# 使用委托实现跨账号的资源授权与管理
A公司和B公司是华为云注册的企业用户，分别拥有自己单独的华为账号。本文主要介绍当A账号希望将部分资源委托给B账号时，使用IAM的委托功能来实现跨账号的资源授权与管理（A账号为委托方，B账号为被委托方）。
#### 企业需求
- A账号在华为云购买了多种资源，为了专注自己的业务领域，希望将"华东-上海二"区域的VPC资源委托给B账号进行代运维。
- B账号希望将A账号委托的资源分配给公司中一个或多个员工（IAM用户），进行精细的权限管理。
- 如果合作关系发生变更，A账号希望随时可以修改或撤销对B账号的授权。
 
#### 解决方案
针对以上企业需求，可以使用IAM的委托功能来实现跨账号的资源授权与管理。
- A账号在IAM控制台创建一个委托，指定委托的使用者为B账号，并将需要代运维的资源授权给这个委托。
- B账号进一步授权，将A账号委托的资源分配给账号下专职管理委托的IAM用户，让IAM用户帮助管理。
- 当合作关系发生变更时，A账号随时可以修改或者删除这个委托，B账号以及账号下可以管理该委托的用户对该委托的使用权限将自动修改或者撤销。
图1跨账号授权模型   
![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000001927376794.png "点击放大")
#### 委托方跨账号授权
以A账号将"华东-上海二"区域的VPC资源，委托给B账号进行代运维为例，说明委托方进行跨账号授权的操作方法。
1. A账号登录华为云，在统一身份认证服务中，单击"委托"。
2. 在"委托"页面，单击"创建委托"，设置"委托名称"，例如"VPC资源代运维"。
3. "委托类型"选择"普通账号"，在"委托的账号"中填入B公司的华为账号名称，例如"B-Company"。
4. 设置"持续时间"为永久。 
   图2创建委托   
   ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000001954501741.png "点击放大")
   
   
5. 单击"完成"。
6. 在授权的确认弹窗中，单击"立即授权"。
7. 选择权限"VPC FullAccess"，单击"下一步"。
8. 选择授权范围方案为"指定区域项目资源 \> 华东-上海一"。
9. 单击"确定"。 
   委托创建完成，委托列表中显示新创建的委托。
   ![](https://support.huaweicloud.com/bestpractice-iam/public_sys-resources/note_3.0-zh-cn.png)
   当合作关系发生变更时，A账号可以在委托列表中，单击"修改"，修改这个委托的委托账号、权限、持续时间等。
   
   
#### 被委托方跨账号管理
当A账号与B账号创建委托关系后，即B账号为被委托方，B账号通过切换角色的方法，可以切换到A账号中，管理委托方授权的资源。B账号需要提前获取A账号的华为账号名称以及所创建的委托名称。
1. B账号登录华为云，进入控制台。
2. 在右上方的用户名中，选择"切换角色"。 
   图3切换角色   
   ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002503619261.png)
   
   
3. 在"切换角色"页面中，输入委托方的账号名称，输入账号名称后，系统将会按照顺序自动匹配委托名称。 
   图4切换角色   
   ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000001927535286.png "点击放大")
   
   
4. 单击"确定"，B账号切换至委托方A账号中，直接对A账号华东-上海一区域的VPC资源进行管理。
 
#### 被委托方分配委托权限
以B账号将委托分配给IAM用户进行管理为例，实现分配委托以及对委托进行精细授权。委托权限分配完成后，B账号中的IAM用户通过切换角色的方式，可以切换到A账号中，管理委托方授权的资源。
B账号需要提前获取委托公司的华为账号名称、所创建的委托名称以及委托的ID。
1. 创建用户组并授权。
   
   1. B账号在统一身份认证服务左侧导航窗格中，单击"用户组"。
   
   2. 在"用户组"界面中，单击"创建用户组"。
   
   3. 输入"用户组名称"，例如"委托管理"。
   
   4. 单击"确定"。 返回用户组列表，用户组列表中显示新创建的用户组。
      
   
   5. 单击新建用户组右侧的"授权"，进入授权界面。
      ![](https://support.huaweicloud.com/bestpractice-iam/public_sys-resources/note_3.0-zh-cn.png)
      - 如果需要用户仅管理一个特定的委托，请执行以下步骤对委托进行精细授权。
      
      - 如果需要用户管理所有委托，请跳过该步骤，直接执行[下一步]。
       
      1. 在选择策略页面，单击权限列表右上角"新建策略"。
      
      2. 输入"策略名称"，例如"管理A公司的委托1"。
      
      3. "策略配置方式"选择"JSON视图"。
      
      4. 在"策略内容"区域，填入以下内容：
         ```
         {
                 "Version": "1.1",
                 "Statement": [
                         {
                                 "Action": [
                                         "iam:agencies:assume"
                                 ],
                                 "Resource": {
                                         "uri": [
                                                 "/iam/agencies/b36b1258b5dc41a4aa8255508xxx..."
                                         ]
                                 },
                                 "Effect": "Allow"
                         }
                 ]
         }
         ```
         ![](https://support.huaweicloud.com/bestpractice-iam/public_sys-resources/note_3.0-zh-cn.png)
         "b36b1258b5dc41a4aa8255508xxx..."需要替换为待授权委托的ID，需要提前向委托方获取，其他内容不需修改，直接拷贝即可。
         
      
      5. 单击"下一步"，继续完成授权。
       
   
   6. 选择[上一步]中创建的自定义策略"管理A公司的委托1"，或者"Agent Operator"权限。
      ![](https://support.huaweicloud.com/bestpractice-iam/public_sys-resources/note_3.0-zh-cn.png)
      - 自定义策略：用户仅能管理指定ID的委托，不能管理其他委托。
      
      - "Agent Operator"权限：用户可以管理所有委托。
        
   
   7. 选择授权作用范围。
   
   8. 单击"确定"。
   
   
   
   
2. 创建用户并加入用户组。
   
   1. B账号在统一身份认证服务左侧导航窗格中，单击"用户"
   
   2. 在"用户"界面，单击"创建用户"。
   
   3. 在"创建用户"界面，输入"用户名""邮箱"。
   
   4. "访问方式"选择"管理控制台访问"。
   
   5. "凭证类型"选择"首次登录时设置"。
   
   6. "登录保护"选择"开启"，并选择身份验证方式，单击"下一步"。
   
   7. 在"加入用户组"页面，选择[步骤2]中创建的用户组"委托管理"，单击"创建用户"。
   
   
   
   
3. 切换角色。 
   1. 使用[步骤2]创建的IAM用户，通过"IAM用户登录"方式，登录华为云。登录方法，请参见：[IAM用户登录](https://support.huaweicloud.com/usermanual-iam/iam_01_0552.html)。
   
   2. IAM用户在控制台页面，右上方的用户名中，选择"切换角色"。
      图5切换角色   
      ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002503474165.png) 
   
   3. IAM用户在"切换角色"页面中，输入委托方的账号名称，输入账号名称后，系统将会按照顺序自动匹配委托名称。
      ![](https://support.huaweicloud.com/bestpractice-iam/public_sys-resources/note_3.0-zh-cn.png)
      如果自动匹配的是没有授权的委托，系统将提示没有权限访问，可以删除委托名称，在下拉框中选择已授权的委托名称。
      
   
   4. 单击"确定"，切换至委托方账号中。IAM用户可以对B账号分配委托权限的A账号资源进行管理操作。