¿Cuáles son las diferencias entre IAM y Enterprise Management?

Diferencias entre IAM y Enterprise Management

• Método de habilitación
  • IAM es gratuito y puede usarlo inmediatamente después de registrarse en Huawei Cloud.
  • Enterprise Management es un servicio de gestión de recursos en Huawei Cloud. Después de registrarse en el sistema, debe solicitar la habilitación de Enterprise Management. Para obtener más detalles, consulte Habilitación de centro empresarial.
• Aislamiento de recursos
  • Con IAM, puede crear múltiples proyectos en una región para aislar recursos y autorizar a los usuarios a acceder a recursos en proyectos específicos. Para obtener más información, consulte Proyectos.
  • Mediante Enterprise Management, puede crear proyectos de empresa para aislar recursos en distintas regiones. Enterprise Management le facilita la asignación de permisos para recursos específicos en la nube. Por ejemplo, puede agregar un Elastic Cloud Server (ECS) a un proyecto empresarial y asignar permisos a un usuario para gestionar el ECS en el proyecto. De este modo, el usuario solo puede gestionar este ECS.
• Servicios compatibles
  • Para obtener más detalles sobre los servicios admitidos por IAM, consulte Servicios en la nube admitidos.
  • Para obtener más información sobre los servicios admitidos por Enterprise Management, consulte Servicios en la nube admitidos.

Relación entre Enterprise Management y IAM

• Las funciones de creación de usuarios y grupos de usuarios son las mismas para IAM y Enterprise Management.
• Si ha habilitado Enterprise Management, debe usar las políticas gestionadas en IAM para asignar permisos a los grupos de usuarios creados en Enterprise Management. Si las políticas definidas por el sistema no pueden cumplir sus requisitos, puede crear políticas personalizadas en IAM. Las políticas personalizadas se sincronizarán con Enterprise Management y se pueden asociar a grupos de usuarios tanto en IAM como en Enterprise Management.
• Si otorga a un grupo de usuarios permisos tanto en IAM como en Enterprise Management, los usuarios del grupo tendrán permisos de las políticas adjuntas al grupo tanto en IAM como en Enterprise Management. Las solicitudes de estos usuarios se autenticarán en función de las acciones de las políticas asociadas.
  • Si las políticas adjuntas contienen la misma acción, el efecto de la acción en IAM tiene prioridad. Por ejemplo, cuando un usuario solicita crear un servidor en la nube, se aplica el efecto Deny definido en IAM. Por lo tanto, el usuario no puede crear servidores en la nube.

    A policy attached in an IAM project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:create"
      ],
      "Effect": "Deny"
    }
    
    A policy attached in an enterprise project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:create"
      ],
      "Effect": "Allow"
    }

  • Todas las diferentes acciones en las políticas adjuntas en IAM y Enterprise Management entrarán en vigor. Las siguientes son dos acciones que permiten a los usuarios crear y eliminar servidores en la nube.

    A policy attached in an IAM project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:create"
      ],
      "Effect": "Allow"
    }
    A policy attached in an enterprise project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:delete"
      ],
      "Effect": "Allow"
    }

Proceso de autenticación

Cuando un usuario inicia una solicitud de acceso, el sistema autentica la solicitud basándose en las acciones de las políticas asociadas al grupo al que pertenece el usuario. La siguiente figura muestra el proceso de autenticación.

Figura 1 Proceso de solicitud de autenticación

1. Un usuario inicia una solicitud de acceso.
2. El sistema busca permisos de proyecto de IAM y, a continuación, busca acciones coincidentes en los permisos.
3. Si se encuentra una acción coincidente Allow o Deny, el sistema devuelve un resultado de autenticación (Allow o Deny). A continuación, se completa la autenticación.
4. Si no se encuentran acciones coincidentes en los permisos de proyecto de IAM, el sistema continúa buscando permisos de proyecto de empresa y acciones coincidentes.
5. Si se encuentra una acción coincidente Allow o Deny, el sistema devuelve un resultado de autenticación (Allow o Deny). A continuación, se completa la autenticación.
6. Si no se encuentran acciones coincidentes, el sistema devuelve un Deny. A continuación, se completa la autenticación.