# 策略及授权项说明
如果您需要对您所拥有的Hyperledger Fabric增强版服务进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用Hyperledger Fabric增强版服务的其它功能。
策略是以JSON格式描述权限集的语言。默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使用户组中的用户获得策略定义的权限，这一过程称为授权。授权后，用户就可以基于策略对云服务进行操作。
根据授权的精细程度，分为[角色](https://support.huaweicloud.com/usermanual-iam/iam_01_0601.html)和[策略](https://support.huaweicloud.com/usermanual-iam/iam_01_0017.html)。角色以服务为粒度，是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略以API接口为粒度进行权限拆分，授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。
Hyperledger Fabric增强版的策略说明请参考[权限管理](https://support.huaweicloud.com/productdesc-bcs/bcs_productdesc_0015.html)。
#### 支持的授权项
策略支持的操作与API相对应，授权项列表说明如下：
- 权限：允许或拒绝某项操作。
- 对应API接口：自定义策略实际调用的API接口。
- 授权项：自定义策略中支持的Action，在自定义策略中的Action中写入授权项，可以实现授权项对应的权限功能。
- 依赖的授权项：部分Action存在对其他Action的依赖，需要将依赖的Action同时写入授权项，才能实现对应的权限功能。
- IAM项目(Project)/企业项目(Enterprise Project)： 自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，不支持企业项目，表示仅能在IAM中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。
  
![](https://support.huaweicloud.com/api-bcs/public_sys-resources/note_3.0-zh-cn.png)
如果您需要允许或者禁止某个接口的操作权限，请使用策略。使用策略时，注意事项如下：
1. 目前只有基于已有集群创建的区块链实例支持细粒度授权功能，区块链所使用的集群需要进行权限预处理，应使用具有CCE Administrator及以上权限的账号在CCE控制台的权限管理页面为指定集群授予命名空间权限。例如为具有BCS Fabric ReadOnlyAccess权限的用户组授予view命名空间权限，为具有BCS Fabric FullAcces权限的用户组授予cluster admin命名空间权限。具体操作请参考[CCE命名空间权限](https://support.huaweicloud.com/usermanual-cce/cce_10_0189.html)。
2. 若用户想要查询委托状态，则需额外授予IAM ReadOnlyAccess。若需要授权委托，请联系具有Security Administrator角色的账号进行授权。
3. 如果需要创建包周期区块链实例，需要额外授予BSS Operator角色。请勿将BCS Fabric ReadOnlyAccess和BSS的角色放在一起使用，以免造成意外退订。
4. 请勿将Tenant Guest角色与BCS Fabric FullAccess策略放在一起使用，否则会造成部分功能界面隐藏。
5. 企业项目授权时，由于依赖服务的个别接口未实现基于企业项目的权限管理，需要在IAM用户组授予对应的项目权限。例如创建实例需要同时授予VPC ReadOnlyAccess项目权限，查看监控需要同时授予AOM ReadOnlyAccess项目权限，查看合约实例需要同时授予CloudIDE ReadOnlyAccess项目权限，增加组织需要同时授予SFS Turbo ReadOnlyAccess项目权限。
 
基于以上情况，请您根据实际情况纯项目授权或纯企业项目授权配置具体的策略，以下截图仅供参考，请以实际操作为准，具体授权操作请参考[创建用户组并授权](https://support.huaweicloud.com/usermanual-iam/iam_03_0001.html)。
- 将BCS Fabric FullAccess授予到项目下时，用户组配置完成后如下图所示： ![](https://support.huaweicloud.com/api-bcs/zh-cn_image_0000001581737361.png "点击放大")
  
- 将BCS Fabric ReadOnlyAccess授予到项目下时，用户组配置完成后如下图所示： ![](https://support.huaweicloud.com/api-bcs/zh-cn_image_0000001580583437.png "点击放大")
  
- 将BCS Fabric FullAccess授予到企业项目下时，用户组配置完成后IAM项目视图和企业项目视图如下图所示： ![](https://support.huaweicloud.com/api-bcs/zh-cn_image_0000001530428830.png "点击放大")
  ![](https://support.huaweicloud.com/api-bcs/zh-cn_image_0000001580983841.png "点击放大")
  
- 将BCS Fabric ReadOnlyAccess授予到企业项目下时，用户组配置完成后IAM项目视图和企业项目视图如下图所示： ![](https://support.huaweicloud.com/api-bcs/zh-cn_image_0000001580704405.png "点击放大")
  ![](https://support.huaweicloud.com/api-bcs/zh-cn_image_0000001530104658.png "点击放大")