检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
在ECS上通过委托的临时访问密钥访问其他云服务 华为云弹性云服务器(Elastic Cloud Server,以下简称ECS)是一种云上可随时自助获取、可弹性伸缩的计算服务。本文将指导用户创建ECS委托,并获取委托的临时访问密钥。
如果您给用户授予ECSFullAccess的系统策略,但不希望用户拥有ECSFullAccess中定义的删除云服务器权限,您可以创建一条拒绝删除云服务的自定义策略,然后同时将ECSFullAccess和拒绝策略授予用户,根据Deny优先原则,则用户可以对ECS执行除了删除云服务器外的所有操作
在ECS获取临时访问密钥,需要在IAM上对ECS授权,并对相应的弹性云服务器资源进行授权委托管理。ECS通过向IAM申请指定委托的临时凭证,从而安全访问资源。ECS会为您自动轮换这些临时凭证,从而确保每次申请的临时凭证安全、有效。
应用场景 企业A购买了很多华为云资源来开展业务,例如:ECS实例、BMS实例和IMS实例等。为了确保其业务和数据安全,企业希望用户只能在工作时间访问华为云,而不是在任意时间都可以访问华为云。
企业项目还可以实现对特定云资源的授权,例如:将一台特定的ECS添加至企业项目,对企业项目进行授权后,可以控制用户仅能管理这台特定的ECS。 支持的服务 使用IAM授权的云服务。
企业项目可以实现对特定云资源的授权,例如:将一台特定的ECS添加至企业项目,对企业项目进行授权后,可以控制用户仅能管理这台特定的ECS。如果您开通了企业管理,将不能创建IAM项目。 使用企业项目,请参考:创建企业项目。 父主题: 项目管理类
计算域运维 ECS FullAccess 弹性云服务器(ECS)的所有执行权限,包括购买ECS的权限,仅拥有该权限的用户不能查看ECS以及其他资源的总体消费情况,如果需要查看消费情况,需要配合BSS Administrator使用。
[ "WebScan:*:*" ], "Effect" : "Allow" } ], "Depends" : [ { "catalog" : "BASE", "display_name" : "Server
委托其他账号或云服务管理资源 使用委托实现跨账号的资源授权与管理 在ECS上通过委托的临时访问密钥访问其他云服务
ECS Admin ECS FullAccess ECS Viewer ECS ReadOnlyAccess ECS User ECS CommonOperations ELB ELB Admin ELB FullAccess ELB Viewer ELB ReadOnlyAccess
IAM鉴权优先于企业管理,如IAM用户同时拥有所有资源的ECS ReadOnlyAccess、企业项目A的ECS ReadOnlyAccess权限,用户可以查看所有ECS资源。 解决方法:请管理员根据情况在IAM控制台修改用户权限。
ECS CommonOperations 弹性云服务器(ECS)的普通操作权限。 CAD Administrator DDoS高防服务(AAD)的所有执行权限。 运营组 负责所有项目的总体运营。
*:get*", "ecs:*:list*", "ecs:blockDevice:use", "ecs:serverGroups:manage", "ecs
购买资源并关联企业项目 本节以购买弹性云服务器ECS并将其关联至企业项目“企业项目A”为例,介绍如何为企业项目购买资源。 登录华为云控制台,单击页面左上角的,选择“计算 > 弹性云服务器 ECS”。 单击页面右上角的“购买弹性云服务器”,系统进入购买页。
*", "ecs:blockDevice:use", "ecs:serverGroups:manage", "ecs:serverVolumes:use", "evs:*:get*", "evs:*:list*", "vpc:*:get*", "vpc:*:list*", "ims
以下策略样例表示:拒绝IAM用户创建裸金属服务器。
IAM用户Alice在“服务列表”中选择弹性云服务器ECS,可以进入ECS的主页面并进行创建ECS、管理ECS等所有操作,表示ECS FullAccess权限配置成功。
Action" : [ "WebScan:*:*" ], "Effect" : "Allow" } ], "Depends" : [ { "catalog" : "BASE", "display_name" : "Server
表1 所需权限 使用的服务 权限作用范围 设置权限 ECS 区域项目 ECS FullAccess OBS 全局区域 OBS OperateAccess 在用户组列表中,单击新建用户组“开发人员组”右侧的“授权”。 图6 授权 设置区域项目级服务的权限。
例如:针对ECS服务,管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。 如下图所示,如果您授予IAM用户弹性云服务器ECS的权限,则该IAM用户除了ECS,不能访问其他任何服务,如果尝试访问其他服务,系统将会提示没有权限。 图7 系统提示没有权限