Primeiros passos
Esta seção descreve o gerenciamento de permissões refinado para seu BMS. Se sua conta da Huawei Cloud não precisar de usuários do IAM individuais, você pode pular esta seção.
Por padrão, novos usuários do IAM não têm permissões concedidas. Você precisa adicionar um usuário a um ou mais grupos e atribuir políticas ou funções a esses grupos. O usuário então herda permissões dos grupos dos quais é membro. Esse processo é chamado de autorização. Após a autorização, o usuário pode executar operações especificadas no BMS com base nas permissões.
Você pode conceder permissões aos usuários usando funções e políticas. As funções são fornecidas pelo IAM para definir permissões baseadas em serviço, dependendo das responsabilidades de trabalho dos usuários. As políticas definem permissões baseadas em API para operações em recursos específicos sob determinadas condições, permitindo um controle de acesso mais refinado e seguro dos recursos na nuvem.
A autorização baseada em políticas é útil se você deseja permitir ou negar o acesso a uma API.
Uma conta tem todas as permissões necessárias para chamar todas as APIs, mas os usuários do IAM devem ter as permissões necessárias especificamente atribuídas. As permissões necessárias para chamar uma API são determinadas pelas ações suportadas pela API. Somente os usuários que têm as permissões que permitem as ações podem chamar a API. Por exemplo, se um usuário do IAM consultar BMSs usando uma API, o usuário deve ter recebido permissões que permitam a ação bms:servers:list.
Ações suportadas
O BMS fornece políticas definidas pelo sistema que podem ser usadas diretamente no IAM. Você também pode criar políticas personalizadas e usá-las para complementar políticas definidas pelo sistema, implementando um controle de acesso mais refinado. As ações suportadas pelas políticas são específicas das API. Seguem-se conceitos comuns relacionados com as políticas:
- Permissão: uma declaração em uma política que permite ou nega certas operações.
- As APIs: as APIs REST que podem ser chamadas em uma política personalizada.
- Ações: ações adicionadas a uma política personalizada para controlar permissões para operações específicas.
- Ações dependentes: ao atribuir uma ação aos usuários, você também precisa atribuir permissões dependentes para que essa ação entre em vigor.
- Projeto do IAM/Projeto empresarial: uma política personalizada pode ser aplicada a projetos do IAM ou projetos corporativos ou a ambos. As políticas que contêm ações que suportam projetos do IAM e da empresa podem ser atribuídas a grupos de usuários e entrar em vigor no IAM e no Enterprise Management. As políticas que contêm apenas ações que suportam projetos do IAM podem ser atribuídas a grupos de usuários e só entram em vigor para o IAM. Essas políticas não terão efeito se forem atribuídas a grupos de usuários no Enterprise Management.
√: suportado; x: não suportado
O BMS suporta as seguintes ações que podem ser definidas em políticas personalizadas:
- Ações de gerenciamento do ciclo de vida, incluindo ações suportadas pelas APIs de gerenciamento do ciclo de vida do BMS, como as APIs para criar BMSs e consultar detalhes do BMS.
- Ações de gerenciamento de status, incluindo ações suportadas pelas APIs de gerenciamento de status do BMS, como as APIs para parar, reiniciar e iniciar BMSs em lotes.
- Ações de gerenciamento de senhas, incluindo ações suportadas pelas APIs relacionadas a senhas do BMS, como as APIs para consultar se as senhas do BMS podem ser redefinidas e para redefinir a senha do BMS.
- Ações de consulta de flavors, incluindo ações suportadas pelas APIs relacionadas aos flavors do BMS, como as APIs para consultar detalhes sobre flavors e informações de flavors estendidas.
- Ações de gerenciamento de NIC, incluindo ações suportadas pelas APIs relacionadas à NIC do BMS, como as APIs para consultar NICs do BMS.
- Ações de gerenciamento de disco, incluindo ações suportadas pelas APIs relacionadas a disco do BMS, como as APIs para anexar discos a um BMS e desanexar discos de um BMS.
- Ações de gerenciamento de metadados, incluindo ações suportadas pelas APIs relacionadas com metadados do BMS, como a API para atualizar os metadados do BMS.
- Ações de gerenciamento de cotas de locatários, incluindo ações suportadas pelas APIs relacionadas a cotas do BMS, como a API para consultar cotas de locatários.
Descrições de ação
- As ações e os escopos das APIs OpenStack nativo do BMS são os mesmos do ECS. Para obter detalhes, consulte Políticas de permissões e ações suportadas em Referência de API do Elastic Cloud Server.
- Ao personalizar uma política de usuário do BMS no IAM, adicione as permissões ecs:*:get and ecs:*:list. Caso contrário, as funções em algumas páginas não podem funcionar corretamente.
- Redes de alta velocidade e redes definidas pelo usuário não suportam projetos corporativos. Para usar as duas funções, use a conta principal.
- A permissão vpc:ports:get deve ser atribuída à subconta de um projeto corporativo. Caso contrário, o EIP e o grupo de segurança não poderão ser exibidos corretamente na página de detalhes do BMS.
