# 对IAM用户组授予OBS所有资源的基本操作权限
#### 场景介绍
本案例介绍如何通过IAM预置的与OBS相关的系统角色和策略，为华为云账号下的多个IAM用户或用户群组授予OBS所有资源的基本操作权限。预置的系统角色和策略所支持的权限如下表所示。
 表1OBS系统权限 
| 系统角色/策略名称            | 描述                                                                                                                                                                                                                                                                          | 类别   |
|:---|:---|:---|
| Tenant Administrator | 拥有该权限的用户拥有除IAM外，其他所有服务的所有执行权限。                                                                                                                                                                                                                                              | 系统角色 |
| Tenant Guest         | 拥有该权限的用户拥有除IAM外，其他所有服务的只读权限。                                                                                                                                                                                                                                                | 系统角色 |
| OBS Administrator    | 拥有该权限的用户为OBS管理员，可以对账号下的所有OBS资源执行任意操作。                                                                                                                                                                                                                                       | 系统策略 |
| OBS Buckets Viewer   | 拥有该权限的用户可以执行列举桶、获取桶基本信息、获取桶元数据的操作。                                                                                                                                                                                                                                          | 系统角色 |
| OBS ReadOnlyAccess   | 拥有该权限的用户可以执行列举桶、获取桶基本信息、获取桶元数据、列举对象（不包含多版本）的操作。 说明： 拥有该权限的用户如果在控制台上列举对象失败，可能是因为桶中存在多版本对象。此时需要额外授予该用户列举多版本对象的权限（obs:bucket:ListBucketVersions），才能在控制台正常看到对象列表。                               | 系统策略 |
| OBS OperateAccess    | 拥有该权限的用户可以执行OBS ReadOnlyAccess的所有操作，在此基础上还可以执行上传对象、下载对象、删除对象、获取对象ACL等对象基本操作。 说明： 拥有该权限的用户如果在控制台上列举对象失败，可能是因为桶中存在多版本对象。此时需要额外授予该用户列举多版本对象的权限（obs:bucket:ListBucketVersions），才能在控制台正常看到对象列表。 | 系统策略 |
   
#### 推荐配置方法
IAM系统角色/策略
#### 配置须知
按照本案例配置系统角色或策略后，如果通过控制台或OBS Browser+登录，可能会出现无权限的相关提示信息。
即使界面出现了权限不足的提示，也并不影响已有的权限生效。通过API或SDK可以正常调用相关接口。
对于控制台或客户端工具（OBS Browser+）而言，如果配置了OBS OperateAccess权限，是可以进行对象上传、下载等操作的。
#### 配置步骤
1. 登录[管理控制台](https://console.huaweicloud.com/console/?locale=zh-cn#/obs/manager/buckets)。
2. 在控制台页面，鼠标移动至右上方的用户名，在下拉列表中选择"统一身份认证"。
3. [创建用户组并授权](https://support.huaweicloud.com/usermanual-iam/iam_03_0001.html)。
   
   按照IAM文档指导，将符合业务场景需求的系统角色或策略添加到用户组中。
   
   
4. 将需要授权的IAM用户[加入到创建的用户组中](https://support.huaweicloud.com/usermanual-iam/iam_03_0002.html)，授权完成。
   
   ![](https://support.huaweicloud.com/perms-cfg-obs/public_sys-resources/note_3.0-zh-cn.png)
   由于缓存的存在，授予OBS相关的角色和策略后，大概需要等待10\~15分钟权限才能生效。