更新时间:2024-04-26 GMT+08:00
准备工作
创建rf_admin_trust委托
- 进入华为云官网,打开控制台管理界面,鼠标移动至个人账号处,打开“统一身份认证”菜单
图1 控制台管理界面
统一身份认证菜单
- 进入“委托”菜单,搜索“rf_admin_trust”委托
图2 委托列表
- 如果委托存在,则不用执行接下来的创建委托的步骤
- 如果委托不存在时执行接下来的步骤创建委托
- 单击步骤2界面中的“创建委托”按钮,在委托名称中输入“rf_admin_trust”,选择“普通账号”,委托的账号,输入“op_svc_IAC”,单击“下一步”
图3 创建委托
- 在搜索框中输入”Tenant Administrator”权限,并勾选搜索结果
图4 选择策略
- 选择“所有资源”,并单击下一步完成配置
图5 设置最小授权范围
- “委托”列表中出现“rf_admin_trust”委托则创建成功
图6 委托列表
创建IAM Agency Management FullAccess策略
- 打开“统一身份认证”菜单
图7 统一身份认证菜单
- 进入“权限管理”-> “权限”菜单,在搜索框输入“IAM Agency Management FullAccess”当前账号是否存在IAM委托管理权限
图8 权限列表
- 如果搜索结果不为空,则当前账号已经存在IAM委托管理权限,不需要重复创建
- 如果过搜索结果为空,则继续创建“IAM Agency Management FullAccess”权限
- 单击“创建自定义策略”按钮
图9 创建自定义策略
- 输入策略名称为“IAM Agency Management FullAccess”,选择“JSON视图”,在策略内容中输入如下JSON代码,单击确认按钮
图10 创建自定义策略
{ "Version": "1.1", "Statement": [ { "Action": [ "iam:agencies:createAgency", "iam:agencies:listAgencies", "iam:agencies:getAgency", "iam:agencies:deleteAgency", "iam:agencies:updateAgency", "iam:permissions:revokeRoleFromAgencyOnProject", "iam:permissions:revokeRoleFromAgencyOnDomain", "iam:permissions:revokeRoleFromAgency", "iam:permissions:grantRoleToAgencyOnDomain", "iam:permissions:grantRoleToAgencyOnProject", "iam:permissions:grantRoleToAgency", "iam:permissions:listRolesForAgencyOnDomain", "iam:permissions:listRolesForAgencyOnProject", "iam:permissions:checkRoleForAgencyOnDomain", "iam:permissions:checkRoleForAgencyOnProject", "iam:permissions:listRolesForAgency", "iam:permissions:checkRoleForAgency", "iam:roles:listRoles" ], "Effect": "Allow" } ] }
- 界面无报错,则成功创建IAM Agency Management FullAccess权限
给rf_admin_trust委托添加IAM Agency Management FullAccess策略
- 打开“统一身份认证”菜单
图11 统一身份认证菜单
- 进入“委托”菜单,选择rf_admin_trust委托
图12 委托列表
- 进入“授权记录”菜单,单击“授权”按钮
图13 授权记录
- 在搜索框输入IAM Agency Management FullAccess,勾选过滤出来的记录,单击下一步,并确认完成权限的配置
图14 配置IAM Agency Management FullAccess策略
- 配置好后的情况:rf_admin_trust委托拥有Tenant Administrator和IAM Agency Management FullAccess权限
图15 授权记录列表
父主题: 实施步骤