Autorização de usuários do IAM para gerenciar recursos de uma conta

Requisitos

• A empresa B quer autorizar seus funcionários (usuários do IAM) a gerenciar os recursos delegados da empresa A.
• Se a empresa A cria várias agências para a empresa B, a empresa B pode alocar as agências para diferentes funcionários. Isso permitirá que cada funcionário gerencie apenas recursos de agências específicas.

Solução

• A conta B cria usuários no console do IAM e concede as permissões (incluindo Agent Operator) necessárias para o gerenciamento de recursos delegados aos usuários.
• A conta B cria uma política personalizada com apenas as permissões necessárias para gerenciar os recursos delegados de uma agência. Em seguida, a conta B anexa a política ao grupo ao qual um usuário pertence, para que o usuário só possa gerenciar os recursos da agência.

Procedimento

A conta B executa o procedimento a seguir para autorizar os usuários do IAM a gerenciar recursos de agências específicas. Após a autorização, os usuários do IAM da conta B podem mudar suas funções para a conta A para gerenciar os recursos da conta A. Para fazer isso, a conta B precisa ter obtido a conta (HUAWEI ID), o nome da agência e o ID da agência da parte delegante.

1. Crie um grupo de usuários e conceda permissões a ele.
   1. No painel de navegação, escolha User Groups.
   2. Na página User Groups, clique em Create User Group.
   3. Digite o nome do grupo de usuários, por exemplo, Agency Management.
   4. Clique em OK.

      O grupo de usuários é exibido na lista de grupos de usuários.

   5. Na linha que contém o grupo de usuários de destino, clique em Authorize.
      

      • Para autorizar um usuário a gerenciar apenas os recursos de uma agência específica, execute as etapas a seguir.
      • Para autorizar um usuário a gerenciar os recursos de todas as agências, vá para a próxima etapa.
      1. Na página Select Policy/Role, clique em Create Policy no canto superior direito.
      2. Digite um nome de política, por exemplo, Agency 1 for Managing Company A.
      3. Selecione JSON para Policy View.
      4. Na área Policy Content, insira o seguinte conteúdo:

         {
                 "Version": "1.1",
                 "Statement": [
                         {
                                 "Action": [
                                         "iam:agencies:assume"
                                 ],
                                 "Resource": {
                                         "uri": [
                                                 "/iam/agencies/b36b1258b5dc41a4aa8255508xxx..."
                                         ]
                                 },
                                 "Effect": "Allow"
                         }
                 ]
         }
         

         Substitua b36b1258b5dc41a4aa8255508xxx... pelo ID da agência obtido de uma parte delegante. Não faça nenhuma outra alteração.

      5. Clique em Next.
   6. Selecione a agência Agency 1 for Managing Company A criada na etapa anterior ou a função Agent Operator.
      

      • A política personalizada permite que o usuário gerencie apenas recursos de um ID de agência específica.
      • A função Agent Operator permite que o usuário gerencie os recursos de todas as agências.
   7. Especifique o escopo da autorização.
   8. Clique em OK.

2. Crie um usuário e adicione o usuário ao grupo de usuários.
   1. No painel de navegação, escolha Users.
   2. Na página Users, clique em Create User.
   3. Na página Create User, insira um nome de usuário e um endereço de e-mail.
   4. Para Access Type, selecione Management console access.
   5. Para Credential Type, selecione Set by user.
   6. Habilite a proteção de logon, selecione um modo de verificação e clique em Next.
   7. Selecione o grupo de usuários Agency Management criado em 2 e clique em Create.

3. Mude o papel.
   1. Faça logon na Huawei Cloud como o usuário criado em 2. Para obter mais informações, consulte Fazer logon como um usuário do IAM.
   2. Clique no nome de usuário no canto superior direito e escolha Switch Role.

      

   3. Insira o nome da conta da parte delegante. A agência criada pela parte delegante é exibida automaticamente.
      

      Se uma agência diferente das agências criadas pela parte delegante for exibida, uma mensagem será exibida indicando que você não tem permissões de acesso. Selecione a agência correta na caixa de listagem suspensa Agency Name.

   4. Clique em OK para alternar para a conta de delegação.