Introducción
Puede utilizar Identity and Access Management (IAM) para la gestión detallada de permisos de sus recursos de EVS. Si su cuenta de Huawei Cloud no necesita usuarios individuales de IAM, puede omitir esta sección.
Con IAM, puede controlar el acceso a recursos específicos de Huawei Cloud desde los principales (usuarios de IAM, grupos de usuarios, delegaciones o delegaciones de confianza). IAM admite la autorización basada en roles/políticas y la autorización basada en políticas de identidad.
La siguiente tabla describe las diferencias entre estos dos modelos de autorización.
| Parámetro | Relación principal | Permisos | Método de autorización | Descripción |
|---|---|---|---|---|
| Autorización basada en roles/políticas | Alcance de la autorización de permisos de usuario |
| Asignación de roles o políticas a entidades de seguridad | Para autorizar a un usuario, primero debe agregarlo a un grupo de usuarios y luego especificar el alcance de la autorización. Proporciona un número limitado de claves de condición y no puede cumplir con los requisitos de control de permisos detallado. Este método es adecuado para pequeñas y medianas empresas. |
| Autorización basada en políticas de identidad | Alcance de la política de usuario |
|
| Puede autorizar a un usuario adjuntando una política de identidad a este. La autorización específica del usuario y una variedad de condiciones clave permiten un control de permisos más detallado. Sin embargo, este modelo puede ser difícil de configurar. Requiere cierta experiencia y es adecuado para empresas medianas y grandes. |
Supongamos que desea otorgar a los usuarios de IAM permiso para crear ECS en CN North-Beijing4 y buckets de OBS en CN South-Guangzhou. Con la autorización basada en roles/políticas, el administrador debe crear dos políticas personalizadas y asignar ambas a los usuarios de IAM. Con la autorización basada en políticas de identidad, el administrador solo necesita crear una política de identidad personalizada y configurar la clave de condición g:RequestedRegion para la política, y luego adjuntar la política a los usuarios o conceder a los usuarios los permisos de acceso a las regiones especificadas. La autorización basada en políticas de identidad es más flexible que la autorización basada en roles/políticas.
Las políticas/políticas de identidad y las acciones en los dos modelos de autorización no son interoperables. Se recomienda utilizar el modelo de autorización basado en políticas de identidad.
Supongamos que un usuario de IAM desea invocar una API para ampliar la capacidad de un disco. Con la autorización basada en roles/políticas, se deben otorgar al usuario de IAM los permisos que permiten la acción evs:volumes:extend. Con la autorización basada en políticas de identidad, se deben otorgar al usuario de IAM los permisos que permiten la acción evs:volumes:resize.
