更新时间:2023-04-25 GMT+08:00

策略及授权项说明

如果您需要对您所拥有的Hyperledger Fabric增强版服务进行精细的权限管理,您可以使用统一身份认证服务(Identity and Access Management,简称IAM),如果华为云帐号已经能满足您的要求,不需要创建独立的IAM用户,您可以跳过本章节,不影响您使用Hyperledger Fabric增强版服务的其它功能。

策略是以JSON格式描述权限集的语言。默认情况下,新建的IAM用户没有任何权限,您需要将其加入用户组,并给用户组授予策略,才能使用户组中的用户获得策略定义的权限,这一过程称为授权。授权后,用户就可以基于策略对云服务进行操作。

根据授权的精细程度,分为角色策略。角色以服务为粒度,是IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略以API接口为粒度进行权限拆分,授权更加精细,可以精确到某个操作、资源和条件,能够满足企业对权限最小化的安全管控要求。

Hyperledger Fabric增强版的策略说明请参考权限管理

支持的授权项

策略支持的操作与API相对应,授权项列表说明如下:

  • 权限:允许或拒绝某项操作。
  • 对应API接口:自定义策略实际调用的API接口。
  • 授权项:自定义策略中支持的Action,在自定义策略中的Action中写入授权项,可以实现授权项对应的权限功能。
  • 依赖的授权项:部分Action存在对其他Action的依赖,需要将依赖的Action同时写入授权项,才能实现对应的权限功能。
  • IAM项目(Project)/企业项目(Enterprise Project):

    自定义策略的授权范围,包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目,表示此授权项对应的自定义策略,可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目,不支持企业项目,表示仅能在IAM中给用户组授权并生效,如果在企业管理中授权,则该自定义策略不生效。关于IAM项目与企业项目的区别,详情请参见:IAM与企业管理的区别

如果您需要允许或者禁止某个接口的操作权限,请使用策略。使用策略时,注意事项如下:

  1. 目前只有基于已有集群创建的区块链实例支持细粒度授权功能,区块链所使用的集群需要进行权限预处理,应使用具有CCE Administrator及以上权限的帐号在CCE控制台的权限管理页面为指定集群授予命名空间权限。例如为具有BCS Fabric ReadOnlyAccess权限的用户组授予view命名空间权限,为具有BCS Fabric FullAcces权限的用户组授予cluster admin命名空间权限。具体操作请参考CCE命名空间权限
  2. 若用户想要查询委托状态,则需额外授予IAM ReadOnlyAccess。若需要授权委托,请联系具有Security Administrator角色的帐号进行授权。
  3. 如果需要创建包周期区块链实例,需要额外授予BSS Operator角色。请勿将BCS Fabric ReadOnlyAccess和BSS的角色放在一起使用,以免造成意外退订。
  4. 请勿将Tenant Guest角色与BCS Fabric FullAccess策略放在一起使用,否则会造成部分功能界面隐藏。
  5. 企业项目授权时,由于依赖服务的个别接口未实现基于企业项目的权限管理,需要在IAM用户组授予对应的项目权限。例如创建实例需要同时授予VPC ReadOnlyAccess项目权限,查看监控需要同时授予AOM ReadOnlyAccess项目权限,查看合约实例需要同时授予CloudIDE ReadOnlyAccess项目权限,增加组织需要同时授予SFS Turbo ReadOnlyAccess项目权限。

基于以上情况,请您根据实际情况纯项目授权或纯企业项目授权配置具体的策略,以下截图仅供参考,请以实际操作为准,具体授权操作请参考创建用户组并授权

  • 将BCS Fabric FullAccess授予到项目下时,用户组配置完成后如下图所示:

  • 将BCS Fabric ReadOnlyAccess授予到项目下时,用户组配置完成后如下图所示:

  • 将BCS Fabric FullAccess授予到企业项目下时,用户组配置完成后IAM项目视图和企业项目视图如下图所示:

  • 将BCS Fabric ReadOnlyAccess授予到企业项目下时,用户组配置完成后IAM项目视图和企业项目视图如下图所示: