华为云用户手册

应用场景 用户行为分析。 在网站、App和游戏中，对用户的点击、浏览时长等使用数据进行收集，导入到云 数据仓库 ClickHouse中，构建用户特征分析大宽表。利用云ClickHouse的优异查询性能，分析系统进行多维度、多模式分析时，可以在亚秒级内响应，快速分析出用户行为特征和规律，为精准营销和会员转化等业务提供有效支持。 企业经营分析。 在企业经营分析中，把规模庞大的业务数据导入到云数据仓库ClickHouse，对数亿记录或更大规模的大宽表和数百维度的查询，都能在亚秒级内响应，得到查询结果。让客户随时进行个性化统计和不间断的分析，辅助商业决策。 访客来源分析展示。 通过批量离线计算对用户访问日志中的用户行为进行关联，生成用户行为路径大宽表同步到ClickHouse，基于ClickHouse构建交互式访客来源探索分析可视化系统。 BI报表。 利用ClickHouse构建实时交互查询报表，实时分析订单、收入、用户数等核心业务指标。 用户分群统计。 构建用户信息表，实时选择用户属性标签数据和筛选条件，通过大量的数据记录进行人群特征统计分析。

HBase产品简介 HBase是一个稳定可靠，性能卓越、可伸缩、面向列的分布式 云存储 系统，适用于海量数据存储以及分布式计算的场景，用户可以利用HBase搭建起TB至PB级数据规模的存储系统，对数据轻松进行过滤分析，毫秒级得到响应，快速发现数据价值。 HBase适用场景有： 海量数据存储。 适用于TB～PB级以上的数据存储，提供动态伸缩能力，方便用户在性能或容量需要改变时，改变集群资源，轻松构建企业海量数据存储系统。 实时查询。 HBase的列式KeyValue存储机制，适用于企业用户明细数据即时查询，基于主键的低时延点查，响应时延一般为秒级或毫秒级，方便用户对数据的实时分析。 HBase的架构和详细原理介绍，请参见：https://hbase.apache.org/book.html

集群管理功能 CloudTable服务是华为云提供的一项分布式、可扩展的KeyValue数据存储服务。CloudTable提供Web官网服务界面，CloudTable HBase集群管理的具体功能如下： 创建集群：在CloudTable服务界面完成集群的创建。可以选择计算存储分离架构和计算资源动态调整，尽可能为用户降低成本。 管理集群：对创建的集群进行管理。 指标监控：集群运行中，收集各项监控数据，上报 云监控 （Cloud Eye），向用户以图形化的方式呈现集群运行状况。当指标出现异常时，通过 消息通知 用户和管理员，及时人工介入。 删除集群：当用户不再需要集群时，可选择删除集群。此操作为高危操作，删除集群可能导致数据丢失，因此在执行删除操作之前，请确认不存在正在运行的业务，所有数据都已经保存。 重启集群：当修改完集群HBase参数后，或者因长时间不重启导致系统运行缓慢等情况下，用户需要重启集群。重启操作将有可能会导致正在运行中的业务数据丢失，如果需要执行重启操作，请确定不存在正在运行的业务，所有数据都已经保存。 查询告警：集群运行异常或系统故障时，CloudTable服务会收集故障信息并上报网管系统，维护人员可根据用户提供的告警信息定位问题原因。 日志查询：记录用户对集群操作信息，便于集群运行异常时定位分析问题原因。

应用场景 报表分析 实时看板（Dashboards）。 面向企业内部分析师和管理者的报表。 面向用户或者客户的高并发报表分析（Customer Facing Analytics）。比如面向网站主的站点分析、面向广告主的广告报表，并发通常要求成千上万的QPS ，查询延时要求亚秒级响应。电商公司在广告报表中使用Doris ，每天写入100亿行数据，查询并发QPS上万，99分位的查询延时150ms。 即席查询（Ad-hoc Query）：面向分析师的自助分析，查询模式不固定，要求较高的吞吐。Doris构建了增长分析平台（Growing Analytics，GA），利用用户行为数据对业务进行增长分析，平均查询延时10s，95分位的查询延时30s以内，每天的SQL查询量为数万条。 统一数仓构建 ：一个平台满足统一的数据仓库建设需求，简化繁琐的大数据软件栈。Doris构建的统一数仓，替换了原来由Spark、Hive、Kudu、HBase、Phoenix组成的旧架构，架构大大简化。 数据湖 联邦查询：通过外表的方式联邦分析位于Hive中的数据，在避免数据拷贝的前提下，查询性能大幅提升。

CloudTable权限 默认情况下，管理员创建的 IAM 用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 CloudTable部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问CloudTable时，需要先切换至授权区域。 如表1所示，包括了CloudTable的所有系统角色。由于云各服务之间存在业务交互关系， 表格存储服务 的角色依赖其他服务的角色实现功能。因此给用户授予 表格存储 服务的角色时，需要同时授予依赖的角色，表格存储服务的权限才能生效。 表1 CloudTable系统角色 系统角色 描述 类别 依赖关系 cloudtable Administrator 表格存储服务的管理员权限。 系统角色 依赖Tenant Guest和Server Administrator角色，在同项目中勾选依赖的角色。 表2列出了CloudTable常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 CloudTable操作与系统策略关系 模式 操作 cloudtable Administrator 集群模式 创建集群 √ 重启集群 √ 扩容集群 √ 删除集群 √ 参数配置 √ 查看CloudTable服务集群列表、集群详细信息 √ 查看监控信息 √ 查看审计日志 √

ClickHouse产品优势 性能优势：ClickHouse采用列存储，相同列的数据属于同一类型，有利于获得更高的数据压缩比。通常可以达到10：1的压缩比，大幅降低存储成本和读取开销，提高查询性能。 副本机制：ClickHouse利用Zookeeper，通过ReplicatedMergeTree引擎（Replicated系列引擎）实现了副本机制。用户在创建表时，可指定存储引擎，选择该表是否进行复制。 简单易用：通过控制台分钟级构建ClickHouse分析集群，使您无需关注底层基础设施，利用完善的SQL语句支持，专注于数据价值的分析。 极致性能：使用分布式大规模并行处理MPP框架，并充分利用所有可用的硬件，以尽可能快地处理每个查询。查询效率数倍于传统数据仓库，单个查询的峰值处理性能高达每秒数TB。 安全可靠：用户集群独立部署，支持VPC私有网络隔离，数据访问安全多重保障。 成本更低：利用云端高性价比设备，构建极具成本优势的托管ClickHouse集群。

ClickHouse集群管理功能 集群创建：在CloudTable集群管理界面完成集群的创建。 集群查看：在CloudTable集群管理界面可以查看集群详情。 重启集群：因长时间不重启导致系统运行缓慢等情况下，用户需要重启集群。重启操作将有可能会导致正在运行中的业务数据丢失，如果需要执行重启操作，请确定不存在正在运行的业务，所有数据都已经保存。 删除集群：当用户不再需要集群时，可选择删除集群。此操作为高危操作，删除集群可能导致数据丢失，因此在执行删除操作之前，请确认不存在正在运行的业务，所有数据都已经保存。

审计 云审计 服务（Cloud Trace Service， CTS ）是华为 云安全 解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 CTS可记录的CloudTable操作列表详见云审计服务支持的CloudTable操作列表说明。用户开通云审计服务并创建和配置追踪器后，CTS开始记录操作事件用于审计。关于如何开通云审计服务以及如何查看追踪事件，请参考《云审计服务快速入门》中的相关章节。 CTS支持配置关键操作通知。用户可将与IAM相关的高危敏感操作，作为关键操作加入到CTS的实时监控列表中进行监控跟踪。当用户使用CloudTable服务时，如果触发了监控列表中的关键操作，那么CTS会在记录操作日志的同时，向相关订阅者实时发送通知。

访问控制 您可以使用 统一身份认证 服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。 关于IAM的详细介绍，参考IAM产品介绍。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：不允许某用户组删除集群，仅允许CloudTable基本操作（如创建、查询等）。 如表1所示，包括了CloudTable的所有系统权限。 表1 CloudTable系统角色 系统角色 描述 类别 依赖关系 cloudtable Administrator 表格存储服务的管理员权限。 系统角色 依赖Tenant Guest和Server Administrator角色，在同项目中勾选依赖的角色。

区域和可用区 区域指CloudTable所在的物理位置。 同一区域内可用区之间内网互通，不同区域间内网不互通。 公有云在不同地区有数据中心（例如，北美、欧洲和亚洲）。与此相应，CloudTable可用于不同地区。通过在不同地区开通CloudTable服务，可以将应用程序设计的更接近特定客户的要求，或满足不同地区的法律或其他要求。 每个区域包含许多不同的称为“可用区”的位置，即在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。每个可用区都被设计成不受其他可用区故障的影响，并提供低价、低延迟的网络连接，以连接到同一地区其他可用区。通过使用独立可用区内的CloudTable，可以保护您的应用程序不受单一位置故障的影响。

索引 CloudTable作为大数据存储服务，提供高效的kv随机查询能力。在此基础上，CloudTable服务引入自研的分布式多维标签索引能力，存储格式与计算基于位图进行。用户可以根据自身业务需求来定义HBase表中的哪些字段需要构建标签索引，用户写入数据时将自动生成标签数据。同时，标签索引基于Lucene的语法，提供高效的多维标签查询接口。可应用于用户画像、推荐系统、人工智能、时空数据等场景。 CloudTable服务支持标签索引能力，您只需要创建CloudTable集群，就可以在弹性云服务器（E CS ）上开发客户端应用进行多维标签查询。

使用场景 通常您的业务系统可能使用了华为云的多种云服务，您可以为这些云服务下不同的资源实例分别设置标签，各服务的计费详单会体现这些资源实例设置的标签。如果您的业务系统是由多个不同的应用构成，为同一种应用拥有的资源实例设置统一的标签将很容易帮助您对不同的应用进行使用量分析和成本核算。 对CloudTable来说，标签用于标识购买的集群，对购买的CloudTable集群进行分类。为集群添加标签时，该集群上所有请求产生的计费话单里都会带上这些标签，您可以针对话单报表做分类筛选，进行更详细的成本分析。

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。 华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

StarRocks基本概念 在StarRocks中，数据都以表（Table）的形式进行逻辑上的描述。 StarRocks中的表由行和列构成，每行数据对应用户一条记录，每列数据具有相同的数据类型。所有数据行的列数相同，可以动态增删列。在StarRocks中，一张表的列可以分为维度列（也称为Key列）和指标列（也称为Value列），维度列用于分组和排序，指标列的值可以通过聚合函数sum、count、min、max、hll_union_agg和bitmap_union等累加起来。 列式存储 在StarRocks中，表数据按列存储。物理上，一列数据会经过分块编码、压缩等操作，然后持久化存储到非易失设备上。但在逻辑上，一列数据可以看成是由相同类型的元素构成的一个数组， 一行数据的所有列值在各自的数组中按照列顺序排列，即拥有相同的数组下标。数组下标是隐式的，不需要存储。表中所有的行按照维度列，做多重排序，排序后的位置就是该行的行号。 索引 StarRocks通过前缀索引 (Prefix Index) 和列级索引，能够快速找到目标行所在数据块的起始行号。 加速处理 StarRocks通过预先聚合、分区分桶、物化视图、列级索引等机制实现数据的加速处理。 数据模型 StarRocks支持四种数据模型，分别是明细模型（Duplicate Key Model）、聚合模型（Aggregate Key Model）、更新模型（Unique Key Model）和主键模型（Primary Key Model）。 这四种数据模型能够支持多种数据分析场景，例如 日志分析 、数据汇总分析、实时分析等。创建表时，您需要指定数据模型（Data Model），当数据导入至数据模型时，StarRocks会按照排序键对数据进行排序、处理和存储。四种数据模型介绍如下： 明细模型 明细模型是StarRocks默认的建表模型。如果在建表时未指定任何模型，默认创建明细类型的表。 聚合模型 建表时，支持定义排序键和指标列，并为指标列指定聚合函数。当多条数据具有相同的排序键时，指标列会进行聚合。在分析统计和汇总数据时，聚合模型能够减少查询时所需要处理的数据，提升查询效率。 更新模型 建表时，支持定义主键和指标列，查询时返回主键相同的一组数据中的最新数据。相对于明细模型，更新模型简化了数据导入流程，能够更好地支撑实时和频繁更新的场景。 主键模型 主键模型支持分别定义主键和排序键。数据导入至主键模型的表中时，先按照排序键排序后再存储。查询时返回主键相同的一组数据中的最新数据。相对于更新模型，主键模型在查询时不需要执行聚合操作，并且支持谓词和索引下推，能够在支持实时和频繁更新等场景的同时，提供高效查询。 数据分布 建表时，您可以通过设置合理的分区和分桶，实现数据均匀分布和查询性能提升。数据均匀分布是指数据按照一定规则划分为子集，并且均衡地分布在不同节点上。查询时能够有效裁剪数据扫描量，最大限度地利用集群的并发性能，从而提升查询性能。

StarRocks简介 StarRocks是一款全托管分析型数据仓库，可以灵活创建和管理集群以及数据。使用向量化、MPP架构、CBO、智能物化视图、可实时更新的列式存储引擎等技术实现多维、实时、高并发的数据分析。 StarRocks既支持从各种实时和离线的数据源高效导入数据，同时支持直接分析数据湖上各种格式的数据。 StarRocks兼容MySQL协议，可使用MySQL客户端和常用BI工具对接进行数据分析，同时StarRocks具备水平扩展、高可用、高可靠、易运维等特性，广泛应用于实时数仓、高并发查询、统一分析等场景。更多相关介绍请参见StarRocks。 该组件仅对受邀客户开放，公测时间请关注官网动态。

StarRocks架构 StarRocks整体架构如下图所示，FE和BE节点可以水平无限扩展。 图1 StarRocks架构 表1 StarRocks节点及角色说明 名称 说明 Client Application StarRocks兼容MySQL协议，支持标准SQL语法，用户可通过各类MySQL客户端和常用BI工具对接。 FE StarRocks的前端节点，主要负责管理元数据、管理客户端连接、进行查询规划、查询调度等工作。 BE StarRocks的后端节点，主要负责数据存储和SQL计算等工作。 Leader Leader从Follower中自动选出，FE Leader提供元数据读写服务，Follower和Observer只有读取权限，无写入权限。 Follower Follower只有元数据读取权限，无写入权限，Follower参与Leader选举。 Observer Observer主要用于扩展集群的查询并发能力，可选部署。Observer不参与选主，不会增加集群的选主压力。

请求示例 获取通用存储的数据列表 POST https://{endpoint}/v1.0/{project_id}/common/warehouses/ee9784a5-dde5-4a47-a006-fac074c5bee8/data?offset=0&limit=10 { "data_process_task_ids" : [ "frame-extract-2077" ], "and_tags" : [ 956 ], "and_custom_attributes" : [ "91b64ba4-94ed-445c-96c5-cec74e75555b" ], "file_types" : [ "TEXT", "IMAGE" ], "start_time" : 1701360000000, "end_time" : 1701532799999, "file_name" : "file" }

响应示例 状态码：200 查询成功 获取通用存储的数据列表 { "meta_info" : { "current_time" : "2024-01-02T02:04:22Z" }, "payload" : { "list" : [ { "id" : "APRnj4wBXQ6dkLNQrdKX", "sort" : [ 1703212985450 ], "file_name" : "file_name", "file_type" : "IMAGE", "data_warehouse_id" : "ee9784a5-dde5-4a47-a006-fac074c5bee8", "raw_data_id" : "DPK0003929", "data_process_task_id" : "frame-extract-2077", "file_folder_path" : "frame-extract-2077/camera_1_1698388637796/", "tags" : [ ], "custom_attributes" : [ ], "create_at" : 1701224873612 } ], "page_info" : { "total" : 1, "offset" : 0, "limit" : 1 } } }

请求参数 表3 请求Header参数 参数 是否必选 参数类型 描述 Content-Type 是 String 内容类型。填application/json X-Auth-Token 是 String 用户Token，通过调用IAM服务获取用户Token接口获取（响应消息头中X-Subject-Token的值） 表4 请求Body参数 参数 是否必选 参数类型 描述 create_time_order 否 String 创建时间排序 file_name_order 否 String 文件名排序 data_process_task_ids 否 Array of strings 数据处理任务id列表 raw_data_ids 否 Array of strings 数据包ids start_time 否 Long 开始时间，UTC标准时间毫秒时间戳 end_time 否 Long 结束时间，UTC标准时间毫秒时间戳 file_name 否 String 文件名 file_types 否 Array of strings 文件类型 and_tags 否 Array of strings tag id，多选，且 or_tags 否 Array of strings tag id，多选，或 and_custom_attributes 否 Array of strings 自定义查询条件 id，多选，且 or_custom_attributes 否 Array of strings 自定义查询条件 id，多选，或

URI POST /v1.0/{project_id}/common/warehouses/{data_warehouse_id}/data 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目id，获取方法请参见获取项目ID data_warehouse_id 是 String 通用存储id 表2 Query参数 参数 是否必选 参数类型 描述 offset 否 Integer 查询偏移量 limit 否 Integer 返回个数上限

请求示例 创建导出的数据源为ES时的导出任务 POST https://{endpoint}/v1.0/{project_id}/common/warehouses/dea44f72-4ec2-446e-af50-a141feb41df2/data/export-tasks { "warehouse_params" : { "raw_data_ids" : [ "DPK0402855" ] }, "export_source" : "ES", "bucket_name" : "octopus-test", "bucket_path" : "test/test", "secret_key" : "aWFoYyoqKioqKioqKioqKioqKioqKioqKioqKioqKioqKioqMEwxcw==", "access_key" : "Q0lNVCoqKioqKioqKioqKjlPS1k=", "agreement_confirm" : true } 创建导出的数据源为OBS时的导出任务 POST https://{endpoint}/v1.0/{project_id}/common/warehouses/dea44f72-4ec2-446e-af50-a141feb41df2/data/export-tasks { "warehouse_params" : { "file_paths" : [ "processor-job-554158/test/", "processor-job-554158/test2/" ] }, "export_source" : "OBS", "bucket_name" : "octopus-test", "bucket_path" : "test/test", "secret_key" : "aWFoYyoqKioqKioqKioqKioqKioqKioqKioqKioqKioqKioqMEwxcw==", "access_key" : "Q0lNVCoqKioqKioqKioqKjlPS1k=", "agreement_confirm" : true }

响应示例 状态码：200 创建成功 创建导出的数据源为ES时的导出任务 { "meta_info" : { "current_time" : "2025-05-14T06:43:41Z" }, "payload" : { "item" : { "id" : "99f4bc78-c963-402d-a707-2617016cfd59", "export_task_name" : "test_1747205021909" } } } 创建导出的数据源为OBS时的导出任务 { "meta_info" : { "current_time" : "2025-05-14T06:43:41Z" }, "payload" : { "item" : { "id" : "2cb9650c-a57c-4525-8b81-c202d0ad76e1", "export_task_name" : "test_1747205021909" } } }

响应参数 状态码：200 表5 响应Body参数 参数 参数类型 描述 payload DataWarehouseExportPayload object 实际返回信息 meta_info MetaInfo object 元数据 表6 DataWarehouseExportPayload 参数 参数类型 描述 item DataWarehouseExportTask object 导出任务 表7 DataWarehouseExportTask 参数 参数类型 描述 id String 导出任务id export_task_name String 导出任务名称 表8 MetaInfo 参数 参数类型 描述 current_time String 请求时间，UTC时间格式，时间为UTC标准时间

响应示例 状态码为 201 时: 创建成功。 { "credential": { "access": "NZFAT5VNWEJDGZ4PZ...", "expires_at": "2020-01-08T03:50:07.574000Z", "secret": "riEoWsy3qO0BvgwfkoLVgCUvzgpjBBcvdq...", "securitytoken": "gQpjbi1ub3J0aC00jD4Ej..." } }

请求示例 填写"token"参数。包含tokenId（即token）和临时访问密钥和securitytoken的有效期。 POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens { "auth": { "identity": { "methods": [ "token" ], "token": { "id": "MIIEIgYJKoZIhvc...", "duration_seconds": 900 } } } } 不填写“token”参数（请求头中需要X-Auth-Token）。 POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens { "auth": { "identity": { "methods": [ "token" ] } } } 填写“policy”参数。即用户自定义策略的信息，用于限制获取到的临时访问密钥和securitytoken的权限（当前仅适用限制OBS服务的权限）。如果填写此参数，则临时访问密钥和securitytoken的权限为：原Token具有的权限和policy参数限制的权限交集。 POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens { "auth": { "identity": { "methods": [ "token" ], "policy": { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "obs:object:GetObject" ], "Resource": [ "OBS:*:*:object:*" ], "Condition": { "StringEquals": { "g:DomainName": [ "DomainNameExample" //示例，表示限制条件值，根据实际情况填写 ] } } } ] }, "token": { "duration_seconds": 900 } } } }

响应参数 表8 响应Body参数 参数 参数类型 描述 credential Object 认证结果信息。 表9 credential 参数 参数类型 描述 expires_at String AK/SK和securitytoken的过期时间。响应参数为UTC时间格式，北京时间为UTC+8小时。 如返回： "expires_at": "2020-01-08T02:56:19.587000Z" 北京时间：2020-01-08 10:56:19.587 access String 获取的AK。 secret String 获取的SK。 securitytoken String securitytoken是将所获的AK、SK等信息进行加密后的字符串。

功能介绍 该接口可以用于通过token来获取临时AK/SK和securitytoken。临时AK/SK和securitytoken是系统颁发给IAM用户的临时访问令牌，有效期可在15分钟至24小时范围内设置，过期后需要重新获取。临时AK/SK和securitytoken遵循权限最小化原则。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。 使用获取到的临时AK/SK和securitytoken作为凭证访问云服务，临时AK/SK和securitytoken两者必须同时使用，请求头中需要添加“x-security-token”字段，使用方法详情请参考：使用临时AK/SK做签名。

响应示例 状态码为 201 时: 创建成功。 示例 1：获取IAM用户名为“IAMUser”，密码为“IAMPassword”，所属账号名为“IAMDomain”，作用范围为整个账号的Token。 响应Header参数（获取到的Token）： X-Subject-Token:MIIatAYJKoZIhvcNAQcCoIIapTCCGqECAQExDTALB... 响应Body参数： { "token": { "expires_at": "2020-01-04T09:08:49.965000Z", "mfa_authn_at": "2020-01-03T09:08:49.965000Z", "methods": [ "password", "totp" ], "catalog": [ { "endpoints": [ { "id": "33e1cbdd86d34e89a63cf8ad16a5f...", "interface": "public", "region": "*", "region_id": "*", "url": "https://iam.myhuaweicloud.com/v3.0" } ], "id": "100a6a3477f1495286579b819d399...", "name": "iam", "type": "iam" }, { "endpoints": [ { "id": "29319cf2052d4e94bcf438b55d143...", "interface": "public", "region": "*", "region_id": "*", "url": "https://bss.sample.domain.com/v1.0" } ], "id": "c6db69fabbd549908adcb861c7e47...", "name": "bssv1", "type": "bssv1" } ], "domain": { "id": "d78cbac186b744899480f25bd022f...", "name": "IAMDomain" }, "roles": [ { "id": "0", "name": "te_admin" }, { "id": "0", "name": "secu_admin" }, { "id": "0", "name": "te_agency" } ], "issued_at": "2020-01-03T09:08:49.965000Z", "user": { "domain": { "id": "d78cbac186b744899480f25bd022f...", "name": "IAMDomain" }, "id": "7116d09f88fa41908676fdd4b039e...", "name": "IAMUser", "password_expires_at": "" } } } 示例 2：获取IAM用户名为“IAMUser”，密码为“IAMPassword”，所属账号名为“IAMDomain”，作用范围为项目“cn-north-1”，且返回的响应体中将不显示catalog信息的Token。 响应Header参数（获取到的Token）： X-Subject-Token:MIIatAYJKoZIhvcNAQcCoIIapTCCGqECAQExDTALB... 响应Body参数： { "token": { "expires_at": "2020-01-04T09:05:22.701000Z", "mfa_authn_at": "2020-01-03T09:05:22.701000Z", "methods": [ "password", "totp" ], "catalog": [], "roles": [ { "id": "0", "name": "te_admin" }, { "id": "0", "name": "op_gated_OBS_file_protocol" }, { "id": "0", "name": "op_gated_Video_Campus" } ], "project": { "domain": { "id": "d78cbac186b744899480f25bd022f...", "name": "IAMDomain" }, "id": "aa2d97d7e62c4b7da3ffdfc11551f...", "name": "cn-north-1" }, "issued_at": "2020-01-03T09:05:22.701000Z", "user": { "domain": { "id": "d78cbac186b744899480f25bd022f...", "name": "IAMDomain" }, "id": "7116d09f88fa41908676fdd4b039e...", "name": "IAMUser", "password_expires_at": "" } } } 状态码为 400 时: 参数无效。 { "error": { "code": 400, "message": "The request body is invalid", "title": "Bad Request" } } 状态码为 401 时: 认证失败。 如果您是第三方系统用户，直接使用联邦认证的用户名和密码 获取Token ，系统会提示密码错误。请在华为云的登录页面，通过“忘记密码”功能，设置华为云账号密码，并在password中输入新设置的密码。 如果您的华为云账号已升级为华为账号，直接使用华为账号名和密码获取Token，系统会提示密码错误。建议您为自己创建一个IAM用户，授予该用户必要的权限，获取IAM用户Token。 { "error": { "code": 401, "message": "The username or password is wrong.", "title": "Unauthorized" } }

响应参数 表14 响应Header参数 参数 参数类型 描述 X-Subject-Token String 签名后的Token。 表15 响应Body参数 参数 参数类型 描述 token Object 获取到的Token信息。 表16 token 参数 参数类型 描述 catalog Array of objects 服务目录信息。 domain Object 获取Token的IAM用户所属的账号信息。如果获取Token时请求体中scope参数设置为domain，则返回该字段。 expires_at String Token过期时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 mfa_authn_at String MFA验证时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 issued_at String Token下发时间。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 methods Array of strings 获取Token的方式。 project Object 获取Token的IAM用户所属账号的项目信息。如果获取Token时请求体中scope参数设置为project，则返回该字段。 roles Array of objects Token的权限信息。 user Object 获取Token的IAM用户信息。 表17 token.catalog 参数 参数类型 描述 endpoints Array of objects 终端节点。 id String 服务ID。 name String 服务名称。 type String 该接口所属服务。 表18 token.catalog.endpoints 参数 参数类型 描述 id String 终端节点ID。 interface String 接口类型，描述接口在该终端节点的可见性。值为“public”，表示该接口为公开接口。 region String 终端节点所属区域。 region_id String 终端节点所属区域ID。 url String 终端节点的URL。 表19 token.domain 参数 参数类型 描述 name String 账号名称。 id String 账号ID。 表20 token.project 参数 参数类型 描述 domain Object 项目所属账号信息。 id String 项目ID。 name String 项目名称。 表21 token.project.domain 参数 参数类型 描述 id String 账号ID。 name String 账号名称。 表22 token.roles 参数 参数类型 描述 name String 权限名称。 id String 权限ID。默认显示为0，非真实权限ID。 表23 token.user 参数 参数类型 描述 name String IAM用户名。 id String IAM用户ID。 password_expires_at String 密码过期时间，“”表示密码不过期。 说明： UTC时间，格式为YYYY-MM-DDTHH:mm:ss.ssssssZ，日期和时间戳格式参照ISO-8601，如：2023-06-28T08:56:33.710000Z。 domain Object IAM用户所属的账号信息。 表24 token.user.domain 参数 参数类型 描述 name String IAM用户所属账号名称。 id String IAM用户所属账号ID。

请求示例 示例1：获取IAM用户名为“IAMUser”，密码为“IAMPassword”，所属账号名为“IAMDomain”，作用范围为整个账号的Token。IAM用户名、所属账号名可以在界面控制台“我的凭证”中查看，具体获取方法请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。 POST https://iam.myhuaweicloud.com/v3/auth/tokens { "auth": { "identity": { "methods": [ "password", "totp" ], "password": { "user": { "name": "IAMUser", //IAM用户名 "password": "IAMPassword", //IAM用户密码 "domain": { "name": "IAMDomain" //IAM用户所属账号名 } } }, "totp": { "user": { "id": "7116d09f88fa41908676fdd4b039e...", //IAM用户ID "passcode": "******" //虚拟MFA验证码 } } }, "scope": { "domain": { "name": "IAMDomain" //IAM用户所属账号名 } } } } 示例2：获取IAM用户名为“IAMUser”，密码为“IAMPassword”，所属账号名为“IAMDomain”，作用范围为项目“cn-north-1”，且返回的响应体中将不显示catalog信息的Token。IAM用户名、所属账号名可以在界面控制台“我的凭证”中查看，具体获取方法请参见：获取账号、IAM用户、项目、用户组、区域、委托的名称和ID。 POST https://iam.myhuaweicloud.com/v3/auth/tokens?nocatalog=true { "auth": { "identity": { "methods": [ "password", "totp" ], "password": { "user": { "name": "IAMUser", //IAM用户名 "password": "IAMPassword", //IAM用户密码 "domain": { "name": "IAMDomain" //IAM用户所属账号名 } } }, "totp": { "user": { "id": "7116d09f88fa41908676fdd4b039e...", //IAM用户ID "passcode": "******" //虚拟MFA验证码 } } }, "scope": { "project": { "name": "cn-north-1" //项目名称 } } } }