Quais são as diferenças entre IAM e Enterprise Management?

Diferenças entre IAM e Enterprise Management

• Método de ativação
  • O IAM é gratuito e você pode usá-lo imediatamente depois de se registrar na HUAWEI CLOUD.
  • O Enterprise Management é um serviço de gerenciamento de recursos na HUAWEI CLOUD. Depois de se registrar no sistema, você precisa se inscrever para ativar o Enterprise Management. Para obter detalhes, consulte Ativação do Centro de empresas.
• Isolamento de recursos
  • Usando o IAM, você pode criar vários projetos em uma região para isolar recursos e autorizar os usuários a acessar recursos em projetos específicos. Para obter detalhes, consulte Projetos.
  • Usando o Enterprise Management, você pode criar projetos empresariais para isolar recursos entre regiões. O Enterprise Management facilita a atribuição de permissões para recursos de nuvem específicos. Por exemplo, você pode adicionar um Elastic Cloud Server (ECS) a um projeto empresarial e atribuir permissões a um usuário para gerenciar o ECS no projeto. Em seguida, o usuário pode gerenciar apenas esse ECS.
• Serviços com suporte
  • Para obter detalhes sobre os serviços suportados pelo IAM, consulte Serviços de nuvem com suporte.
  • Para obter detalhes sobre os serviços suportados pelo Enterprise Management, consulte Serviços de nuvem com suporte.

Relação entre o Enterprise Management e o IAM

• As funções de criação de usuários e grupos de usuários são as mesmas para o IAM e o Enterprise Management.
• Se você tiver ativado o Enterprise Management, precisará usar as políticas gerenciadas no IAM para atribuir permissões a grupos de usuários criados no Enterprise Management. Se as políticas definidas pelo sistema não atenderem aos seus requisitos, você poderá criar políticas personalizadas no IAM. As políticas personalizadas serão sincronizadas com o Enterprise Management e poderão ser associadas a grupos de usuários no IAM e no Enterprise Management.
• Se você conceder a um grupo de usuários permissões no IAM e no Enterprise Management, os usuários do grupo terão permissões das políticas anexadas ao grupo no IAM e no Enterprise Management. As solicitações desses usuários serão autenticadas com base nas ações nas políticas associadas.
  • Se as políticas anexadas contiverem a mesma ação, o efeito da ação no IAM terá prioridade. Por exemplo, quando um usuário solicita a criação de um servidor em nuvem, o efeito Deny definido no IAM é aplicado. Portanto, o usuário não pode criar servidores em nuvem.

    A policy attached in an IAM project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:create"
      ],
      "Effect": "Deny"
    }
    
    A policy attached in an enterprise project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:create"
      ],
      "Effect": "Allow"
    }

  • Todas as diferentes ações nas políticas anexadas no IAM e no Enterprise Management entrarão em vigor. A seguir estão duas ações que permitem que os usuários criem e excluam servidores em nuvem.

    A policy attached in an IAM project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:create"
      ],
      "Effect": "Allow"
    }
    A policy attached in an enterprise project contains the following action:
    {
      "Action": [
        "ecs:cloudServers:delete"
      ],
      "Effect": "Allow"
    }

Processo de autenticação

Quando um usuário inicia uma solicitação de acesso, o sistema autentica a solicitação com base nas ações nas políticas anexadas ao grupo ao qual o usuário pertence. A figura a seguir mostra o processo de autenticação.

Figura 1 Processo de autenticação de solicitação

1. Um usuário inicia uma solicitação de acesso.
2. O sistema procura permissões de projeto do IAM e, em seguida, procura ações correspondentes nas permissões.
3. Se uma ação Allow ou Deny correspondida for encontrada, o sistema retornará um resultado de autenticação (Allow ou Deny). Em seguida, a autenticação é concluída.
4. Se nenhuma ação correspondente for encontrada nas permissões de projeto do IAM, o sistema continuará a procurar permissões de projeto empresarial e ações correspondentes.
5. Se uma ação Allow ou Deny correspondida for encontrada, o sistema retornará um resultado de autenticação (Allow ou Deny). Em seguida, a autenticação é concluída.
6. Se nenhuma ação correspondente for encontrada, o sistema retornará um Deny. Em seguida, a autenticação é concluída.