# 通过IAM对多运维人员进行权限设置
#### 方案概述
A公司在华为云中购买了多种资源，公司中有多个职能团队，这些职能团队需要使用一种或者多种资源，因此涉及到多运维人员权限设置需求，通过IAM的身份策略功能可以实现该需求。
#### 资源规划
根据A公司中员工所负责的不同职能，将员工划分为以下七个团队。
图1权限设置模型   
![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002572621768.png "点击放大")
- 资源总运维：负责管理公司所有资源的团队。
- 财务管理：负责管理公司财务的团队。
- 查看资源：负责查看并监控所有资源使用情况的团队。
- 计算域运维：负责计算域运维的团队。
- 网络域运维：负责网络域运维的团队。
- 数据库运维：负责数据库运维的团队。
- 安全域运维：负责安全域运维的团队。
通过[表1]，给公司中不同的职能团队设置不同的权限，可以实现各团队之间权限隔离，各司其职。如需了解华为云所有云服务的系统权限，请参见：[系统身份策略](https://support.huaweicloud.com/usermanual-permissions/iam_01_0002.html)。
 表1团队权限说明 
| 职能团队                                              | 需要授予的策略                   | 权限说明                                                                                             |
|:---|:---|:---|
| 资源总运维                                             | AdministratorAccessPolicy | 所有服务的所有权限。                                                                                       |
| 财务管理                                              | BILLINGFullAccessPolicy   | 费用中心、账号中心、成本中心、企业中心、消息中心的所有执行权限。                                                                 |
| 查看资源                                              | ReadOnlyPolicy            | 所有服务的只读权限。                                                                                       |
| 计算域运维    | ECSFullPolicy             | 弹性云服务器（ECS）的所有执行权限，包括购买ECS的权限，仅拥有该权限的用户不能查看ECS以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。  |
| 计算域运维    | CCEFullPolicy             | 云容器引擎（CCE）的所有执行权限，包括购买CCE的权限，仅拥有该权限的用户不能查看CCE以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。   |
| 计算域运维    | ASFullPolicy              | 弹性伸缩（AS）的所有执行权限，包括购买AS的权限，仅拥有该权限的用户不能查看AS以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。       |
| 网络域运维         | VPCFullAccessPolicy       | 虚拟私有云（VPC）的所有执行权限，包括购买VPC的权限，仅拥有该权限的用户不能查看VPC以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。   |
| 网络域运维         | ELBFullAccessPolicy       | 弹性负载均衡（ELB）的所有执行权限，包括购买ELB的权限，仅拥有该权限的用户不能查看ELB以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。  |
| 数据库运维   | RDSFullAccessPolicy       | 云数据库（RDS）的所有执行权限，包括购买RDS的权限，仅拥有该权限的用户不能查看RDS以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。    |
| 数据库运维   | DDSFullAccessPolicy       | 文档数据库服务（DDS）的所有执行权限，包括购买DDS的权限，仅拥有该权限的用户不能查看DDS以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。 |
| 数据库运维   | DDMFullAccessPolicy       | 分布式数据库中间件的所有执行权限。                                                                                |
| 安全领域运维   | Anti-DDoSFullAccessPolicy | Anti-DDoS流量清洗服务的所有执行权限。                                                                          |
| 安全领域运维   | AADFullAccessPolicy       | DDoS高防服务的所有执行权限。                                                                                 |
| 安全领域运维   | KMSFullAccessPolicy       | KMS的所有权限策略，包括购买KMS的权限，仅拥有该权限的用户不能查看KMS以及其他资源的总体消费情况，如果需要查看消费情况，需要配合BSS Administrator使用。          |
   
根据以上职能团队的划分，资源规划情况包含以下内容：
表2资源规划 
| 资源     | 资源名称                          | 资源说明                                    | 数量 |
|:---|:---|:---|:---|
| 管理员账号  | Company-A                     | A公司用于管理资源和权限所创建的账号。                     | 1  |
| IAM用户组 | 网络域运维                         | A公司根据团队职能需要划分为七个用户组，此处仅以创建用户组"网络域运维"为例。 | 1  |
| IAM用户  | James、Alice                   | 此处仅以创建IAM用户"James"和"Alice"为例。           | 2  |
| 权限     | VPC FullAccess、ELB FullAccess | 根据上表可知，需要为"网络域运维"用户组配置两个权限。             | 2  |
   
![](https://support.huaweicloud.com/bestpractice-iam5/public_sys-resources/note_3.0-zh-cn.png)
因为统一身份认证服务为免费服务，因此此最佳实践中不涉及费用。
#### 操作流程
IAM通过用户组功能实现用户的授权。本文档以A公司将一个员工配置为网络域运维负责人为例，介绍如何通过IAM实现多运维人员权限设置需求，流程如[图2 操作流程]所示。如果需要将员工配置为其他运维负责人，请参考[表1 团队权限说明]，为相关负责人授予相应的系统身份策略。
图2操作流程   
![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002366592830.png)
**步骤一：创建用户组并授权**
1. A公司管理员登录并进入华为云控制台。
2. 在控制台页面中将鼠标移动至右上角的用户名，选择"统一身份认证"。
3. 在统一身份认证服务的左侧导航空格中，单击"用户组"\>"创建用户组"。
   图3创建用户组   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400358617.png "点击放大") 
4. 在"创建用户组"界面，输入"用户组名称"为"网络域运维"，单击"确定"。用户组名称只能包含中文、大小写字母、数字、空格或特殊字符(-_)。
   图4输入名称   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400238921.png) 
5. 单击新建用户组右侧的"授权"。
   图5授权   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400239165.png "点击放大") 
6. 在搜索框中搜索"VPCFullAccessPolicy"和"ELBFullAccessPolicy"，勾选并单击"确定"。
   图6勾选权限   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400239473.png "点击放大") 
7. 单击"确定"，完成对"网络域运维"用户组的授权。创建成功的用户组将会展示在用户组列表中。 可以单击"网络域运维"用户组的名称，在"授权记录"页签下查看已授予的权限。
   
   
**步骤二：创建IAM用户并加入用户组**
1. A公司管理员在统一身份认证服务，左侧导航中，选择"用户"。
2. 在用户页面，单击右上角"创建用户"。
   图7创建用户   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400239993.png "点击放大") 
3. 配置用户James和Alice的基本信息
   在"创建用户"界面填写"用户名"、"描述"和"管理控制台访问"，并设置密码。
   图8配置用户信息   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400360945.png "点击放大") 
4. 单击"下一步"，将IAM用户James、Alice加入到上一步中创建的"网络域运维"用户组。
   图9加入用户组   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400362713.png "点击放大") 
5. 单击"创建创建用户"，IAM用户创建完成，此时可以下载登录密码。
   图10创建成功   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002400243621.png "点击放大") 
**步骤三：IAM用户登录并验证权限**
IAM用户登录有多种方式，如下步骤仅讲述其中一种，更多登录方式请参见：[登录华为云](https://support.huaweicloud.com/usermanual-iam5/iam_01_1142.html)。
1. IAM用户James或Alice在华为云登录页面，单击右下角的"IAM用户登录"。
2. 在"IAM用户登录"页面，输入A公司账号名Company-A、IAM用户名及用户密码。
   - 账号名为该IAM用户所属账号的名称。
   
   - 用户名和密码为账号在IAM创建用户时输入的用户名和密码。
   
   
   图11IAM用户登录   
   ![](https://support.huaweicloud.com/bestpractice-iam5/zh-cn_image_0000002572492226.png "点击放大") 
3. 登录成功后，IAM用户进入华为云控制台。
4. 在"服务列表"中选择虚拟私有云VPC、弹性负载均衡ELB，可以进入这些服务的主页面并进行管理操作，权限配置成功。
5. 在"服务列表"中选择除以上服务外的任一服务，系统提示权限不足，权限配置成功。