分配委托权限（被委托方操作）

B公司为专业的代运维公司，当其他公司（例如A公司）与B公司创建了委托关系，即B公司为被委托方。B公司希望将其他公司委托的资源分配给公司中一个或多个员工（IAM用户），进行精细的权限管理，本文主要介绍使用IAM的用户授权功能分配委托以及委托的细粒度授权。

企业需求

B公司希望将其他公司委托的资源分配给公司中员工（IAM用户），让员工帮助管理委托的资源。
如果一个公司与B公司创建了多个委托关系，B公司希望这些委托分配给不同的员工，让员工仅能管理一个特定的委托。

解决方案

针对以上企业需求，可以使用IAM的用户授权功能，实现给员工分配委托以及委托的细粒度授权。

B账号在IAM控制台创建用户，并将管理委托的权限（Agent Operator）授予用户，员工使用这个用户帮助B账号管理委托。
B账号创建自定义的细粒度策略，在细粒度策略中指定一个委托的权限，并将这个细粒度策略授予用户，使得用户仅能管理一个特定的委托。

操作流程

以B账号将委托分配给IAM用户进行管理为例，说明使用IAM的用户授权功能，实现分配委托以及对委托进行精细授权的的操作方法，委托权限分配完成后，B账号中的IAM用户通过切换角色的方式，可以切换到A账号中，管理委托方授权的资源。B账号需要提前获取委托公司的华为账号名称、所创建的委托名称以及委托的ID。

创建用户组并授权。
1. B账号在统一身份认证服务左侧导航窗格中，单击“用户组”。
2. 在“用户组”界面中，单击“创建用户组”。
3. 输入“用户组名称”，例如“委托管理”。
4. 单击“确定”。
  返回用户组列表，用户组列表中显示新创建的用户组。
5. 单击新建用户组右侧的“授权”，进入授权界面。
  - 如果需要用户仅管理一个特定的委托，请执行以下步骤对委托进行精细授权。
  - 如果需要用户管理所有委托，请跳过该步骤，直接执行下一步。
  1. 在选择策略页面，单击权限列表右上角“新建策略”。
  2. 输入“策略名称”，例如“管理A公司的委托1”。
  3. “策略配置方式”选择“JSON视图”。
  4. 在“策略内容”区域，填入以下内容：
```
{
        "Version": "1.1",
        "Statement": [
                {
                        "Action": [
                                "iam:agencies:assume"
                        ],
                        "Resource": {
                                "uri": [
                                        "/iam/agencies/b36b1258b5dc41a4aa8255508xxx..."
                                ]
                        },
                        "Effect": "Allow"
                }
        ]
}
```
    "b36b1258b5dc41a4aa8255508xxx..."需要替换为待授权委托的ID，需要提前向委托方获取，其他内容不需修改，直接拷贝即可。
  5. 单击“下一步”，继续完成授权。
6. 选择上一步中创建的自定义策略“管理A公司的委托1”，或者“Agent Operator”权限。
  - 自定义策略：用户仅能管理指定ID的委托，不能管理其他委托。
  - “Agent Operator”权限：用户可以管理所有委托。
7. 选择授权作用范围。
8. 单击“确定”。
创建用户并加入用户组。
1. 在统一身份认证服务左侧导航窗格中，单击“用户”
2. 在“用户”界面，单击“创建用户”。
3. 在“创建用户”界面，输入“用户名”“邮箱”。
4. “访问方式”选择“管理控制台访问”。
5. “凭证类型”选择“首次登录时设置”。
6. “登录保护”选择“开启”，并选择身份验证方式，单击“下一步”。
7. 在“加入用户组”页面，选择步骤2中创建的用户组“委托管理”，单击“创建用户”。
切换角色。
1. 使用步骤3创建的用户，使用“IAM用户登录”方式，登录华为云。登录方法，请参见：IAM用户登录。
2. 在控制台页面，右上方的用户名中，选择“切换角色”。
3. 在“切换角色”页面中，输入委托方的账号名称，输入账号名称后，系统将会按照顺序自动匹配委托名称。
  
  如果自动匹配的是没有授权的委托，系统将提示没有权限访问，可以删除委托名称，在下拉框中选择已授权的委托名称。
4. 单击“确定”，切换至委托方账号中。