创建用户组并授权

操作场景

如果企业中不需要每个人都注册账号，则可以由企业的管理员注册一个账号，在这个账号下创建用户组并分配权限，然后将创建的IAM用户根据不同的职能加入到不同的用户组中，分发给企业的人员使用。关于账号和IAM用户的概念，详情请参见：IAM 基本概念。

本章节以A公司Company-A使用IAM创建用户组并授权为例，帮助您快速了解，企业如何使用IAM完成服务权限的配置。

操作流程

准备工作

如果您已有一个华为账号，请跳到步骤一。如果您还没有华为账号，请参考以下步骤创建。

1. 打开https://www.huaweicloud.com/intl/zh-cn/，单击“注册”。
2. 根据提示信息完成注册，详细操作请参见“注册华为账号并开通华为云”。

   注册成功后，系统会自动跳转至您的个人信息界面。

3. 

   因为统一身份认证服务为免费服务，因此无需为账号充值。

步骤一：创建用户组

1. A公司管理员，使用注册的华为账号登录华为云。
   图1 登录华为云
   

2. A公司管理员进入华为云“控制台”。
   图2 进入控制台
   

3. 在“控制台”页面，鼠标移动至右上方的用户名，在下拉列表中选择“统一身份认证”。
   图3 进入统一身份认证
   

4. 在统一身份认证服务，左侧导航窗格中，单击“用户组”>“创建用户组”。
   图4 创建用户组
   

5. 在“创建用户组”界面，输入“用户组名称”为“开发人员组”。
   用户组名称只能包含中文、大小写字母、数字、空格或特殊字符(-_)。

   图5 输入用户组信息
   

6. 单击“确定”，完成用户组创建。

   返回用户组列表，创建成功的用户组“开发人员组”将会展示在用户组列表中。

步骤二：给用户组授权

A公司的开发人员需要使用的云服务为ECS和OBS，需要为“开发人员组”授予这两个服务的管理员权限。如需查看所有云服务的系统权限，请参见：系统权限。

1. 管理员确定该用户组中的用户所需的权限。

   通过查看系统权限，需要设置的权限如表1所示。其中“权限作用范围”由该服务的物理部署位置决定。

   • 区域项目级服务：如果在某个区域的项目中设置权限，则权限只在该项目中生效。例如：选择权限仅在区域的项目“中国-香港”生效，则IAM用户将无权访问其他区域项目中的资源。
   • 全局服务：全局服务部署时不区分区域，访问全局服务不需要切换区域。例如：授予对象存储服务（OBS）的权限后，IAM用户可以访问所有区域项目中的OBS资源。

   表1 所需权限

   使用的服务	权限作用范围	设置权限
   ECS	区域项目	ECS FullAccess
   OBS	全局区域	OBS OperateAccess

2. 在用户组列表中，单击新建用户组“开发人员组”右侧的“授权”。
   图6 授权
   

3. 设置区域项目级服务的权限。
   1. 由表1可知，ECS服务为区域项目级服务。勾选需要授予用户组的项目级服务权限，单击“下一步”。
      图7 勾选所需权限
      
   2. 选择授权范围方案为“指定区域项目资源”，并选择“中国-香港”，单击“确定”。

      设置完成后，开发人员组仅在中国-香港有访问权限，访问其它区域将提示没有权限。

      图8 指定权限生效的区域
      

4. 在用户组列表中，单击“开发人员组”右侧的“授权”。
   图9 授权
   

5. 设置全局服务的权限。
   1. 勾选需要授予用户组的全局服务权限“OBS OperateAccess”，单击“下一步”。
      图10 勾选OBS OperateAccess
      
   2. 选择授权范围方案为“全局服务资源”，单击“确定”。
      图11 指定权限生效的区域
      

   设置权限完成后，单击用户组“开发人员组”的名称，在授权记录页签下可以查看到已授予的权限。

   

   授予OBS相关的权限后，大概需要等待15~30分钟策略才能生效。