录华为云。登录方法，请参见：IAM用户登录。在控制台页面，右上方的用户名中，选择“切换角色”。图1 切换角色在“切换角色”页面中，输入委托方的账号名称，输入账号名称后，系统将会按照顺序自动匹配委托名称。如果自动匹配的是没有授权的委托，系统将提示没有权限访问，可以删除委托名称，在下拉框中选择已授权的委托名称。单击“确定”，切换至委托方账号中。

统一身份认证服务 IAM 常用委托配置案例

统一身份认证服务 IAM-多运维人员权限设置案例:步骤3：IAM用户登录并验证权限

步骤3：IAM用户登录并验证权限 IAM用户登录有多种方式，如下步骤仅讲述其中一种，更多登录方式请参见：登录华为云。在华为云登录页面，单击右下角的“IAM用户登录”。在“IAM用户登录”页面，使用新创建的用户登录，输入账号名、用户名及用户密码。图8 IAM用户登录账号名为该IAM用户所属华为云账号的名称。用户名和密码为账号在IAM创建用户时输入的用户名和密码。登录成功后，进入华为云控制台，请先切换至授权区域“华东-上海二”。在“服务列表”中选择虚拟私有云VPC 、弹性负载均衡ELB，云解析服务DNS ，可以进入这些服务的主页面并进行管理操作，权限配置成功。在“服务列表”中选择除以上服务外的任一服务，系统提示权限不足，权限配置成功。切换区域至除“华东-上海二”的任一区域，无法进入任何服务主页面，包括虚拟私有云VPC、弹性负载均衡ELB，云解析服务DNS，表示权限配置成功。

统一身份认证服务 IAM

统一身份认证服务 IAM-实践步骤:开通并创建企业项目

开通并创建企业项目通过本节在企业管理控制台创建名为“企业项目A”、“企业项目B”的企业项目。如果您已开通企业项目，请直接操作步骤 4。 A公司使用注册的华为账号登录华为云控制台，单击“用户名”，选择“基本信息”。在基本信息页面，单击“开通企业项目”。如果您为未实名认证的账号，请先进行企业实名认证。在开通企业项目页面，勾选“我已阅读并同意《华为云企业管理使用协议》”，单击“申请开通”，开通企业项目。在华为云控制台，单击“企业”，选择“项目管理”。图2 进入企业管理服务在企业项目管理页面，单击“创建企业项目”。图3 进入创建企业项目页面在创建企业项目页面，输入“名称”为“企业项目A”，单击“确定”，完成“企业项目A”创建。重复步骤5~6，创建“企业项目B”。创建企业项目后，项目管理列表中显示新创建的“企业项目A”和“企业项目B”。

统一身份认证服务 IAM 跨地域的指定资源授权案例（原多项目管理案例）

统一身份认证服务 IAM-跨账号的资源授权与管理:被委托方跨账号管理

被委托方跨账号管理当A账号与B账号创建委托关系后，即B账号为被委托方，B账号通过切换角色的方法，可以切换到A账号中，管理委托方授权的资源。B账号需要提前获取A账号的华为账号名称以及所创建的委托名称。 B账号登录华为云，进入控制台。在右上方的用户名中，选择“切换角色”。图3 切换角色在“切换角色”页面中，输入委托方的账号名称，输入账号名称后，系统将会按照顺序自动匹配委托名称。图4 切换角色单击“确定”，切换至委托方A账号中。

统一身份认证服务 IAM

统一身份认证服务 IAM-跨账号的资源授权与管理:解决方案

解决方案针对以上企业需求，可以使用IAM的委托功能来实现跨账号的资源授权与管理。 A账号在IAM控制台创建一个委托，指定委托的使用者为B账号，并将需要代运维的资源授权给这个委托。 B账号进一步授权，将A账号委托的资源分配给账号下专职管理委托的IAM用户，让IAM用户帮助管理。当合作关系发生变更时，A账号随时可以修改或者删除这个委托，B账号以及账号下可以管理该委托的用户对该委托的使用权限将自动修改或者撤销。图1 跨账号授权模型

统一身份认证服务 IAM

统一身份认证服务 IAM-配置弹性云服务器ECS委托:解决方案

解决方案针对以上应用场景，可使用IAM对ECS云服务的委托来获取临时访问密钥。在IAM上对ECS云服务授权，并对应用程序所在的ECS实例进行授权委托管理。ECS实例获得委托权限之后，应用程序可申请指定委托的临时访问密钥，从而以临时访问密钥为凭证安全访问华为云资源。详细方案如下：创建ECS云服务委托。账号在IAM控制台创建委托，指定委托对象为ECS云服务。委托创建时，选择权限策略，选择可访问的资源范围，不同的委托对应不同的权限策略。 ECS实例配置委托。在ECS实例的配置项中选择上一步创建的委托，一个ECS实例只可以选择一个委托。获取委托的临时凭证。ECS实例配置了委托参数后，就获得了委托权限。此时，ECS实例上运行的应用程序可获取委托的临时访问密钥AK、SK。拥有临时访问密钥的应用程序可与华为云服务进行交互，交互行为遵循账号授予的权限策略和资源使用范围。

统一身份认证服务 IAM 常用委托配置案例

统一身份认证服务 IAM-配置弹性云服务器ECS委托:应用场景

应用场景假如您是一位开发者，开发了一个应用程序，这个应用程序运行在ECS实例上，应用程序的代码中涉及调用API访问华为云服务。此时，因为华为云服务要求访问请求方出示访问凭证，所以您的API调用将会面临提供访问凭证的问题。访问凭证按照时效性可分为永久凭证和临时凭证，相较于永久性访问凭证，例如用户名和密码，临时访问密钥因为有效期短且刷新频率高，所以安全性更高。因此，您的应用程序若想要以更安全的方式访问云服务，需要获取临时访问凭证，而IAM的委托功能，则支持通过ECS委托获取临时访问密钥。图1 应用程序获取临时访问密钥如图1所示，以访问数据库服务举例。因为数据库服务要求访问请求方提供访问凭证，所以应用程序需要获得委托的临时访问密钥AK、SK。应用程序与ECS元数据服务通信，ECS元数据服务再与IAM通信，拿到临时AK、SK后返回给应用程序。然后，应用程序将临时AK、SK作为访问凭证出示给数据库服务，数据库服务收到请求后，先校验访问凭证是否合法，凭证通过校验后，ECS实例上的应用程序才能访问数据库服务。

统一身份认证服务 IAM 常用委托配置案例

云服务器内容精选

统一身份认证服务 IAM

7*24

备案

专业服务

退订

建议反馈

售前咨询热线