更新时间:2022-02-22 GMT+08:00
GES系统权限
GES权限
默认情况下,管理员创建的IAM用户没有任何权限,您需要将其加入用户组,并给用户组授予策略或角色,才能使得该用户组中的用户获得对应的权限,这一过程称为授权。授权后,用户就可以基于被授予的权限对云服务进行操作。
GES部署时通过物理区域划分,为项目级服务。授权时,“作用范围”需要选择“区域级项目”,然后在指定区域对应的项目中设置相关权限,并且该权限仅对此项目生效;如果在“所有项目”中设置权限,则该权限在所有区域项目中都生效。访问GES时,需要先切换至授权区域。
- 权限类别:根据授权精程度分为角色和策略。
- 角色:IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度,提供有限的服务相关角色用于授权。由于各服务之间存在业务依赖关系,因此给用户授予角色时,可能需要一并授予依赖的其他角色,才能正确完成业务。角色并不能满足用户对精细化授权的要求,无法完全达到企业对权限最小化的安全管控要求。
- 策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等(自定义策略),也支持粗粒度授权(系统策略)。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。从能力上看,策略是角色的升级,推荐使用策略的方式进行授权。
GES支持的API授权项。
- 依赖关系:各服务之间存在业务交互关系,因此给用户授予GES的权限时,需要同时授予所依赖的其他云服务的权限,GES的权限才能生效。
- 兼容性说明:
- 2.2.4(不含)之前版本的图只能使用角色权限。如果需要策略权限,则要升级到最新版本或者重新建图。
- 2.2.4(包含)之后版本的图,同时支持策略和角色,推荐使用策略。
![](https://support.huaweicloud.com/intl/zh-cn/ae-ad-1-usermanual-ges/public_sys-resources/note_3.0-zh-cn.png)
由于缓存的存在,对用户和用户组授予OBS相关的角色后,大概需要等待13分钟角色才能生效;授予策略后,大概需要等待5分钟策略才能生效。
父主题: 权限管理