创建用户并授权使用SMS
本章节为您介绍对IAM用户授权的方法。
管理员帐号拥有SMS迁移所需要的所有权限,使用管理员帐号进行迁移时,不需要进行授权。如果您需要对您所拥有的SMS进行精细的权限管理,您可以使用统一身份认证服务(Identity and Access Management,简称IAM),通过IAM,您可以:
- 根据企业的业务组织,在您的天翼云帐号中,给企业中不同职能部门的员工创建IAM用户,让员工拥有唯一安全凭证,并使用SMS。
- 根据企业用户的职能,设置不同的访问权限,以达到用户之间的权限隔离。
- 将SMS委托给更专业、高效的其他天翼云帐号或者云服务,这些帐号或者云服务可以根据权限进行代运维。
前提条件
给用户组授权之前,请您了解用户组可以添加的SMS权限,并结合实际需求进行选择,SMS支持的系统权限,请参见:SMS系统权限。若您需要对除SMS之外的其它服务授权,IAM支持服务的所有权限请参见权限策略。
示例流程
操作步骤
-
创建用户组并授权:
- 系统策略:如果IAM用户需要主机迁移服务(SMS)的所有操作权限,则为IAM用户授予系统策略。在IAM控制台创建用户组,并授予“SMS FullAccess”、"OBS OperateAccess"、“ECS FullAccess”、“VPC FullAccess”。
- 自定义策略:如果IAM用户只需要拥有主机迁移服务(SMS)的部分操作权限,则使用自定义策略。自定义策略相比于系统策略,粒度更细,更安全。
-
创建用户并加入用户组,在IAM控制台创建用户,并将其加入步骤1中创建的用户组。
-
用户登录并验证权限,新创建的用户登录控制台,切换至授权区域,验证权限:
- 在“服务列表”中选择“迁移>主机迁移服务”,进入主机迁移服务界面,在迁移服务器列表页面找到待迁移的服务器,在“目的端”列下单击“设置目的端”,设置目的端服务器。若可以设置目的端服务器,表示授予的权限已生效。
- 在“服务列表”中选择除主机迁移服务和依赖服务外的任一服务,若提示权限不足,表示授予的权限已生效。
SMS自定义策略
目前天翼云支持以下两种方式创建自定义权限策略:
- 可视化视图创建自定义策略:无需了解策略语法,按可视化视图导航栏选择云服务、操作、资源、条件等策略内容,可自动生成策略。
- JSON视图创建自定义策略:可以在选择策略模板后,根据具体需求编辑策略内容;也可以直接在编辑框内编写JSON格式的策略内容。
如果需要将主机迁移至企业项目,请参见企业项目进行权限配置。
SMS自定义策略样例如下。
{
"Version": "1.1",
"Statement": [
{
"Action": [
"vpc:securityGroups:create",
"vpc:securityGroupRules:create",
"vpc:vpcs:create",
"vpc:publicIps:create",
"vpc:subnets:create",
"ecs:cloudServers:create",
"ecs:cloudServers:attach",
"ecs:cloudServers:detachVolume",
"ecs:cloudServers:start",
"ecs:cloudServers:stop",
"ecs:cloudServers:delete",
"ecs:cloudServers:reboot",
"ecs:cloudServers:updateMetadata",
"ecs:serverPasswords:manage",
"ecs:serverKeypairs:delete",
"ecs:diskConfigs:use",
"ecs:CloudServers:create",
"ecs:servers:setMetadata",
"ecs:serverVolumes:use",
"ecs:serverKeypairs:create",
"ecs:serverInterfaces:use",
"ecs:serverGroups:manage",
"ecs:securityGroups:use",
"ecs:servers:unlock",
"ecs:servers:rebuild",
"ecs:servers:lock",
"ecs:servers:reboot",
"evs:volumes:use",
"evs:volumes:create",
"evs:volumes:update",
"evs:volumes:delete",
"evs:volumes:attach",
"evs:volumes:detach",
"evs:snapshots:create",
"evs:snapshots:delete",
"evs:snapshots:rollback",
"ecs:*:get*",
"ecs:*:list*",
"evs:*:get*",
"evs:*:list*",
"vpc:*:list*",
"vpc:*:get*",
"ims:*:get*",
"ims:*:list*"
],
"Effect": "Allow"
}
]
}
SMS策略权限说明参见下表
策略 | 权限说明 |
---|---|
sms:server:queryServer | 只读权限,可以查看源端服务器 |
sms:server:registerServer | 操作权限,可以注册源端服务器 |
sms:server:migrationServer | 操作权限,可以迁移源端服务器 |