# 单租户下如何使用IAM系统策略对各IAM子用户进行细粒度权限划分
当华为云租户需要对各IAM用户进行细粒度权限控制时，要使用到IAM策略。关于策略的详细介绍参见[IAM权限管理文档](https://support.huaweicloud.com/usermanual-iam/iam_01_0602.html)。OSC作为UCS的子服务，其细粒度权限的划分包括UCS FullAccess和UCS ReadOnlyAccess两个系统策略。
其中UCS FullAccess系统策略包含OSC所有接口的使用权限，UCS ReadOnlyAccess系统策略包含OSC所有Read、List接口的使用权限。授予子用户某个系统策略的操作步骤与[单租户下多IAM用户使用企业仓库场景如何配置权限？](https://support.huaweicloud.com/osc_faq/osc_faq_0002.html)的操作步骤相同，只需在[6](https://support.huaweicloud.com/osc_faq/osc_faq_0002.html#osc_faq_0002__li615591253210)勾选两个系统策略之一即可：
![](https://support.huaweicloud.com/osc_faq/zh-cn_image_0000001933739009.png "点击放大")
需要注意的是， UCS FullAccess、UCS ReadOnlyAccess权限与CCE集群中Kubernetes资源权限相互独立。所以在涉及到CCE集群中资源的操作（如创建服务实例、查询服务实例）中，需要前往CCE管理页面进行单独授权。一般情况下，参见[CCE授予集群全部权限文档](https://support.huaweicloud.com/usermanual-cce/cce_10_0189.html#section5)进行权限授予即可。
另外，出于用户数据安全的考虑，UCS FullAccess系统策略中默认不包含OBS和SWR权限的授予。所以对于ISV账户，如果其管理的某个IAM子用户需要进行商品发布的操作，除UCS FullAccess之外，还需要额外给该子用户授予OBS Administrator系统策略。
如果其管理的某个IAM子用户需要使用容器镜像仓库（普通版，非企业版）进行私有服务的上传操作，除UCS FullAccess之外，还需要前往容器镜像服务-组织管理页面，为该子用户添加osc组织的管理权限：
![](https://support.huaweicloud.com/osc_faq/zh-cn_image_0000001899156978.png "点击放大")