权限及授权项
如果您需要对您所拥有的BCE进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），如果华为云帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用BCE服务的其他功能。
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有权限对云服务进行操作。
权限根据授权的精细程度，分为角色和策略。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略以API接口为粒度进行权限拆分，授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。
如果您要允许或是禁止某个接口的操作权限，请使用策略。
帐号具备所有接口的调用权限，如果使用账号下的IAM用户发起API请求时，该IAM用户必须具备调用该接口所需的权限，否则，API请求将调用失败。每个接口所需要的权限，与各个接口所对应的授权项相对应，只有发起请求的用户被授予授权项所对应的策略，该用户才能成功调用该接口。例如，用户要调用接口来查询队列列表，那么这个IAM用户被授予的策略中必须包含允许“bce:queues:list”的授权项，该接口才能调用成功。
支持的授权项
策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应，授权项列表说明如下：
- 权限：允许或拒绝某项操作。
- 对应API接口：自定义策略实际调用的API接口。
- 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。
- 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。
- IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于IAM项目与企业项目的区别，详情请参见：IAM与企业管理的区别。
“√”表示支持，“x”表示暂不支持。
BCE的支持自定义策略授权项如下所示：
权限 |
对应API接口 |
授权项 |
IAM项目(Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
创建通用作业 |
POST /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflows |
bce:commonWorkflows:create |
√ |
x |
删除通用作业 |
DELETE /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflows/:name |
bce:commonWorkflows:delete |
√ |
x |
查询通用作业 |
GET /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflows/:name |
bce:commonWorkflows:get |
√ |
x |
查询通用作业列表 |
GET /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflows |
bce:commonWorkflows:list |
√ |
x |
创建通用作业模板 |
POST /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflowtemplates |
bce:commonWorkflowTemplates:create |
√ |
x |
删除通用作业模板 |
DELETE /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflowtemplates/:name |
bce:commonWorkflowTemplates:delete |
√ |
x |
查询通用作业模板* |
GET /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflowtemplates/:name GET /apis/argoproj.io/v1alpha1/clusterworkflowtemplates/:name |
bce:commonWorkflowTemplates:get |
√ |
x |
查询通用作业模板列表* |
GET /apis/argoproj.io/v1alpha1/namespaces/:project_id/workflowtemplates GET /apis/argoproj.io/v1alpha1/clusterworkflowtemplates |
bce:commonWorkflowTemplates:list |
√ |
x |
- 查询通用作业模板：GET /apis/argoproj.io/v1alpha1/clusterworkflowtemplates/:name
- 查询通用作业模板列表：GET /apis/argoproj.io/v1alpha1/clusterworkflowtemplates
权限 |
对应API接口 |
授权项 |
IAM项目(Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
创建资源池 |
POST /v1/:project_id/clusters |
bce:clusters:create |
√ |
x |
删除资源池 |
DELETE /v1/:project_id/clusters/:id |
bce:clusters:delete |
√ |
x |
查询资源池 |
GET /v1/:project_id/clusters/:id |
bce:clusters:get |
√ |
x |
查询资源池列表 |
GET /v1/:project_id/clusters |
bce:clusters:list |
√ |
x |
更新资源池 |
PUT /v1/:project_id/clusters/:id |
bce:clusters:update |
√ |
x |
权限 |
对应API接口 |
授权项 |
IAM项目(Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
备份GCS作业 |
POST /v1/backup/executions |
bce:executions:backup |
√ |
x |
执行GCS作业 |
POST /v1/executions POST /v1/executions_iter |
bce:executions:create |
√ |
x |
删除GCS作业 |
DELETE /v1/executions/:id DELETE /v1/executions |
bce:executions:delete |
√ |
x |
查询GCS作业 |
GET /v1/executions/:id |
bce:executions:get |
√ |
x |
查询GCS作业事件 |
GET /v1/executions/:id/events |
bce:executions:getEvents |
√ |
x |
查询GCS作业输入参数 |
GET /v1/executions/:id/inputs |
bce:executions:getInputs |
√ |
x |
查询GCS作业输出结果 |
GET /v1/executions/:id/outputs |
bce:executions:getOutputs |
√ |
x |
查询GCS作业列表 |
GET /v1/executions |
bce:executions:list |
√ |
x |
变更GCS作业 |
PUT /v1/executions/:id PUT /v1/executions |
bce:executions:operate |
√ |
x |
预览GCS作业 |
POST /v1/execution_preview |
bce:executions:preview |
√ |
x |
创建GCS作业模板 |
POST /v1/workflows |
bce:workflows:create |
√ |
x |
共享GCS作业模板 |
POST /v1/workflows/access |
bce:workflows:createAccess |
√ |
x |
创建GCS作业模板参数集 |
POST /v1/workflows/inputset |
bce:workflows:createInputset |
√ |
x |
删除GCS作业模板 |
DELETE /v1/workflows/:id |
bce:workflows:delete |
√ |
x |
取消共享GCS作业模板 |
DELETE /v1/workflows/access/:id |
bce:workflows:deleteAccess |
√ |
x |
删除GCS作业模板参数集 |
DELETE /v1/workflows/inputset/:id |
bce:workflows:deleteInputset |
√ |
x |
下载GCS作业模板 |
GET /v1/workflows/:id/archive |
bce:workflows:download |
√ |
x |
查询GCS作业模板 |
GET /v1/workflows/:id |
bce:workflows:get |
√ |
x |
查询GCS作业模板输入参数 |
GET /v1/workflows/:id/inputs |
bce:workflows:getInputs |
√ |
x |
查询GCS作业模板列表 |
GET /v1/workflows |
bce:workflows:list |
√ |
x |
查询GCS作业模板共享列表 |
GET /v1/workflows/access |
bce:workflows:listAccess |
√ |
x |
查询GCS作业模板参数集列表 |
GET /v1/workflows/inputset/:id |
bce:workflows:listInputset |
√ |
x |
更新GCS作业模板 |
PUT /v1/workflows/:id |
bce:workflows:update |
√ |
x |
更新GCS作业模板共享信息 |
PUT /v1/workflows/access/:id |
bce:workflows:updateAccess |
√ |
x |
校验GCS作业 |
POST /v1/workflows/validate |
bce:workflows:validate |
√ |
x |
权限 |
对应API接口 |
授权项 |
IAM项目(Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
创建队列 |
POST /apis/scheduling.volcano.sh/v1beta1/queues |
bce:queues:create |
√ |
x |
删除队列 |
DELETE /apis/scheduling.volcano.sh/v1beta1/queues/:name |
bce:queues:delete |
√ |
x |
查询队列 |
GET /apis/scheduling.volcano.sh/v1beta1/queues/:name |
bce:queues:get |
√ |
x |
查询队列列表 |
GET /apis/scheduling.volcano.sh/v1beta1/queues |
bce:queues:list |
√ |
x |
权限 |
对应API接口 |
授权项 |
IAM项目(Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
创建TFJob |
POST /apis/kubeflow.org/v1/namespaces/:project_id/tfjobs |
bce:tfjobs:create |
√ |
x |
删除TFJob |
DELETE /apis/kubeflow.org/v1/namespaces/:project_id/tfjobs/:name |
bce:tfjobs:delete |
√ |
x |
查询TFJob |
GET /apis/kubeflow.org/v1/namespaces/:project_id/tfjobs/:name |
bce:tfjobs:get |
√ |
x |
查询TFJob列表 |
GET /apis/kubeflow.org/v1/namespaces/:project_id/tfjobs |
bce:tfjobs:list |
√ |
x |
权限 |
对应API接口 |
授权项 |
IAM项目(Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
创建hpcJob |
POST /apis/batch.volcano.sh/v1alpha1/namespaces/:project_id/jobs |
bce:hpcJobs:create |
√ |
x |
删除hpcJob |
DELETE /apis/batch.volcano.sh/v1alpha1/namespaces/:project_id/jobs/:name |
bce:hpcJobs:delete |
√ |
x |
查询hpcJob |
GET /apis/batch.volcano.sh/v1alpha1/namespaces/:project_id/jobs/:name |
bce:hpcJobs:get |
√ |
x |
查询hpcJob列表 |
GET /apis/batch.volcano.sh/v1alpha1/namespaces/:project_id/jobs |
bce:hpcJobs:list |
√ |
x |
权限 |
对应API接口 |
授权项 |
IAM项目(Project) |
企业项目 (Enterprise Project) |
|---|---|---|---|---|
备份WDL作业 |
POST /v1/backup/executions_extend |
bce:executionsExtend:backup |
√ |
x |
创建WDL作业 |
POST /v1/:project_id/executions-extend |
bce:executionsExtend:create |
√ |
x |
删除WDL作业 |
DELETE /v1/:project_id/executions-extend/:execution_id DELETE /v1/:project_id/executions-extend |
bce:executionsExtend:delete |
√ |
x |
查询WDL作业 |
GET /v1/:project_id/executions-extend/:execution_id |
bce:executionsExtend:get |
√ |
x |
查询WDL作业元数据 |
GET /v1/executions_extend/:execution_id/metadata |
bce:executionsExtend:getMetadata |
√ |
x |
查询WDL作业列表 |
GET /v1/:project_id/executions-extend |
bce:executionsExtend:list |
√ |
x |
停止WDL作业 |
POST /v1/:project_id/executions-extend/:execution_id/stop |
bce:executionsExtend:stop |
√ |
x |
创建WDL作业模板 |
POST /v1/workflow_extend |
bce:workflowsExtend:create |
√ |
x |
删除WDL作业模板 |
DELETE /v1/workflow_extend/:id |
bce:workflowsExtend:delete |
√ |
x |
下载WDL作业模板 |
GET /v1/workflow_extend/:id/archive |
bce:workflowsExtend:download |
√ |
x |
查询WDL作业模板 |
GET /v1/workflow_extend/:id |
bce:workflowsExtend:get |
√ |
x |
查询WDL作业模板列表 |
GET /v1/workflow_extend |
bce:workflowsExtend:list |
√ |
x |
更新WDL作业模板 |
PUT /v1/workflow_extend/:id |
bce:workflowsExtend:update |
√ |
x |
