華為云資源IAM精細(xì)控制權(quán)限實(shí)踐

一、案例背景：

如果你的華為云賬號(hào)下有很多資源，不同資源需要對(duì)應(yīng)職責(zé)的工程師進(jìn)行管理，并且希望他們之間的權(quán)限彼此隔離，那么可以使用IAM功能進(jìn)行權(quán)限的管理。

二、實(shí)現(xiàn)步驟

2.1登錄IAM

首先我們需要登錄IAM控制臺(tái)，登錄地址：

https://www.huaweicloud.com/product/iam.html

點(diǎn)擊下圖立即使用即可進(jìn)入后臺(tái)，本服務(wù)免費(fèi)使用。

2.2創(chuàng)建用戶(hù)組

填寫(xiě)用戶(hù)組名稱(chēng)后，點(diǎn)擊確定，完成創(chuàng)建，如下圖

2.3配置用戶(hù)組權(quán)限

在這里可以設(shè)置策略的生效邊界：

全局服務(wù)

包括對(duì)象存儲(chǔ)服務(wù)（OBS）、內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）、標(biāo)簽管理服務(wù)（TMS）等。

區(qū)域級(jí)項(xiàng)目

基于區(qū)域（如華北-北京四、華南-廣州等）進(jìn)行部署的服務(wù)，可選擇對(duì)如下區(qū)域項(xiàng)目進(jìn)行授權(quán)

此處，以限制北京四區(qū)域?yàn)槔?，選擇如下：

選擇彈性云服務(wù)器

選擇普通用戶(hù)/管理員用戶(hù)等，以下為普通用戶(hù)，可以展開(kāi)查看代碼，都有哪些具體可執(zhí)行權(quán)限。普通用戶(hù)不具備創(chuàng)建、刪除云服務(wù)器等權(quán)限。稍后我們進(jìn)行驗(yàn)證。點(diǎn)擊確認(rèn)完成創(chuàng)建。

2.4創(chuàng)建用戶(hù)

創(chuàng)建用戶(hù)，填寫(xiě)必填信息后，如用戶(hù)名郵箱，設(shè)置訪問(wèn)方式，建議控制臺(tái)登錄密碼設(shè)置方式選擇“首次登陸時(shí)設(shè)置”，這樣的好處在于，操作者可以自定義設(shè)置喜歡的密碼組合。如果你需要統(tǒng)一分配，則可以選擇“自定義”

為了方便演示，我這里選擇自定義。這里還有一個(gè)可選項(xiàng)，是否首次登陸需要重置密碼，登陸保護(hù)等等。

勾選本次的用戶(hù)組后，點(diǎn)擊創(chuàng)建用戶(hù)。等待創(chuàng)建完畢。

注意：

需要注意的是，如果之前的郵箱已經(jīng)被華為云賬號(hào)使用過(guò)，則IAM賬號(hào)無(wú)法使用，建議申請(qǐng)使用IAM使用者的郵箱。

三、測(cè)試用戶(hù)登錄驗(yàn)證

3.1 IAM登錄

登錄地址為https://auth.huaweicloud.com/authui/login?id=xxx

Id=后面的字符為主賬號(hào)賬戶(hù)名，每個(gè)用戶(hù)都是不同的，此處我用xxx代替。或者你還可以使用下圖方式，點(diǎn)擊IAM賬號(hào)登錄的方式進(jìn)行登錄，只不過(guò)是前者自動(dòng)已經(jīng)把主賬號(hào)給你填充，后者需要你手動(dòng)輸入。

3.2測(cè)試查看主賬號(hào)信息

登錄后，比如想要查看主賬號(hào)的信息，發(fā)現(xiàn)沒(méi)有權(quán)限：

3.3測(cè)試查看北京一ECS

我們嘗試將云服務(wù)器ECS資源控制臺(tái)切換到北京一，發(fā)現(xiàn)也是無(wú)權(quán)限

3.4測(cè)試查看北京四ECS

切換至北京四，可以看到云服務(wù)器資源，并且我們可以實(shí)現(xiàn)云服務(wù)器的一些基礎(chǔ)操作，比如開(kāi)關(guān)機(jī)，登錄等。

四、結(jié)論

以上驗(yàn)證授予特定成員，訪問(wèn)特定地域的特定資源，并授予相應(yīng)的權(quán)限配置實(shí)踐成功。你還可以設(shè)置如下的資源。

1.設(shè)置彈性云服務(wù)器（ECS）的權(quán)限

2.設(shè)置彈性負(fù)載均衡（ELB）的權(quán)限

3.設(shè)置關(guān)系型數(shù)據(jù)庫(kù)（RDS）的權(quán)限

4.設(shè)置云硬盤(pán)（EVS）的權(quán)限

5.設(shè)置云監(jiān)控（CES）的權(quán)限

6.設(shè)置云容器引擎（CCE）的權(quán)限

7.設(shè)置對(duì)象存儲(chǔ)服務(wù)（OBS）的權(quán)限

8.設(shè)置云服務(wù)器備份（CSBS）的權(quán)限

9.設(shè)置虛擬私有云（VPC）的權(quán)限

10.設(shè)置分布式緩存服務(wù)（DCS）的權(quán)限

11.設(shè)置文檔數(shù)據(jù)庫(kù)服務(wù)（DDS）的權(quán)限

12.設(shè)置費(fèi)用中心的權(quán)限

本文僅作為一個(gè)引子，其余的配置方式大相近同。感謝閱讀。