统一身份认证服务 IAM
统一身份认证服务 IAM
- 最新动态
- 功能总览
- 产品介绍
- 快速入门
- 用户指南
- 最佳实践
- API参考
- SDK参考
- 场景代码示例
- 常见问题
- 视频帮助
- 文档下载
- 通用参考
本文导读
链接复制成功!
使用委托实现跨账号的资源授权与管理
A公司和B公司是华为云注册的企业用户,分别拥有自己单独的华为账号。本文主要介绍当A账号希望将部分资源委托给B账号时,使用IAM的委托功能来实现跨账号的资源授权与管理(A账号为委托方,B账号为被委托方)。
企业需求
- A账号在华为云购买了多种资源,为了专注自己的业务领域,希望将“华东-上海二”区域的VPC资源委托给B账号进行代运维。
- B账号希望将A账号委托的资源分配给公司中一个或多个员工(IAM用户),进行精细的权限管理。
- 如果合作关系发生变更,A账号希望随时可以修改或撤销对B账号的授权。
解决方案
针对以上企业需求,可以使用IAM的委托功能来实现跨账号的资源授权与管理。
- A账号在IAM控制台创建一个委托,指定委托的使用者为B账号,并将需要代运维的资源授权给这个委托。
- B账号进一步授权,将A账号委托的资源分配给账号下专职管理委托的IAM用户,让IAM用户帮助管理。
- 当合作关系发生变更时,A账号随时可以修改或者删除这个委托,B账号以及账号下可以管理该委托的用户对该委托的使用权限将自动修改或者撤销。
图1 跨账号授权模型

委托方跨账号授权
以A账号将“华东-上海二”区域的VPC资源,委托给B账号进行代运维为例,说明委托方进行跨账号授权的操作方法。
- A账号登录华为云,在统一身份认证服务中,单击“委托”。
- 在“委托”页面,单击“创建委托”,设置“委托名称”,例如“VPC资源代运维”。
- “委托类型”选择“普通账号”,在“委托的账号”中填入B公司的华为账号名称,例如“B-Company”。
- 设置“持续时间”为永久。
图2 创建委托
- 单击“完成”。
- 在授权的确认弹窗中,单击“立即授权”。
- 选择权限“VPC FullAccess”,单击“下一步”。
- 选择授权范围方案为“指定区域项目资源 > 华东-上海一”。
- 单击“确定”。
委托创建完成,委托列表中显示新创建的委托。
说明:
当合作关系发生变更时,A账号可以在委托列表中,单击“修改”,修改这个委托的委托账号、权限、持续时间等。
被委托方跨账号管理
当A账号与B账号创建委托关系后,即B账号为被委托方,B账号通过切换角色的方法,可以切换到A账号中,管理委托方授权的资源。B账号需要提前获取A账号的华为账号名称以及所创建的委托名称。
- B账号登录华为云,进入控制台。
- 在右上方的用户名中,选择“切换角色”。
图3 切换角色
- 在“切换角色”页面中,输入委托方的账号名称,输入账号名称后,系统将会按照顺序自动匹配委托名称。
图4 切换角色
- 单击“确定”,B账号切换至委托方A账号中,直接对A账号华东-上海一区域的VPC资源进行管理。
被委托方分配委托权限
以B账号将委托分配给IAM用户进行管理为例,实现分配委托以及对委托进行精细授权。委托权限分配完成后,B账号中的IAM用户通过切换角色的方式,可以切换到A账号中,管理委托方授权的资源。
B账号需要提前获取委托公司的华为账号名称、所创建的委托名称以及委托的ID。
- 创建用户组并授权。
- B账号在统一身份认证服务左侧导航窗格中,单击“用户组”。
- 在“用户组”界面中,单击“创建用户组”。
- 输入“用户组名称”,例如“委托管理”。
- 单击“确定”。
返回用户组列表,用户组列表中显示新创建的用户组。
- 单击新建用户组右侧的“授权”,进入授权界面。
- 在选择策略页面,单击权限列表右上角“新建策略”。
- 输入“策略名称”,例如“管理A公司的委托1”。
- “策略配置方式”选择“JSON视图”。
- 在“策略内容”区域,填入以下内容:
{ "Version": "1.1", "Statement": [ { "Action": [ "iam:agencies:assume" ], "Resource": { "uri": [ "/iam/agencies/b36b1258b5dc41a4aa8255508xxx..." ] }, "Effect": "Allow" } ] }
说明:
"b36b1258b5dc41a4aa8255508xxx..."需要替换为待授权委托的ID,需要提前向委托方获取,其他内容不需修改,直接拷贝即可。
- 单击“下一步”,继续完成授权。
- 选择上一步中创建的自定义策略“管理A公司的委托1”,或者“Agent Operator”权限。
说明:
- 自定义策略:用户仅能管理指定ID的委托,不能管理其他委托。
- “Agent Operator”权限:用户可以管理所有委托。
- 选择授权作用范围。
- 单击“确定”。
- 创建用户并加入用户组。
- B账号在统一身份认证服务左侧导航窗格中,单击“用户”
- 在“用户”界面,单击“创建用户”。
- 在“创建用户”界面,输入“用户名”“邮箱”。
- “访问方式”选择“管理控制台访问”。
- “凭证类型”选择“首次登录时设置”。
- “登录保护”选择“开启”,并选择身份验证方式,单击“下一步”。
- 在“加入用户组”页面,选择步骤2中创建的用户组“委托管理”,单击“创建用户”。
- 切换角色。
父主题: 委托其他账号或云服务管理资源