# 委托DWS管理资源
由于华为云各服务之间存在业务交互关系，一些运维操作需要与其他云服务协同完成，在使用这部分功能前需要您创建云服务委托，将操作权限委托给DWS，让DWS以您的身份使用其他云服务，代替您进行一些资源运维工作。
#### 应用场景
- **日志收集**：DWS需要将运行日志上报到LTS服务，通过委托获取LTS的写入权限。
- **审计日志转储**：DWS需要将审计日志存储到OBS桶，通过委托获取OBS的管理权限。
- **KMS加密集群**：DWS需要查询和轮转KMS密钥，通过委托获取KMS的管理权限。
- **节点故障自动恢复**：节点故障时，DWS需要将EIP从故障节点迁移到正常节点，并通过ELB添加和删除监听器实例，通过委托获取VPC和ELB的管理权限。
- **存算分离弹性扩缩容**：存算分离场景下，DWS需要自动增删计划定时扩缩容只读计算组，通过委托获取DWS的Tenant Administrator权限。
 
#### 约束与限制
- DWS当前正在对委托权限进行优化调整，整改前的委托依赖的IAM权限较大，当前正在逐步牵引向新的委托进行迁移，如您期望尽快切换至整改后的**低权限委托**以便于更好地保护您的资源，请联系运维人员处理。
- 默认情况下，只有华为云账号用户或拥有Security Administrator权限的用户才具备查询委托和创建委托的权限。账号中的IAM用户，默认没有查询委托和创建委托的权限，如果在查询或进行委托相关操作时出现权限不足，此时需联系有权限的用户在当前页面完成对DWS的委托授权。
- 委托权限会从cache缓存中获取，cache的更新刷新机制为**一小时一次**。如果您有对委托的更新操作，最晚需要一小时才能生效。
 
#### DWS委托权限（新）
DWS结合委托操作实际依赖的接口，优化调整后的委托权限如下：
表1DWS委托权限 
| 委托名              | 委托权限               | 使用场景说明                                                                                                                   |
|:---|:---|:---|
| DWSAgencyAccess | DWS Agency Access | 数据仓库服务使用委托功能时依赖的最小化权限。 例如：LTS实际仅依赖lts:groups:put，该系统策略中仅拥有这一个LTS的操作权限。 |
   
完整依赖的操作信息可登录IAM服务管理控制台，在**"权限管理 \> 权限"** 页面单击**"DWS Agency Access"**权限查看。
图1DWS Agency Access权限信息   
![](https://support.huaweicloud.com/mgtg-dws/figure/zh-cn_image_0000002617505349.png "点击放大")
#### DWS委托权限（旧）
旧的委托权限依赖场景说明如下表所示：
表2委托及权限使用说明 
| 委托名           | 委托权限                 | 使用场景说明                                                                                                                                                                                                                                                                                                                                                                        |
|:---|:---|:---|
| DWSAccessLTS  | LTS FullAccess           | LTS日志收集，上报日志到LTS服务。                                                                                                                                                                                                                                                                                                                                                            |
| DWSAccessOBS   | OBS Administrator     | 审计日志转储，上报审计日志数据到OBS桶。                                                                                                                                                                                                                                                                                                                                                           |
| DWSAccessKMS   | KMS Administrator     | KMS加密集群，查询和轮转密钥。                                                                                                                                                                                                                                                                                                                                                              |
| DWSAccessVPC | Server Administrator | 节点故障场景下，EIP从故障节点自动迁移到正常节点。                                                                                                                                                                                                                                                                                                                                                       |
| DWSAccessDWS  | Tenant Administrator     | - 存算分离场景下，自动增删计划定时扩缩只读计算组。  - 缩容场景下，清理用户网卡、配置安全组规则。  - 节点故障场景下，ELB添加和删除监听器实例。   |
   
#### 创建DWS委托
1. [登录DWS管理控制台](https://console.huaweicloud.com/dws)。
2. 鼠标移动至页面右上角账号，单击**"统一身份认证"**，进入统一身份认证服务页面。
3. 在左侧导航栏选择**"委托"**，进入委托管理页面。
4. 单击页面右上角**"创建委托"** ，配置委托信息：
   
   - 委托名称：输入委托名称（如**DWSAgencyAccess**）。
   
   - 委托类型：选择**"云服务"**。
   
   - 云服务：选择**"数据仓库服务 DWS"**。
   
   - 持续时间：根据需要下拉框选择委托有效期，默认为**"永久"**。
   
   
   
   
5. 单击**"完成"** **，** 在弹窗中单击**"立即授权"**，进入授权页面。
6. 在权限页面选择对应的委托权限（**DWS Agency Access**）。
7. 单击**"下一步"** ，选择授权资源范围为**"所有资源"** 或指定资源，确认无误后，单击**"确定"**提交创建。
8. 委托创建完成后，在统一身份认证服务的**"委托"** 列表中查看新创建的委托是否存在，状态显示为**"正常"**即表示创建成功。委托权限约需一小时内生效，如需确认权限是否生效，可尝试执行依赖该委托的操作（如LTS日志收集）。
 
#### 相关文档
- 统一身份认证服务简介：[统一身份认证服务](https://support.huaweicloud.com/iam/index.html)
- 创建委托操作指导：[创建委托并授权](https://support.huaweicloud.com/usermanual-iam/iam_06_0002.html)
- IAM授予DWS权限指导：[通过IAM授予使用DWS的权限](https://support.huaweicloud.com/mgtg-dws/dws_01_0147.html)