# 给子账号配置推理（旧版）基本使用权限 #### 场景描述 本文介绍推理部署场景下子账号所需的基本使用权限，您可参考[权限清单]新增对应业务场景的权限。示例场景为授权子账号权限，使其能够在开发环境Notebook中使用基础镜像构建一个新的推理镜像，并完成模型的创建，在ModelArts控制台的在线服务（旧版）功能中部署推理服务。 #### 权限清单 - 权限 表1管理模型所需权限 | 业务场景 | 依赖的服务 | 依赖策略项 | 支持的功能 | 配置建议 | |:---|:---|:---|:---|:---| | 管理模型 | ModelArts | modelarts:model:\* | 创建、删除、查看、导入AI模型。 | 建议配置。 仅在[严格授权模式](https://support.huaweicloud.com/permission-modelarts/modelarts_24_0078.html#ZH-CN_TOPIC_0000001402472908__section149781538135511)开启后，需要显式配置左侧权限。新创建的账号默认开启严格授权模式。 | | 管理模型 | SWR | SWR Admin | SWR Admin为SWR最大权限，用于： - 从自定义镜像导入。 - 从OBS导入时使用自定义引擎。 | 按需配置。 | | 管理模型 | OBS | obs:bucket:ListAllMybuckets obs:bucket:HeadBucket obs:bucket:ListBucket obs:bucket:GetBucketLocation obs:object:GetObject obs:object:GetObjectVersion obs:object:PutObject obs:object:DeleteObject obs:object:DeleteObjectVersion obs:object:ListMultipartUploadParts obs:object:AbortMultipartUpload obs:object:GetObjectAcl obs:object:GetObjectVersionAcl obs:bucket:PutBucketAcl obs:object:PutObjectAcl | 从OBS导入模型。 模型转换指定OBS路径。 | 按需配置。 | 表2部署上线所需权限 | 业务场景 | 依赖的服务 | 依赖策略项 | 支持的功能 | 配置建议 | |:---|:---|:---|:---|:---| | 部署服务 | ModelArts | modelarts:service:\* | 部署、启动、查询、更新模型服务。 | 建议配置。 仅在[严格授权模式](https://support.huaweicloud.com/permission-modelarts/modelarts_24_0078.html#ZH-CN_TOPIC_0000001402472908__section149781538135511)开启后，需要显式配置左侧权限。新创建的账号默认开启严格授权模式。 | | 部署服务 | LTS | lts:logs:list | 查询和展示LTS日志。 | 按需配置。 | | 批量服务 | OBS | obs:object:GetObject obs:object:PutObject obs:bucket:CreateBucket obs:bucket:ListBucket obs:bucket:ListAllMyBuckets | 创建批量服务。 | 按需配置。 | | 边缘服务 | CES | ces:metricData:list | 查看服务的监控指标。 | 按需配置。 | | 边缘服务 | IEF | IEF Administrator | 管理边缘服务。 | 按需配置。 | ![](https://support.huaweicloud.com/permission-modelarts/public_sys-resources/note_3.0-zh-cn.png) 创建自定义策略时，建议将项目级云服务和全局级云服务拆分为两条策略，便于授权时设置最小授权范围。 - 委托 表3部署上线所需委托 | 业务场景 | 依赖的服务 | 委托授权项 | 说明 | 配置建议 | |:---|:---|:---|:---|:---| | 在线服务 | LTS | lts:groups:create lts:groups:list lts:topics:create lts:topics:delete lts:topics:list | 在线服务配置LTS日志上报。 | 按需配置。 | | 批量服务 | OBS | obs:bucket:ListBucket obs:object:GetObject obs:object:PutObject | 运行批量服务。 | 按需配置。 | | 边缘服务 | IEF | ief:deployment:list ief:deployment:create ief:deployment:update ief:deployment:delete ief:node:createNodeCert ief:iefInstance:list ief:node:list | 通过IEF部署边缘服务。 | 按需配置。 | #### 操作步骤 本案例场景为[在开发环境中构建并调试推理镜像](https://support.huaweicloud.com/usermanual-standard-modelarts/docker-modelarts_0031.html)，在Notebook中制作自定义镜像，然后将调试完成的镜像导入ModelArts的模型管理中，并部署上线。 1. 使用主用户账号登录管理控制台，单击右上角用户名，在下拉框中选择"统一身份认证"，进入统一身份认证（IAM）服务。 2. 添加部署上线使用权限。在统一身份认证服务页面的左侧导航选择"权限管理 \> 权限"，单击右上角的"创建自定义策略"，设置策略。 添加部署上线使用权限。 - "策略名称"：设置自定义策略名称，例如：service。 - "策略配置方式"：选择JSON视图。 - "策略内容"：填入如下内容。 ``` { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "modelarts:service:*", "modelarts:model:*", "modelarts:notebook:create", "modelarts:notebook:list", "modelarts:notebook:get", "modelarts:notebook:update", "modelarts:notebook:delete", "modelarts:notebook:start", "modelarts:notebook:stop", "modelarts:notebook:updateStopPolicy", "modelarts:image:delete", "modelarts:image:list", "modelarts:image:create", "modelarts:image:get", "modelarts:image:register", "modelarts:image:listGroup", "modelarts:pool:list", "modelarts:tag:list", "aom:metric:get", "aom:metric:list", "aom:alarm:list" ] } ] } ``` 3. 创建用户组并加入用户，步骤请参考[Step1 创建用户组并加入用户](https://support.huaweicloud.com/permission-modelarts/modelarts_24_0089.html)。 4. 给用户组授权策略。 在IAM服务的用户组列表页面，单击"授权"，进入到授权页面，为子账号配置权限。勾选"service"、"SWR Admin"策略。单击"下一步"和"确定"。 5. 添加ModelArts委托授权。 1. 新建委托授权策略。 在统一身份认证服务页面的左侧导航选择"权限管理 \> 权限"，单击右上角的"创建自定义策略"，设置策略。 - "策略名称"：设置自定义策略名称，例如：service_agency。 - "策略配置方式"：JSON视图。 - "策略内容"：填入如下内容。 ``` { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "lts:groups:create", "lts:groups:list", "lts:topics:create", "lts:topics:delete", "lts:topics:list" ] } ] } ``` 2. 创建委托。 在统一身份认证服务页面的左侧导航选择"权限管理 \> 委托"，单击右上角的"创建委托"，设置策略。填写委托信息并单击"下一步"。 - 委托名称：可自定义委托名称，例如：ma_agency_service。 - 委托类型：选择"云服务"。 - 云服务：选择"ModelArts"。 - 持续时间：选择"永久"。 勾选新建的委托策略，然后单击"下一步"。设置最小授权范围选择"所有资源"，然后单击"确定"。 3. 为子账号配置ModelArts委托权限。 在ModelArts服务页面的左侧导航选择"权限管理 "，单击"添加委托"。对象名称选择子账号，在已有委托中选择新建的委托，然后单击"创建"。 ![](https://support.huaweicloud.com/permission-modelarts/public_sys-resources/note_3.0-zh-cn.png) 访问授权信息已存在，重新授权会覆盖原始授权信息，授权信息的变化可能会影响当前业务。覆盖操作无法恢复，请谨慎操作。 6. 验证权限是否配置成功。 登录子账号，如果用户能跑通[在开发环境中构建并调试推理镜像](https://support.huaweicloud.com/usermanual-standard-modelarts/docker-modelarts_0031.html)的案例，在Notebook中制作自定义镜像，然后将调试完成的镜像导入ModelArts的模型中，并部署上线，则表示权限配置成功。