检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
获取自定义身份代理登录票据 功能介绍 该接口用于获取自定义身份代理登录票据logintoken。logintoken是系统颁发给自定义身份代理用户的登录票据,承载用户的身份、session等信息。调用自定义身份代理URL登录云服务控制台时,可以使用本接口获取的logintoken进行认证。
创建身份提供商 功能介绍 该接口可以用于管理员创建身份提供商。请创建身份提供商后,注册协议并修改身份提供商配置。 该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见:地区和终端节点。 调试 您可以在API Explorer中调试该接口。
身份认证 华为云IAM服务要求访问请求方出示身份凭证,并进行身份合法性校验,同时提供登录保护和登录验证策略加固身份认证安全。 身份凭证及其安全性 IAM服务支持通过账号和IAM用户两种身份访问,并且均支持通过用户名密码、访问密钥和临时访问密钥进行身份认证。详见表1,每一种身份凭证
0凭据,在华为云平台创建身份提供商并配置授权信息,从而建立企业管理系统和华为云平台的信任关系。 配置身份转换规则:通过在华为云平台配置身份转换规则,将IdP中的用户、用户组及其访问权限映射到华为云平台。 配置企业管理系统登录入口:将华为云平台的访问入口配置到企业管理系统中,用户可通过登录企业管理系统直接访问华为云平台。
授予其自定义代理登录华为云时所需权限,具体方法请参见企业IdP帮助文档。 企业本地用户登录企业管理系统后,访问企业IdP的自定义代理,从委托列表(由安全管理员来查询租户的委托列表,根用户默认为安全管理员)中选择所需要使用的委托,具体方法请参见企业管理系统帮助文档。 自定义代理的委
中选择需要登录华为云的企业用户,具体操作请参见企业管理系统帮助文档。此处以企业管理员选择2中配置的用户UserB为例。 自定义代理的用户列表是在华为账号下的IAM用户列表,将IAM用户的访问密钥或用户名和密码(推荐使用访问密钥)配置到企业IdP的配置文件中,即可将这些用户按需赋予不同企业用户。
编写JSON语言,编辑身份转换规则的详细说明和示例请参见:身份转换规则详细说明。 创建规则 管理员在IAM控制台的左侧导航窗格中,单击“身份提供商”。 在身份提供商列表中,选择您创建的身份提供商,单击“修改”。 在“身份转换规则”区域单击“创建规则”。 图1 创建规则-1 图2 创建规则-2
录华为云后的身份和权限,例如登录华为云后的用户名、加入的用户组和拥有的访问权限。 图3 用户转换模型 登录验证:发起单点登录,测试是否能成功从企业IdP跳转登录华为云。 (可选)配置企业管理系统登录入口:将华为云的访问入口配置到企业管理系统中,用户可通过登录企业管理系统直接访问华为云,如图4所示。
权限版本号。 说明: 1.0:系统预置的角色。以服务为粒度,提供有限的服务相关角色用于授权。 1.1:策略。IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。 Statement Array of objects 授权语句,描述自定义策略的具体内容。 表11
能的身份管理服务。 与IAM相同的是,企业管理可以进行人员管理及权限分配,不同的是,企业管理还可以管理财务及应用,同时企业管理对资源的授权粒度比IAM的更为精细,建议中大型企业使用企业管理服务。更多有关企业管理功能介绍,请参见:企业管理用户指南。 IAM和企业管理的区别 开通方式
Authorization 2.0的简称,是一种开放授权协议,授权框架支持第三方应用程序以自己的名义获取访问权限。 使用联邦身份认证的优势 管理用户简单 使用联邦身份认证前,管理员需要在企业管理系统和华为云分别为用户创建账号。 使用联邦身份认证后,企业管理员只需要在企业管理系统中为用户创建账号,
权限管理 如果您需要针对统一身份认证服务,为企业中的员工设置不同的访问权限,以达到不同员工之间的权限隔离,您可以使用IAM进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全的控制华为云资源的访问。 通过IAM,您可以在账号中给员工创建IAM用户,
应的身份提供商。 后续任务 配置企业IdP:在企业IdP系统中配置单点登录相关参数,决定向华为云提供哪些用户信息。 配置身份转换规则:在“身份转换规则”区域,配置身份转换规则,建立企业管理系统用户与IAM用户组间的映射关系,使得企业管理系统用户登录华为云后,获得对应的华为云操作权
联邦身份认证管理 通过联邦认证获取token 身份提供商 映射 协议 Metadata Token 查询联邦用户可以访问的账号列表 查询联邦用户可以访问的项目列表 父主题: API
支持IAM资源粒度授权的云服务 如果您需要授予IAM用户特定资源的相应权限,可以创建自定义策略并选择特定资源,该IAM用户将仅拥有对应资源的使用权限。例如创建自定义策略时,选择资源类型并添加资源路径:OBS:*:*:bucket:TestBucket*,即可授予IAM用户以TestBucket命名开头的桶相应权限。
自定义策略使用样例 配合较高权限系统策略使用 如果您给IAM用户授予较高权限的系统策略,例如“FullAccess” ,但不希望IAM用户拥有某个服务的权限,例如云审计服务。您可以创建一个自定义策略,并将自定义策略的Effect设置为Deny,然后将较高权限的系统策略和自定义策略
身份提供商 查询身份提供商列表 查询身份提供商详情 创建身份提供商 修改SAML身份提供商配置 删除SAML身份提供商 创建OpenID Connect身份提供商配置 修改OpenID Connect身份提供商配置 查询OpenID Connect身份提供商配置 父主题: 联邦身份认证管理
local:表示联邦用户映射到IAM中的身份信息。可以是占位符“{0..n}”,{0}表示remote中用户信息的第一个属性,{1}表示remote中用户信息的第二个属性。 remote:表示联邦用户在IdP中的用户信息,由断言属性及运算符组成的表达式,取值由断言决定。 condi
自定义策略管理 查询自定义策略列表 查询自定义策略详情 创建云服务自定义策略 创建委托自定义策略 修改云服务自定义策略 修改委托自定义策略 删除自定义策略 父主题: API
创建自定义策略 如果系统策略不满足授权要求,管理员可以创建自定义策略,并通过给用户组授予自定义策略来进行精细的访问控制,自定义策略是对系统策略的扩展和补充。 目前IAM支持以下两种方式创建自定义策略: 可视化视图:通过可视化视图创建自定义策略,无需了解JSON语法,按可视化视图导