更新时间:2025-07-30 GMT+08:00
分享

权限管理

如果您需要对华为云上创建的CAE的资源,给企业中的员工设置不同的访问权限,以达到不同员工之间的权限隔离,您可以使用统一身份认证服务(Identity and Access Management,简称IAM)进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全地控制华为云资源的访问。

通过IAM,您可以在账号中给员工创建IAM用户,并授权控制员工对华为云资源的访问范围。例如您的员工中有负责软件开发的人员,您希望该员工拥有CAE的使用权限,但是不希望拥有删除等高危操作的权限,那么您可以使用IAM为开发人员创建用户,通过授予仅能使用CAE,但是不允许删除的权限策略,控制该员工对CAE资源的使用范围。

如果华为账号已经能满足您的要求,不需要创建独立的IAM用户进行权限管理,您可以跳过本章节,不影响您使用CAE服务的其它功能。

IAM是公有云提供权限管理的基础服务,无需付费即可使用,您只需要为您账号中的资源进行付费。

关于IAM的详细介绍,请参见《IAM产品介绍》

CAE权限

默认情况下,管理员创建的IAM用户没有任何权限,需要将其加入用户组,并给用户组授予策略或角色,才能使得用户组中的用户获得对应的权限,这一过程称为授权。授权后,用户就可以基于被授予的权限对云服务进行操作。

CAE部署时通过物理区域划分,为项目级服务。授权时,“授权范围”需要选择“指定区域项目资源”,然后在指定区域(如华东-上海一)对应的项目(cn-east-3)中设置相关权限,并且该权限仅对此项目生效;如果“授权范围”选择“所有资源”,则该权限在所有区域项目中都生效。访问CAE时,需要先切换至授权区域。

权限根据授权精细程度分为角色和策略。

  • 角色:IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度,提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系,因此给用户授予角色时,可能需要一并授予依赖的其他角色,才能正确完成业务。角色并不能满足用户对精细化授权的要求,无法完全达到企业对权限最小化的安全管控要求。
  • 策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。

表1所示, 包括了CAE的所有系统权限。

表1 CAE系统权限说明

系统角色/策略名称

描述

类别

依赖系统权限

CAE依赖服务应用场景

CAE FullAccess

云应用引擎所有权限。

系统策略

需要配合以下权限共同使用:

  • OBS Administrator
  • AOM FullAccess
  • SWR Admin
  • BSS Finance
  • VPC ReadOnlyAccess
  • ELB FullAccess
  • ServiceStage FullAccess

拥有操作CAE的所有权限。

CAE ReadOnlyAccess

云应用引擎只读权限。

系统策略

需要配合以下权限共同使用

  • ServiceStage ReadOnlyAccess
  • LTS ReadOnlyAccess
  • obs:bucket:GetBucketLocation
  • obs:bucket:GetBucketStorage
  • obs:bucket:GetBucketStoragePolicy

拥有对CAE资源的只读权限。

如果表1所列的这些权限不满足实际需求, 您可以参考表2在这个基础上自定义策略。

表2 CAE常用操作与系统权限之间的关系

操作

CAE ReadOnlyAccess

CAE FullAccess

购买套餐包

x

创建环境

x

查询所有环境

查询环境信息

删除环境

x

创建应用

x

查询应用信息

查询所有应用信息

更新应用信息

x

删除应用

x

创建组件

x

查询组件信息

查询组件配置

查询组件事件

查询所有组件和实例

查看使用量数据

修改组件配置

x

组件操作:伸缩,升级,回退,停止,启动,重启,编辑

x

删除组件

x

开启证书配置

x

查看证书配置

修改证书配置

x

关闭证书配置

x

域名配置

x

查看域名

取消域名配置

x

云储存授权

x

解绑云存储

x

远程登录

x

CAE控制台功能依赖的角色或策略

表3 CAE控制台依赖服务的角色或策略

控制台功能

依赖服务

需配置角色/策略

  • 选择OBS的软件包部署组件
  • 授权和解绑云存储

对象存储服务 OBS

IAM用户设置了CAE FullAccess权限后,需要增加OBS Administrator权限(对象存储服务管理员)后才能选择OBS的软件包部署组件,以及授权和解绑云存储。

创建环境

应用运维管理服务 AOM

IAM用户设置了CAE FullAccess权限后,需要增加AOM FullAccess权限(应用运维管理服务所有权限)后才能创建环境。

说明:

给IAM用户指定企业项目授权V3系统权限CAE FullAccess时,无法使用组件事件、组件日志等功能。因为CAE依赖AOM的部分权限不支持企业项目,包括aom:alarm:list(查询事件告警信息)、aom:metric:get(查询指标)、aom:metric:list(查询时序数据)。

AOM详细的权限和授权项说明请参见的策略授权参考

进行组件相关操作,包括创建、部署、升级、回退组件

容器镜像服务 SWR

IAM用户设置了CAE FullAccess权限后,需要增加SWR Admin权限(容器镜像服务管理员)后才能进行组件相关操作,包括创建、部署、升级、回退组件。

查询和配置公网域名

云解析服务 DNS

IAM用户设置了CAE FullAccess权限后,需要增加DNS Administrator权限(云解析服务管理员)后才能查询和配置公网域名。

说明:

授权DNS Administrator权限依赖VPC Administrator、Tenant Guest权限。授权DNS Administrator权限之后,可以删除其依赖的VPC Administrator、Tenant Guest权限,删除后不会影响配置域名功能。

购买套餐包,进行支付

费用中心 BSS

IAM用户设置了CAE FullAccess权限后,需要增加BSS Finance权限(费用中心财务管理员)后才能购买套餐包,进行支付。

  • 配置凭据
  • 配置环境变量引用凭据

数据加密服务 DEW

IAM用户设置了CAE FullAccess权限后,需要增加KMS CMKFullAccess权限(数据加密服务的加密密钥所有权限)和CSMS ReadonlyAccess权限(数据加密服务中凭据管理服务的只读权限)后才能配置凭据以及配置环境变量引用凭据。

自定义细粒度策略

使用自定义细粒度策略,请使用管理员用户进入统一身份认证(IAM)服务,按需选择云应用引擎的细粒度权限进行授权操作。细粒度权限依赖说明请参见表3

需注意:在IAM控制台,进入“权限管理 > 权限 > 创建自定义策略 > 云服务 > CAE > 策略内容”页面,仅以下表格中所列的操作(cae:environment:*和cae:application:*)适用于华为云region。

表4 云应用引擎细粒度权限依赖说明

权限名称

权限描述

依赖权限

应用场景

cae:environment:create

创建环境

  • vpc:vpcs:get
  • vpc:vpcs:list
  • vpc:vpcs:create
  • vpc:subnets:get
  • vpc:subnets:create
  • vpc:ports:get
  • vpc:ports:create
  • OBS Administrator
  • AOM FullAccess
  • BSS Finance
  • SWR Admin
  • 创建环境
  • 购买套餐包
  • 开启证书配置
  • 修改证书配置
  • 域名配置
  • 云存储授权

cae:environment:list

查询所有环境

  • obs:bucket:GetBucketLocation
  • obs:bucket:GetBucketStorage
  • obs:bucket:GetBucketStoragePolicy
  • 查询环境
  • 系统设置查看云存储授权

cae:environment:get

查询环境信息

  • 查看证书配置
  • 查看域名

-

cae:environment:delete

删除环境

  • vpc:ports:delete
  • OBS Administrator
  • 删除环境
  • 关闭证书配置
  • 取消域名配置
  • 解绑云存储

cae:application:create

创建应用

  • rds:instance:list
  • rds:databaseUser:list
  • rds:database:list
  • cse:engine:get
  • cse:engine:list
  • lts:groups:create
  • lts:topics:create
  • lts:*:list
  • lts:*:get
  • OBS Administrator
  • SWR Admin
  • 创建应用
  • 创建组件
  • 修改组件配置

cae:application:get

查询应用信息

  • rds:instance:list
  • rds:databaseUser:list
  • rds:database:list
  • cse:engine:get
  • cse:engine:list
  • 查看应用信息
  • 查看组件信息
  • 查看组件配置

cae:application:list

查询所有应用信息

  • 查看所有应用信息
  • 查看使用量数据
  • 查看所有组件和实例
  • 查看组件事件

cae:application:modify

更新应用信息

  • OBS Administrator
  • SWR Admin

组件操作:

  • 伸缩
  • 升级
  • 回退
  • 停止
  • 启动
  • 重启
  • 编辑

cae:application:delete

删除应用

  • lts:groups:delete
  • lts:topics:delete
  • OBS Administrator
  • 删除应用
  • 删除组件
  • 删除组件配置

cae:application:createConsole

远程登录

  • cae:application:delete
  • cae:application:modify
  • cae:application:get

远程登录

相关文档