创建用户组并授权

操作场景

如果企业中不需要每个人都注册账号，则可以由企业的管理员注册一个账号，在这个账号下创建IAM用户并分配权限，然后将创建的IAM用户分发给企业的人员使用。关于账号和IAM用户的概念，详情请参见：IAM 基本概念。

本章节以A公司使用IAM创建用户组并授权为例，帮助您快速了解，企业如何使用IAM完成服务权限的配置。

操作流程

准备工作

如果您已有一个华为账号，请跳到下一个任务。如果您还没有华为账号，请参考以下步骤创建。

1. 打开https://www.huaweicloud.com/intl/zh-cn/，单击“注册”。
2. 根据提示信息完成注册，详细操作请参见“注册华为账号并开通华为云”。

   注册成功后，系统会自动跳转至您的个人信息界面。

3. 

   因为统一身份认证服务为免费服务，因此无需为账号充值。

步骤一：创建用户组

1. A公司管理员，使用注册的华为账号开通并登录华为云。
   图1 登录华为云
   

2. 进入华为云“控制台”。
   图2 进入控制台
   

3. 在“控制台”页面，鼠标移动至右上方的用户名，在下拉列表中选择“统一身份认证”。
   图3 进入统一身份认证
   

4. 在统一身份认证服务，左侧导航窗格中，单击“用户组”>“创建用户组”。
   图4 创建用户组
   

5. 在“创建用户组”界面，输入“用户组名称”为“开发人员组”。
   图5 输入用户组信息
   

6. 单击“确定”，完成用户组创建。

   返回用户组列表，创建成功的用户组“开发人员组”将会展示在用户组列表中。

步骤二：给用户组授权

A公司的开发人员需要使用的云服务为ECS、RDS、ELB、VPC、EVS和OBS，需要为“开发人员组”授予这六个服务的管理员权限。如需查看所有云服务的系统权限，请参见：系统权限。

1. 管理员确定该用户组中的用户所需的权限。

   通过查看系统权限，需要设置的权限如表1所示。其中“作用范围”由该服务的物理部署位置决定。对于项目级服务，如果在某个区域的项目中设置策略，则策略只在该项目中生效。

   表1 所需权限

   使用的服务	所属区域	设置策略或角色
   ECS	除全局区域外的其他区域	ECS FullAccess
   RDS	除全局区域外的其他区域	RDS FullAccess
   ELB	除全局区域外的其他区域	ELB FullAccess
   VPC	除全局区域外的其他区域	VPC FullAccess
   EVS	除全局区域外的其他区域	EVS FullAccess
   OBS	全局区域	OBS OperateAccess

2. 在用户组列表中，单击新建用户组“开发人员组”，右侧的“授权”。
   图6 授权
   

3. 设置区域级项目的权限。
   1. 由表1可知，除OBS外，其它服务都是项目级服务。勾选需要授予用户组的项目级服务权限，单击“下一步”。
      图7 勾选所需权限
      
   2. 选择授权范围方案为“指定区域项目资源”，并选择“中国-香港”，单击“确定”。

      设置完成后，开发人员组仅在中国-香港有访问权限，访问其它区域将提示没有权限。

      图8 指定权限生效的区域
      

4. 设置全局服务的权限。
   1. 勾选需要授予用户组的全局服务权限“OBS OperateAccess”，单击“下一步”。
      图9 勾选OBS OperateAccess
      
   2. 选择授权范围方案为“全局服务资源”，单击“确定”。
      图10 指定权限生效的区域