权限管理

如果您需要对华为云上的云监控服务资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。

通过IAM，您可以在账号中给员工创建IAM用户，并使用策略来控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有云监控服务的使用权限，但是不希望他们拥有删除其他云服务资源等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用云监控服务，但是不允许删除其他云服务资源的权限策略，控制他们对其他云服务资源的使用范围。

如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用云监控服务的其它功能。

IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见什么是IAM。

云监控服务权限

默认情况下，新建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。

Cloud Eye部署时通过物理区域划分，为项目级服务，需要在各区域（如中国-香港）对应的项目（ap-southeast-1）中设置策略，并且该策略仅对此项目生效，如果需要所有区域都生效，则需要在所有项目都设置策略。访问Cloud Eye时，需要先切换至授权区域。

权限根据授权精细程度分为角色和策略。

角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。
策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对云监控服务，管理员能够控制IAM用户仅能对某一类云监控资源进行指定的管理操作。
多数细粒度策略以API接口为粒度进行权限拆分，权限的最小粒度为API授权项（action），云监控服务支持的API授权项请参见策略及授权项说明。

如表1所示，包括了云监控服务的所有系统权限。

表1 云监控服务系统权限
系统角色/策略名称	描述	类别	依赖关系
CES FullAccessPolicy	云监控服务的全部权限，拥有该权限可以操作云监控服务的全部权限。	系统策略	云服务监控功能涉及需要查询其他云服务的实例资源，该策略中已包含部分云服务的资源查询权限，如在使用中遇到权限问题，需要配置涉及服务的细粒度授权特性，才可以正常使用，支持细粒度授权的云服务列表请参考: 使用IAM授权的云服务。告警通知：依赖SMN服务的SMN FullAccess。配置数据转储：依赖OBS服务的OBS OperateAccess。
CES ReadOnlyAccessPolicy	云监控服务的只读权限，拥有该权限仅能查看云监控服务的数据。	系统策略	云服务监控功能涉及需要查询其他云服务的实例资源，该策略中已包含部分云服务的资源查询权限，如在使用中遇到权限问题，需要配置涉及服务的细粒度授权特性，才可以正常使用，支持细粒度授权的云服务列表请参考: 使用IAM授权的云服务。
CES AgentAccess	CES Agent正常运行所需的必要权限。说明：为了保证CES Agent能够正常提供服务，需要配置委托，详细操作请参见如何配置委托？	系统策略	无。
CES Administrator	云监控服务的管理员权限。	系统角色	依赖Tenant Guest策略。 Tenant Guest：全局级策略，在全局项目中勾选。
CES AgencyCheck Access	云监控服务检查租户委托权限需要授权的IAM操作权限集	系统策略	云服务监控OBS转储、数据转储、主机监控等相关功能所依赖的委托策略集合，该策略中已包含委托需要授权的IAM操作权限集，如在使用OBS转储、数据转储、主机监控等功能时遇到委托相关权限问题，需要配置IAM委托操作的细粒度授权特性，才可以正常使用。
CES Global FullAccess	云监控服务全局业务所有权限	系统策略	云监控服务站点监控、广域网质量监控、告警通知等相关功能所依赖的委托策略集合，该策略中已包含云监控服务的全局业务和云监控服务所依赖的全局服务操作的集合，如在使用站点监控、广域网质量监控、告警通知等功能时遇到权限问题，需要配置该权限集才可以正常使用。
CES FullAccess	云监控服务的全部权限，拥有该权限可以操作云监控服务的全部权限。说明： CES FullAccess不满足权限最小化原则，后续不推荐使用，建议使用CES FullAccessPolicy	系统策略	云服务监控功能涉及需要查询其他云服务的实例资源，该策略中已包含部分云服务的资源查询权限，如在使用中遇到权限问题，需要配置涉及服务的细粒度授权特性，才可以正常使用，支持细粒度授权的云服务列表请参考: 使用IAM授权的云服务。告警通知：依赖SMN服务的SMN FullAccess。配置数据转储：依赖OBS服务的OBS OperateAccess。
CES ReadOnlyAccess	云监控服务的只读权限，拥有该权限仅能查看云监控服务的数据。说明： CES ReadOnlyAccess不满足权限最小化原则，后续不推荐使用，建议使用CES ReadOnlyAccessPolicy	系统策略	云服务监控功能涉及需要查询其他云服务的实例资源，该策略中已包含部分云服务的资源查询权限，如在使用中遇到权限问题，需要配置涉及服务的细粒度授权特性，才可以正常使用，支持细粒度授权的云服务列表请参考: 使用IAM授权的云服务。

表2列出了云监控服务常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。

表2 常用操作与系统权限的关系
功能	操作	CES FullAccessPolicy	CES ReadOnlyAccessPolicy	CES Administrator （需同时添加Tenant Guest策略）	Tenant Guest
监控概览	查看监控概览	√	√	√	√
监控概览	查看监控大屏	√	√	√	√
监控面板	创建监控面板	√	×	√	×
	查看监控大屏	√	√	√	√
	查看监控面板	√	√	√	√
	删除监控面板	√	×	√	×
	添加监控视图	√	×	√	×
	查看监控视图	√	√	√	√
	修改监控视图	√	×	√	×
	删除监控视图	√	×	√	×
	调整监控视图位置	√	×	√	×
资源分组	创建资源分组	√	×	√	×
	查看资源分组列表	√	√	√	√
	查看资源分组（资源概览）	√	√	√	√
	查看资源分组（不健康资源）	√	√	√	√
	查看资源分组（告警规则）	√	√	√	√
	查看资源分组（告警记录）	√	√	√	√
	修改资源分组	√	×	√	×
	删除资源分组	√	×	√	×
告警规则	创建告警规则	√	×	√	×
	修改告警规则	√	×	√	×
	启用告警规则	√	×	√	×
	停用告警规则	√	×	√	×
	删除告警规则	√	×	√	×
	导出告警规则	√	×	√	×
	查看告警规则列表	√	√	√	√
	查看告警规则详情	√	√	√	√
	查看监控图表	√	√	√	√
告警记录	查看告警记录	√	√	√	√
告警模板	查看默认告警模板	√	√	√	√
	查看自定义告警模板	√	√	√	√
	创建自定义告警模板	√	×	√	×
	修改自定义告警模板	√	×	√	×
	删除自定义告警模板	√	×	√	×
主机监控	查看主机列表	√	√	√	√
	查看主机监控指标	√	√	√	√
	安装Agent	√（需同时拥有ECS FullAccess权限）	×	√（需同时拥有ECS FullAccess权限）	×
	修复插件配置	√（需同时拥有Security Administrator、ECS FullAccess权限）	×	√（需同时拥有Security Administrator、ECS FullAccess权限）	×
	卸载Agent	√（需同时拥有ECS FullAccess权限）	×	√（需同时拥有ECS FullAccess权限）	×
	配置进程监控	√	×	√	×
	配置自定义进程监控	√	×	√	×
云服务监控	查看云服务列表	√（涉及云服务需要支持细粒度授权特性，参考：使用IAM授权的云服务）	√（涉及云服务需要支持细粒度授权特性，参考：使用IAM授权的云服务）	√	√
云服务监控	查看云服务监控指标	√	√	√	√
自定义监控	添加自定义监控数据	√	×	√	×
	查看自定义监控列表	√	√	√	√
	查看自定义监控数据	√	√	√	√
事件监控	添加自定义事件	√	×	√	×
	查看事件列表	√	√	√	√
	查看事件详情	√	√	√	√
数据转储到DMS Kafka	创建数据转储任务	√	×	√	×
	查询数据转储任务列表	√	√	√	√
	查询指定数据转储任务	√	√	√	√
	修改数据转储任务	√	×	√	×
	启动数据转储任务	√	×	√	×
	停止数据转储任务	√	×	√	×
	删除数据转储任务	√	×	√	×
其他	配置数据转储	√（需同时拥有OBS Bucket Viewer权限）	×	√（需同时拥有Tenant Administrator权限）	×
	导出监控数据	√	×	√	×
	发送告警通知	√	×	√	×

云监控控制台功能依赖的角色或策略

如果IAM用户需要在云监控服务控制台拥有相应功能的查看或使用权限，请确认已经对该用户所在的用户组设置了CES Administrator、CES FullAccess或CES ReadOnlyAccess策略的集群权限，再按如下表3增加依赖服务的角色或策略。

表3 云监控控制台依赖服务的角色或策略
控制台功能	依赖服务	需配置角色/策略
云服务监控	云手机服务器 CPH ROMA Connect：业务流 BFS 快速数据集成 FDI 服务集成 APIC 云搜索服务 CSS 云桌面 Workspace 消息&短信服务 MSGSMS	支持设置了CES Administrator、CES FullAccess或CES ReadOnlyAccess权限的IAM用户查看云服务监控信息。

意见反馈

文档内容是否对您有帮助？

有帮助没帮助

提供反馈

提交成功！非常感谢您的反馈，我们会继续努力做到更好！

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

直接提交取消

权限管理

云监控服务权限

云监控控制台功能依赖的角色或策略

相关链接

意见反馈

文档内容是否对您有帮助？