# 权限和授权项
如果您需要对您所拥有的资源编排服务(RFS)进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），如果帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用RFS服务的其它功能。
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有的权限对云服务进行操作。
权限根据授权的精细程度，分为[角色](https://support.huaweicloud.com/usermanual-iam/iam_01_0601.html)和[策略](https://support.huaweicloud.com/usermanual-iam/iam_01_0017.html)。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略以API接口为粒度进行权限拆分，授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。
![](https://support.huaweicloud.com/api-aos/public_sys-resources/note_3.0-zh-cn.png)
如果您要允许或是禁止某个接口的操作权限，请使用策略。
帐号具备所有接口的调用权限，如果使用帐号下的IAM用户发起API请求时，该IAM用户必须具备调用该接口所需的权限，否则，API请求将调用失败。每个接口所需要的权限，与各个接口所对应的授权项相对应，只有发起请求的用户被授予授权项所对应的策略，该用户才能成功调用该接口。例如，用户要调用接口来查询云服务器列表，那么这个IAM用户被授予的策略中必须包含允许"ecs:servers:list"的授权项，该接口才能调用成功。
#### IAM支持的授权项
策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下：
- 权限：允许或拒绝某项操作。
- 对应API接口：自定义策略实际调用的API接口。
- 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。对于v3和v5授权项，RFS服务均支持。
- 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。
- IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于IAM项目与企业项目的区别，详情请参见：[IAM与企业管理的区别](https://support.huaweicloud.com/iam_faq/iam_01_0101.html)。
![](https://support.huaweicloud.com/api-aos/public_sys-resources/note_3.0-zh-cn.png)
"√"表示支持，"x"表示暂不支持。
资源编排服务(RFS) 支持的自定义策略授权项如下所示：
表1privateTemplate 
| 权限                | 对应API接口                                                                       | 授权项（Action）                            | IAM项目(Project) | 企业项目 (Enterprise Project) |
|:---|:---|:---|:---|:---|
| 创建私有模板            | POST /v1/{project_id}/templates                                               | rf:privateTemplate:create              | √              | x                         |
| 创建新的私有模板版本        | POST /v1/{project_id}/templates/{template_name}/versions                      | rf:privateTemplate:createVersion       | √              | x                         |
| 删除私有模板            | DELETE /v1/{project_id}/templates/{template_name}                             | rf:privateTemplate:delete              | √              | x                         |
| 删除私有模板版本          | DELETE /v1/{project_id}/templates/{template_name}/versions/{version_id}       | rf:privateTemplate:deleteVersion       | √              | x                         |
| 列举project下所有的私有模板 | GET /v1/{project_id}/templates                                                | rf:privateTemplate:list                | √              | x                         |
| 展示私有模板下所有模板版本信息   | GET /v1/{project_id}/templates/{template_name}/versions                       | rf:privateTemplate:listVersions        | √              | x                         |
| 展示私有模板的元数据        | GET /v1/{project_id}/templates/{template_name}/metadata                       | rf:privateTemplate:showMetadata        | √              | x                         |
| 获取私有模板版本内容        | GET /v1/{project_id}/templates/{template_name}/versions/{version_id}          | rf:privateTemplate:showVersionContent  | √              | x                         |
| 获取私有模板版本的元数据      | GET /v1/{project_id}/templates/{template_name}/versions/{version_id}/metadata | rf:privateTemplate:showVersionMetadata | √              | x                         |
| 更新私有模板元数据         | PATCH /v1/{project_id}/templates/{template_name}/metadata                     | rf:privateTemplate:updateMetadata      | √              | x                         |
   
表2stack 
| 权限          | 对应API接口                                                                                 | 授权项                                 | IAM项目(Project) | 企业项目 (Enterprise Project) |
|:---|:---|:---|:---|:---|
| 执行执行计划      | POST /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}         | rf:stack:applyExecutionPlan         | √              | x                         |
| 继续部署资源栈     | POST /v1/{project_id}/stacks/{stack_name}/continuations                                 | rf:stack:continueDeploy             | √              | x                         |
| 继续回滚资源栈     | POST /v1/{project_id}/stacks/{stack_name}/rollbacks                                     | rf:stack:continueRollback           | √              | x                         |
| 创建执行计划      | POST /v1/{project_id}/stacks/{stack_name}/execution-plans                               | rf:stack:createExecutionPlan        | √              | x                         |
| 创建资源栈       | POST /v1/{project_id}/stacks                                                            | rf:stack:create                     | √              | x                         |
| 删除执行计划      | DELETE /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}       | rf:stack:deleteExecutionPlan        | √              | x                         |
| 删除资源栈       | DELETE /v1/{project_id}/stacks/{stack_name}                                             | rf:stack:delete                     | √              | x                         |
| 条件删除资源栈     | POST /v1/{project_id}/stacks/{stack_name}/deletion                                      | rf:stack:delete                     | √              | x                         |
| 部署资源栈       | POST /v1/{project_id}/stacks/{stack_name}/deployments                                   | rf:stack:deploy                     | √              | x                         |
| 预估执行计划价格    | GET /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}/prices   | rf:stack:estimateExecutionPlanPrice | √              | x                         |
| 获取执行计划信息    | GET /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}          | rf:stack:getExecutionPlan           | √              | x                         |
| 获取执行计划元数据信息 | GET /v1/{project_id}/stacks/{stack_name}/execution-plans/{execution_plan_name}/metadata | rf:stack:getExecutionPlanMetadata   | √              | x                         |
| 获取资源栈元数据信息  | GET /v1/{project_id}/stacks/{stack_name}/metadata                                       | rf:stack:getMetadata                | √              | x                         |
| 获取资源栈模板     | GET /v1/{project_id}/stacks/{stack_name}/templates                                      | rf:stack:getTemplate                | √              | x                         |
| 查询执行计划信息列表  | GET /v1/{project_id}/stacks/{stack_name}/execution-plans                                | rf:stack:listExecutionPlans         | √              | x                         |
| 查询资源栈部署事件列表 | GET /v1/{project_id}/stacks/{stack_name}/events                                         | rf:stack:listEvents                 | √              | x                         |
| 查询资源栈输出列表   | GET /v1/{project_id}/stacks/{stack_name}/outputs                                        | rf:stack:listOutputs                | √              | x                         |
| 查询资源栈资源信息列表 | GET /v1/{project_id}/stacks/{stack_name}/resources                                      | rf:stack:listResources              | √              | x                         |
| 查询资源栈列表     | GET /v1/{project_id}/stacks                                                             | rf:stack:list                       | √              | x                         |
| 更新资源栈       | PATCH /v1/{project_id}/stacks/{stack_name}                                              | rf:stack:update                     | √              | x                         |
   
表3stackSet 
| 权限            | 对应API接口                                                                          | 授权项                               | IAM项目(Project) | 企业项目 (Enterprise Project) |
|:---|:---|:---|:---|:---|
| 创建资源栈集        | POST /v1/stack-sets                                                              | rf:stackSet:create                | √              | x                         |
| 创建资源栈实例       | POST /v1/stack-sets/{stack_set_name}/stack-instances                             | rf:stackSet:createStackInstances  | √              | x                         |
| 删除资源栈集        | DELETE /v1/stack-sets/{stack_set_name}                                           | rf:stackSet:delete                | √              | x                         |
| 删除资源栈实例       | POST /v1/stack-sets/{stack_set_name}/stack-instances/deletion                    | rf:stackSet:deleteStackInstances  | √              | x                         |
| 部署资源栈集        | POST /v1/stack-sets/{stack_set_name}/deployments                                 | rf:stackSet:deploy                | √              | x                         |
| 查询资源栈集列表      | GET /v1/stack-sets                                                               | rf:stackSet:list                  | √              | x                         |
| 查询资源栈集操作信息列表  | GET /v1/stack-sets/{stack_set_name}/operations                                   | rf:stackSet:listOperations        | √              | x                         |
| 查询资源栈实例列表     | GET /v1/stack-sets/{stack_set_name}/stack-instances                              | rf:stackSet:listStackInstances    | √              | x                         |
| 获取资源栈集元数据信息   | GET /v1/stack-sets/{stack_set_name}/metadata                                     | rf:stackSet:showMetadata          | √              | x                         |
| 获取资源栈集操作元数据信息 | GET /v1/stack-sets/{stack_set_name}/operations/{stack_set_operation_id}/metadata | rf:stackSet:showOperationMetadata | √              | x                         |
| 获取资源栈实例信息     | GET /v1/stack-sets/{stack_set_name}/stack-instances/{stack_instance_addr}        | rf:stackSet:showStackInstance     | √              | x                         |
| 获取资源栈集模板      | GET /v1/stack-sets/{stack_set_name}/templates                                    | rf:stackSet:showTemplate          | √              | x                         |
| 更新资源栈集        | PATCH /v1/stack-sets/{stack_set_name}                                            | rf:stackSet:update                | √              | x                         |
| 更新资源栈实例       | PATCH /v1/stack-sets/{stack_set_name}/stack-instances                            | rf:stackSet:updateStackInstances  | √              | x                         |
   
表4template-analyses 
| 权限     | 对应API接口                                           | 授权项                        | IAM项目(Project) | 企业项目 (Enterprise Project) |
|:---|:---|:---|:---|:---|
| 解析模板参数 | POST /v1/{project_id}/template-analyses/variables | rf::parseTemplateVariables | √              | x                         |
   
表5module 
| 权限          | 对应API接口                                                                  | 授权项                                  | IAM项目(Project) | 企业项目 (Enterprise Project) |
|:---|:---|:---|:---|:---|
| 获取私有模块版本内容  | GET /v1/private-modules/{module_name}/versions/{module_version}          | rf:privateModule:showVersionContent  | √              | x                         |
| 获取私有模块版本元数据 | GET /v1/private-modules/{module_name}/versions/{module_version}/metadata | rf:privateModule:showVersionMetadata | √              | x                         |
| 获取私有模块元数据   | GET /v1/private-modules/{module_name}/metadata                           | rf:privateModule:showMetadata        | √              | x                         |
| 更新私有模块元数据   | PATCH /v1/private-modules/{module_name}/metadata                         | rf:privateModule:updateMetadata      | √              | x                         |
| 删除私有模块版本    | DELETE /v1/private-modules/{module_name}/versions/{module_version}       | rf:privateModule:deleteVersion       | √              | x                         |
| 创建私有模块      | POST /v1/private-modules                                                 | rf:privateModule:create              | √              | x                         |
| 创建私有模块版本    | POST /v1/private-modules/{module_name}/versions                          | rf:privateModule:createVersion       | √              | x                         |
| 删除私有模块      | DELETE /v1/private-modules/{module_name}                                 | rf:privateModule:delete              | √              | x                         |
| 列举私有模块      | GET /v1/private-modules                                                  | rf:privateModule:list                | √              | x                         |
| 列举私有模块版本    | GET /v1/private-modules/{module_name}/versions                           | rf:privateModule:listVersions        | √              | x                         |
   
表6privateProvider 
| 权限                | 对应API接口                                                                        | 授权项                                    | IAM项目(Project) | 企业项目 (Enterprise Project) |
|:---|:---|:---|:---|:---|
| 获取私有Provider元数据   | GET /v1/private-providers/{provider_name}/metadata                             | rf:privateProvider:showMetadata        | √              | x                         |
| 获取私有Provider版本元数据 | GET /v1/private-providers/{provider_name}/versions/{provider_version}/metadata | rf:privateProvider:showVersionMetadata | √              | x                         |
| 删除私有Provider      | DELETE /v1/private-providers/{provider_name}                                   | rf:privateProvider:delete              | √              | x                         |
| 更新私有Provider元数据   | PATCH /v1/private-providers/{provider_name}/metadata                           | rf:privateProvider:updateMetadata      | √              | x                         |
| 删除私有Provider版本    | DELETE /v1/private-providers/{provider_name}/versions/{provider_version}       | rf:privateProvider:deleteVersion       | √              | x                         |
| 创建私有Provider      | POST /v1/private-providers                                                     | rf:privateProvider:create              | √              | x                         |
| 创建私有Provider版本    | POST /v1/private-providers/{provider_name}/versions                            | rf:privateProvider:createVersion       | √              | x                         |
| 列举私有Provider版本    | GET /v1/private-providers/{provider_name}/versions                             | rf:privateProvider:listVersions        | √              | x                         |
| 列举私有Provider      | GET /v1/private-providers                                                      | rf:privateProvider:list                | √              | x                         |
   
表7hook 
| 权限            | 对应API接口                                                            | 授权项                                | IAM项目(Project) | 企业项目 (Enterprise Project) |
|:---|:---|:---|:---|:---|
| 获取私有Hook元数据   | GET /v1/private-hooks/{hook_name}/metadata                         | rf:privateHook:showMetadata        | √              | x                         |
| 获取私有Hook版本策略  | GET /v1/private-hooks/{hook_name}/versions/{hook_version}/policies | rf:privateHook:showVersionPolicy   | √              | x                         |
| 获取私有Hook版本元数据 | GET /v1/private-hooks/{hook_name}/versions/{hook_version}/metadata | rf:privateHook:showVersionMetadata | √              | x                         |
| 删除私有Hook      | DELETE /v1/private-hooks/{hook_name}                               | rf:privateHook:delete              | √              | x                         |
| 创建私有Hook      | POST /v1/private-hooks                                             | rf:privateHook:create              | √              | x                         |
| 删除私有Hook版本    | DELETE /v1/private-hooks/{hook_name}/versions/{hook_version}       | rf:privateHook:deleteVersion       | √              | x                         |
| 更新私有Hook元数据   | PATCH /v1/private-hooks/{hook_name}/metadata                       | rf:privateHook:updateMetadata      | √              | x                         |
| 创建私有Hook版本    | POST /v1/private-hooks/{hook_name}/versions                        | rf:privateHook:createVersion       | √              | x                         |
| 列举私有Hook版本    | GET /v1/private-hooks/{hook_name}/versions                         | rf:privateHook:listVersions        | √              | x                         |
| 列举私有Hook      | GET /v1/private-hooks                                              | rf:privateHook:list                | √              | x                         |