# DWS只读用户配置权限
#### 背景信息
如果您需要对华为云上的DWS资源，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制云资源的访问。通过IAM，您可以在云账号中给员工创建IAM用户，并授权控制他们对云资源的访问范围。
- **场景一**：您的员工中有负责软件开发的人员，您希望他们拥有DWS的使用权限，但是不希望他们拥有删除集群等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用DWS，但是不允许删除集群的权限，控制他们对DWS资源的使用范围。
- **场景二**：您希望您的员工只有DWS的资源使用权限，不希望拥有其他云资源的权限，以防止资源滥用。例如只开通DWS的操作权限，不能使用其他云服务。
通过IAM权限控制，有效达到云资源访问控制，避免云资源误操作。本文将指导如何配置只读权限的IAM用户。
#### 教程一：IAM项目视图下的只读操作
1. [创建用户组并授权](https://support.huaweicloud.com/usermanual-iam/iam_03_0001.html)。
   
   使用华为云账号登录[IAM控制台](https://console.huaweicloud.com/iam)，创建用户组，并授予数据仓库服务的只读权限"DWS ReadOnlyAccess"。
   ![](https://support.huaweicloud.com/bestpractice-dws/figure/zh-cn_image_0000001886028861.png "点击放大")
   
   
   
2. [创建用户并加入用户组](https://support.huaweicloud.com/usermanual-iam/iam_02_0001.html)。
   
   在IAM控制台创建用户，并将其加入[1]中创建的用户组。
   
   
3. [用户登录](https://support.huaweicloud.com/usermanual-iam/iam_01_0552.html)并验证权限。
   
   使用新创建的用户登录[DWS控制台](https://console.huaweicloud.com/dws)，切换至授权区域，验证权限：
   - 单击右上角"创建数据仓库集群"，尝试创建数据仓库集群，如果无法创建（假设当前权限仅包含DWS ReadOnlyAccess），表示"DWS ReadOnlyAccess"已生效。
   
   - 在"服务列表"中选择除数据仓库服务之外（假设当前策略仅包含DWS ReadOnlyAccess）的任一服务，若提示权限不足，表示"DWS ReadOnlyAccess"已生效。
    
   
   
 
#### 教程二：企业项目下的只读操作
1. [创建用户组并授权](https://support.huaweicloud.com/usermanual-iam/iam_03_0001.html)。
   
   使用华为云账号登录[IAM控制台](https://console.huaweicloud.com/iam)，创建用户组，并授予数据仓库服务的只读权限"DWS ReadOnlyAccess"。
   ![](https://support.huaweicloud.com/bestpractice-dws/public_sys-resources/note_3.0-zh-cn.png)
   - 企业项目视图下，与资源无关的只读操作细粒度权限仍会提示无权限访问。如事件、告警等相关接口的细粒度。
    
   
   
2. 配置IAM项目视图下相关的事件与告警等只读权限。 
   1. 创建如下自定义策略readonly_event_alarm：
      ```
      {
          "Version": "1.1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "dws:alarm*:list*",
                      "dws:cluster*:list*",
                      "dws:dms*:get*",
                      "dws:event*:list*"
                  ]
              }
          ]
      }
      ```
      
   
   2. 登录[IAM控制台](https://console.huaweicloud.com/iam)，[创建用户组](https://support.huaweicloud.com/usermanual-iam/iam_03_0001.html)并授权刚创建的自定义策略：
   
   
   
   
3. [创建用户并加入用户组](https://support.huaweicloud.com/usermanual-iam/iam_02_0001.html)。
   
   在IAM控制台创建用户，并将其加入[1]中创建的用户组。
   
   
4. [用户登录](https://support.huaweicloud.com/usermanual-iam/iam_01_0552.html)并验证权限。
   
   使用新创建的用户登录[DWS控制台](https://console.huaweicloud.com/dws)，切换至授权区域，验证权限：
   - 单击右上角"创建数据仓库集群"，尝试创建数据仓库集群，如果无法创建（假设当前权限仅包含DWS ReadOnlyAccess），表示"DWS ReadOnlyAccess"已生效。
   
   - 在"服务列表"中选择除数据仓库服务之外（假设当前策略仅包含DWS ReadOnlyAccess）的任一服务，若提示权限不足，表示"DWS ReadOnlyAccess"已生效。