# 通过IAM限制用户的访问时间段 为保障业务和数据安全，您可以通过IAM的策略限定用户仅在指定时间段内可访问云服务。 #### 应用场景 企业A购买了很多华为云资源来开展业务，例如：ECS实例、BMS实例和IMS实例等。为了确保其业务和数据安全，企业希望用户只能在工作时间访问华为云，而不是在任意时间都可以访问华为云。 您可以根据需要创建自定义策略，然后创建IAM用户并为IAM用户授予对应的权限，从而保证IAM用户只能在指定的时间段访问华为云。 #### 步骤一：创建自定义策略 1. 管理员登录[IAM控制台](https://console.huaweicloud.com/iam/?locale=zh-cn#/iam/users)。 2. 在统一身份认证服务，左侧导航窗格中，选择"权限管理\>权限"页签，单击右上方的"创建自定义策略"。 图1创建自定义策略 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002231105601.png "点击放大") 3. 输入"策略名称"，以"example-policy"为例。 4. "策略配置方式"选择"JSON视图"。 5. 在"策略内容"下配置策略。 图2配置策略 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002416538773.png "点击放大") ``` { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "iam:users:createUser" ], "Condition": { "DateGreaterThan": { "g:CurrentTime": [ "2025-03-08T08:05:22Z" ] }, "DateLessThan": { "g:CurrentTime": [ "2025-03-09T08:05:42Z" ] } } }, { "Effect": "Allow", "Action": [ "iam:*:list*", "iam:*:get*" ] } ] } ``` 6. （可选）输入"策略描述"。 7. 单击"确定"。 #### 步骤二：创建IAM用户组 1. 管理员登录[IAM控制台](https://console.huaweicloud.com/iam/?locale=zh-cn#/iam/users)。 2. 在统一身份认证服务，左侧导航窗格中，单击"用户组"\>"创建用户组"。 图3创建用户组 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002232110621.png "点击放大") 3. 在"创建用户组"界面，输入"用户组名称"为"Group"。 用户组名称只能包含中文、大小写字母、数字、空格或特殊字符(-_)。 图4输入用户组信息 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002196381656.png "点击放大") 4. 单击"确定"，完成用户组创建。 返回用户组列表，创建成功的用户组"Group"将会展示在用户组列表中。 #### 步骤三：为IAM用户组授权 1. 在用户组列表中，单击新建用户组"Group"右侧的"授权"。 图5授权 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002197103580.png "点击放大") 2. 在用户组选择策略页面中，勾选步骤一创建的策略"example-policy"。单击"下一步"。 图6选择权限 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002232820549.png "点击放大") 3. 选择权限的作用范围。系统会根据您所选择的策略，自动推荐授权范围方案，便于为用户选择合适的授权作用范围，[表1]为IAM提供的所有授权范围方案。 表1授权范围方案 | 可选方案 | 方案说明 | |:---|:---| | 所有资源 | 授权后，IAM用户可以根据权限使用账号中所有资源，包括企业项目、区域项目和全局服务资源。 | | 指定企业项目资源 | 选择指定企业项目，IAM用户可以根据权限使用该企业项目中的资源。**仅开通企业项目后可选。** 如果您暂未开通企业项目，将不支持基于企业项目授权，了解企业项目请参考：[什么是企业项目管理](https://support.huaweicloud.com/usermanual-em/em_eps_01_0000.html)。如需开通，请参考：[开通企业项目](https://support.huaweicloud.com/usermanual-em/eps_15_0001.html)。 | | 指定区域项目资源 | 选择指定区域项目，IAM用户可以根据权限使用该区域项目中的资源。 如果选择作用范围为"区域项目"，且所勾选的策略包含全局服务权限，系统自动将全局服务权限的作用范围设置为**所有资源**，勾选的区域项目权限的作用范围仍为指定区域项目。 说明： 不支持选择专属云DEC的区域项目。 | | 全局服务资源 | IAM用户可以根据权限使用全局服务。全局服务部署时不区分物理区域。访问全局级服务时，不需要切换区域，如对象存储服务（OBS）、内容分发网络（CDN）等。 如果选择作用范围为"全局服务"，且所勾选的策略包含项目级服务权限，系统自动将项目权限作用范围设置为**所有资源**，勾选的全局服务权限的作用范围仍为全局服务。 | 4. 单击"确定"，完成用户组授权。 #### 步骤四：创建IAM用户 1. 管理员登录[IAM控制台](https://console.huaweicloud.com/iam/?locale=zh-cn#/iam/users)。 2. 在左侧导航窗格中，选择"用户"，单击右上方的"创建用户"。 图7创建用户 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002197029536.png "点击放大") 3. 在"创建用户"页面配置"用户信息"。 图8填写用户信息 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002232469381.png "点击放大") 表2用户信息 | 参数 | 示例 | 描述 | |:---|:---|:---| | 用户名 | **Alice** | 自定义，不可与账号、或账号中其他IAM用户重复。 | | 邮件地址 | **暂不配置** | 自定义，不可与账号、或账号中其他IAM用户重复。可用于IAM用户身份验证、重置密码。 | | 手机号 | **暂不配置** | 自定义，不可与账号、或账号中其他IAM用户重复。可用于IAM用户身份验证、重置密码。 | ![](https://support.huaweicloud.com/bestpractice-iam/public_sys-resources/note_3.0-zh-cn.png) - 用户可以使用此处设置的用户名、邮件地址或手机号任意一种方式登录华为云。 - 当用户忘记密码时，可以通过此处绑定的邮箱或手机自行重置密码，如果用户没有绑定邮箱或手机号码，只能由管理员重置密码。 4. 选择"访问方式"。 图9选择访问方式 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002197189208.png "点击放大") 表3访问方式 | 访问方式 | 说明 | |:---|:---| | 编程访问 | 为IAM用户启用**访问密钥** **或** **密码**，支持用户通过API、CLI、SDK等开发工具访问云服务。 | | 管理控制台访问 | 为IAM用户启用**密码**，支持用户登录管理控制台访问云服务。此时凭证类型"密码"为必选项。 | 5. 配置"凭证类型"。 图10配置凭证类型 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002247188740.png "点击放大") 表4配置凭证类型 | 凭证类型 || 示例 | 说明 | |:---|---|:---|:---| | 访问密钥 || **勾选** | 访问密钥（AK/SK，Access Key ID/Secret Access Key）包含访问密钥ID（AK）和秘密访问密钥（SK）两部分，是您在华为云的长期身份凭证，您可以通过访问密钥对华为云[API的请求进行签名](https://support.huaweicloud.com/devg-apisign/api-sign-provide.html)。 创建用户完成后即可下载本次创建的所有用户的[访问密钥（AK/SK）](https://support.huaweicloud.com/usermanual-ca/ca_01_0003.html)。 | | 密码 | 自定义 | - | 自定义用户密码，并选择用户首次登录时是否需要重置密码。 如果您是用户的使用主体，建议您选择该方式，设置自己的登录密码，且无需勾选首次登录时重置密码。 | | 密码 | 自动生成 | - | 系统自动生成IAM用户的登录密码，创建完用户即可下载Excel形式的密码文件。将密码文件提供给用户，用户使用该密码登录。 密码文件需在创建完用户后及时下载，如取消下载将无法再次获取该密码文件。可以通过[修改IAM用户密码](https://support.huaweicloud.com/usermanual-iam/iam_01_0653.html)重新设置用户密码。 **仅在创建单个用户时适用。** | | 密码 | 首次登录时设置 | **选择** | 系统通过邮件发一次性登录链接给用户，用户登录控制台并设置密码。 如果您不是用户的使用主体，建议选择该方式，同时输入用户的邮件地址和手机，用户通过邮件中的一次性链接登录华为云，自行设置密码。该链接**2天**内有效。 | | USB KEY || **不勾选** | USB KEY是一种通过硬件存储用户凭证的设备。使用USB KEY进行身份验证，无需输入密码，可以避免密码意外泄漏带来的账号安全问题。 勾选后，该IAM用户只能使用USB KEY登录，IAM用户将无法使用密码相关功能。 | 6. 开启或关闭"登录保护"设置。仅访问方式勾选管理控制台访问时，可以开启或关闭。此处选择开启。 - 开启登录保护：开启登录保护后，IAM用户登录时，除了在登录页面输入用户名和密码外（第一次身份验证），还需要在登录验证页面输入验证码（第二次身份验证）。该功能是一种安全实践，建议开启登录保护，多次身份认证可以提高安全性。 您可以选择通过手机、邮件地址、虚拟MFA进行登录验证。 图11开启登录保护 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002275915177.png "点击放大") - 关闭登录保护：创建完成后，如需开启登录保护，请参见：[登录保护](https://support.huaweicloud.com/usermanual-iam/iam_07_0002.html)。 图12关闭登录保护 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002240956060.png "点击放大") 7. 开启或关闭"API登录保护"设置。仅登录保护开启并且验证方式选择虚拟MFA时，可以开启或关闭。 - 开启API登录保护：开启API登录保护后，将无法通过"密码方式"获取IAM用户Token，需要通过"密码+虚拟MFA方式"获取。如需通过密码+虚拟MFA方式获取IAM用户Token，请参见：[获取IAM用户Token（使用密码+虚拟MFA）](https://support.huaweicloud.com/api-iam/iam_03_0006.html)。 - 关闭API登录保护：创建完成后，如需开启API登录保护，需要在IAM用户列表中单击操作列的"安全设置"，单击"登录保护\>验证方式"右侧的"![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002275795285.png)"，选择验证方式为虚拟MFA，开启API登录保护。 8. 单击"下一步"，将"Alice"加入到步骤二创建的用户组"Group"中。 图13加入用户组 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002197029624.png "点击放大") 9. 单击"创建用户"，IAM用户"Alice"创建完成。 图14创建成功 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002416498933.png "点击放大") #### 步骤五：IAM用户登录控制台 1. IAM用户Alice可以在2025年3月8日上午8时05分22秒至2025年3月9日上午8时05分22秒之间登录页面，单击登录下方的"IAM用户"，在"IAM用户登录"页面，输入**"租户名/原华为云账号名"、"IAM用户名/邮件地址"** 和**"IAM用户密码"** 。 图15IAM用户登录 ![](https://support.huaweicloud.com/bestpractice-iam/zh-cn_image_0000002197510872.png "点击放大") 表5登录信息 | 参数 | 示例 | 说明 | |:---|:---|:---| | 租户名/原华为云账号名 | **Company-A** | IAM用户所属的账号。此处假设A公司的账号名为"Company-A"。 | | IAM用户名/邮件地址 | **Alice** | 在IAM创建用户时，输入的IAM用户名/邮件地址。如果不知道IAM用户名及初始密码，请向管理员获取。 | | IAM用户密码 | **\*\*\*\*\*\*\*\*** | IAM用户的密码，非账号密码。此处需要输入上一步中下载的Alice用户的密码。 | 2. 单击"登录"，IAM用户Alice登录华为云。 ![](https://support.huaweicloud.com/bestpractice-iam/public_sys-resources/note_3.0-zh-cn.png) 若在上述时间范围之外登录并访问统一身份认证服务，将无法创建IAM用户。