统一身份认证IAM介绍
统一身份认证(Identity and Access Management,简称IAM)服务,是提供用户进行权限管理的基础服务,可以帮助您安全的控制云服务和资源的访问及操作权限。
IAM为您提供的主要功能包括:精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。
身份管理
访问控制IAM中的身份包括IAM用户、IAM用户组。
IAM用户有确定的登录密码和访问密钥,IAM用户组则用于分类职责相同的IAM用户,IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中,避免直接共享天翼云账号的密码等信息,缩小不同IAM子用户的信息可见范围,可为IAM子用户和IAM用户组按需授权,即使不慎泄露机密信息,也不会危及天翼云账号下的所有资源。
权限管理
统一身份认证IAM通过权限策略描述授权的具体内容,权限策略包括固定的基本元素“Action”“Effect”等,更多信息,请参见“步骤二:创建自定义策略”。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后,即可让其有权限访问指定资源。
权限策略分为系统策略和自定义策略:
- 系统策略 :预置的系统策略,您只能使用不能修改。云硬盘EVS相关的系统策略包含如下:
Evs Admin:云硬盘服务的管理者权限,包含云硬盘所有控制权限(不含订单类权限);
Evs Viewer:云硬盘服务的观察者权限,包含云硬盘的列表页与详情页面权限;
- 自定义策略 :您按需自行创建和维护的权限策略,关于自定义策略的操作和示例,请参见“步骤二:创建自定义策略”。
云硬盘接口对应权限表
如下是云硬盘服务相关权限三元组及生效范围:
注意天翼云支持对用户组/子用户,进行资源池或全局维度的权限授权;同时也支持在企业项目中,对用户组进行资源组维度的权限授权。部分没有企业项目属性的接口或资源,授权只能以资源池或全局维度进行。以资源池或全局维度进行的授权判断,其优先级高于企业项目中的资源组维度授权。
控制台接口
权限三元组
配置支持
IAM(资源池/全局)
企业项目(资源组)
创建云硬盘
evs:volumes:create
√
√
云硬盘列表获取
evs:volumes:list
√
√
云硬盘详情获取
evs:volumes:get
√
√
ecs:cloudServers:list
√
√
云硬盘续订
evs:volumes:create
√
√
云硬盘扩容
evs:volumes:extend
√
√
云硬盘退订
evs:volumes:delete
√
√
云硬盘挂载(绑定)
evs:volumes:attach
√
√
ecs:cloudServers:list
√
√
ecs:cloudServers:get
√
√
云硬盘卸载(解绑)
evs:volumes:detach
√
√
ecs:cloudServers:list
√
√
ecs:cloudServers:get
√
√
修改云硬盘类型
evs:volumes:extend
√
√
创建快照
evs:snapshot:create
√
×
云硬盘快照列表
evs:snapshot:list
√
×
云硬盘自动快照策略列表
evs:snapshotStr:list
√
×
设置自动快照策略
evs:snapshot:create
√
×
evs:volumes:create
√
修改云硬盘名称
evs:volumes:put
√
×
云硬盘转包周期
evs:switchPeriod:create
√
√
云硬盘到期转按需
evs:switchRequired:create
√
√
对于支持IAM配置,不支持企业项目配置的操作,例如“创建快照”、“设置自动快照策略”、“修改云硬盘名称”,若不配置IAM权限将默认不具备相应操作权限,操作将被拦截,对于这种场景,您可在IAM中为此操作新增IAM权限以解除限制,具体操作请参考常见问题-权限管理类。
通过IAM用户控制资源访问操作步骤
在协同使用资源的场景下,根据实际的职责权限情况,您可以创建多个IAM用户并为其授予不同的权限,实现不同IAM子用户可以分权管理不同的资源,从而提高管理效率,降低信息泄露风险。本文介绍如何创建IAM子用户并授予特定权限策略,从而控制对云硬盘资源的访问。
步骤一:创建IAM子用户。
具体操作,请参见统一身份认证IAM-创建用户。
步骤二:创建自定义策略
天翼云提供了访问云硬盘EVS资源的系统策略,更多信息,请参见上方的“权限管理”。如果系统策略不能满足需求,您还可以创建自定义策略,具体操作,请参见统一身份认证IAM-创建自定义策略。
策略分为用户可以自行定义的自定义策略,以及预定义在平台录入的系统策略两类。
细粒度授权策略结构包括策略版本号(Version)及策略授权语句(Statement)列表。
- 策略版本号:Version,标识策略结构的版本号。目前为1.1。
- 策略授权语句:Statement,包括了基本元素:作用(Effect)和权限集(Action)。
- 作用(Effect)包含两种:允许(Allow)和拒绝(Deny)。
- 授权项(Action):对资源的具体操作权限,支持单个或多个操作权限。
a) 脚本配置策略示例一:为IAM子用户配置云硬盘查看者权限。
{
"Version":"1.1",
"Statement":[
{
"Effect":"Allow",
"Action":[
"evs:volumes:list",
"evs:volumes:get"
],
"Resource":[
"*"
]
}
]
}
b) 脚本配置策略示例二:为IAM子用户配置云硬盘所有操作权限,以及云主机的所有操作权限。(*代表取所有值)
{
"Version":"1.1",
"Statement":[
{
"Effect":"Allow",
"Action":[
"evs:*:*",
"ecs:*:*"
],
"Resource":[
"*"
]
}
]
}
步骤三:授权自定义策略
授予IAM用户访问所创建的自定义策略范围中的资源,具体操作,请参见统一身份认证IAM-用户组授权、统一身份认证IAM-基于企业项目完成授权。
步骤四:授权系统策略
您也可以直接使用天翼云预置的产品系统策略对IAM子用户进行授权。