委托授权ModelArts云服务使用SFS Turbo

本章节介绍如何配置ModelArts委托权限，允许用户使用专属资源池的网络中的“关联sfsturbo”和“解除关联”功能。

当用户新增委托并授权操作SFS Turbo时，请参考新增委托授权操作SFS Turbo。
当用户为已有的委托新增权限，授权操作SFS Turbo，请参考已有委托新增授权操作SFS Turbo。

场景介绍

对于使用ModelArts专属资源池的用户，在控制台创建完网络后，在资源池网络列表页“操作 > 更多”下拉框中可见“关联SFS Turbo”和“解除关联”。其中，“关联SFS Turbo”用于将此网络与某个选定的SFS Turbo资源做关联操作，关联完成后，表示SFS Turbo与网络已进行打通，可在训练和开发环境等功能时使用此SFS Turbo。

关联与解除关联操作需要用户委托授权ModelArts云服务操作SFS Turbo的部分权限。

涉及配置的自定义权限策略项如下：

sfsturbo:shares:addShareNic：此策略项表示sfsturbo添加网卡的权限。
sfsturbo:shares:deleteShareNic：此策略项表示sfsturbo删除网卡的权限。
sfsturbo:shares:showShareNic：此策略项表示sfsturbo显示网卡详情的权限。
sfsturbo:shares:listShareNics：此策略项表示sfsturbo显示网卡列表的权限。

约束限制

相应region区域开放此功能。

新增委托授权操作SFS Turbo

登录ModelArts控制台，在左侧导航栏选择“权限管理”，进入“权限管理”页面。
单击“添加委托”，进入“添加委托”配置页面，根据参数说明进行配置。
- “委托对象类型”：根据需要选择"IAM子用户"、"联邦用户"、"委托用户"、"所有用户"
- “对象名称”：选择对象名称。请确保该对象所在用户组已完成 IAM 授权配置，否则后续委托配置无法生效。
- “委托类型”：新增委托
- “委托配置”：普通模式，在服务列表选中弹性文件服务(SFSTurbo)下的"sfsturbo:shares:addShareNic"、"sfsturbo:shares:deleteShareNic"、"sfsturbo:shares:showShareNic"、"sfsturbo:shares:listShareNics"
单击“创建”。此时，拥有该委托的所有用户均有权限进行关联与解除关联操作。
图1 创建授权ModelArts云服务操作SFS Turbo的部分权限

已有委托新增授权操作SFS Turbo

使用主用户账号登录管理控制台，单击右上角用户名，在下拉框中选择“统一身份认证”，进入统一身份认证（IAM）服务新版控制台。
在统一身份认证服务页面的左侧导航选择“身份策略”，单击右上角的“创建自定义策略”，设置策略，单击“确定”。
- “策略名称”：设置自定义策略名称，例如：委托ModelArts操作SFS Turbo。
- “策略配置方式”：选择可视化视图或者JSON视图均可。
- “策略内容”：允许，云服务中搜索“SFSTurbo”服务并选中，“操作”中查找只读操作“sfsturbo:shares:showShareNic”、“sfsturbo:shares:listShareNics”并选中，查找写操作“sfsturbo:shares:addShareNic”、“sfsturbo:shares:deleteShareNic”并选中。“所有资源”选择“所有资源”。
- sfsturbo:shares:addShareNic操作需要依赖vpc:subnets:get。因此如果未授权可以单击右侧一并授权。
  图2 策略内容
  
  JSON视图的策略内容如下：
```
{
  "Version": "5.0",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc:subnets:get"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "sfsturbo:shares:addShareNic",
        "sfsturbo:shares:deleteShareNic",
        "sfsturbo:shares:listShareNics",
        "sfsturbo:shares:showShareNic"
      ]
    }
  ]
}
```
以委托“modelarts_agency”为例，在统一身份认证服务页面的左侧导航选择“委托”，在委托页面查找“modelarts_agency”，在右侧的操作列单击“授权”，勾选步骤2创建的自定义策略“委托ModelArts操作SFS Turbo”，单击“下一步”，选择授权范围方案，单击“确定”。
此时，拥有该委托的所有用户均有权限进行关联与解除关联操作。