文档首页 > > 产品介绍>

权限管理

权限管理

分享
更新时间:2021/04/01 GMT+08:00

默认情况下,管理员创建的IAM用户没有任何权限,需要将其加入用户组,并给用户组授予策略或角色,才能使得用户组中的用户获得对应的权限,这一过程称为授权。授权后,用户就可以基于被授予的权限对云服务进行操作。

通过IAM,您可以在云账号中给员工创建IAM用户,并使用策略来控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员,您希望他们拥有数据接入服务 (Data Ingestion Service)的使用权限,但是不希望他们拥有删除通道等高危操作的权限,那么您可以使用IAM为开发人员创建用户,通过授予仅能使用通道,但是不允许删除通道的权限策略,控制他们对通道资源的使用范围。

如果云账号已经能满足您的要求,不需要创建独立的IAM用户进行权限管理,您可以跳过本章节,不影响您使用数据接入服务的其它功能。

IAM是华为云提供权限管理的基础服务,无需付费即可使用,您只需要为您账号中的资源进行付费。关于IAM的详细介绍,请参见《IAM产品介绍》

DIS权限

默认情况下,管理员创建的IAM用户没有任何权限,需要将其加入用户组,并给用户组授予策略或角色,才能使得用户组中的用户获得对应的权限,这一过程称为授权。授权后,用户就可以基于被授予的权限对云服务进行操作。

DIS部署时通过物理区域划分,为项目级服务,需要在各区域(如华北-北京1)对应的项目(cn-north-1)中设置相关权限,并且该权限仅对此项目生效,如果需要所有区域都生效,则需要在所有项目都设置权限。访问DIS时,需要先切换至授权区域。

权限根据授权精细程度分为角色和策略。

角色:IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度,提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系,因此给用户授予角色时,可能需要一并授予依赖的其他角色,才能正确完成业务。角色并不能满足用户对精细化授权的要求,无法完全达到企业对权限最小化的安全管控要求。

策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。例如:针对ECS服务,管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。策略根据创建的对象,分为系统策略和自定义策略。DIS支持的授权项请参考权限策略及授权项

策略-系统策略

云服务在IAM预置了常用授权项,称为系统策略。管理员给用户组授权时,可以直接使用这些系统策略,系统策略只能使用,不能修改。如需查看所有云服务的系统策略,请参见:系统权限

如果管理员在IAM控制台给用户组或者委托授权时,无法找到特定服务的系统策略,原因是该服务暂时不支持IAM,管理员可以通过给对应云服务提交工单,申请该服务在IAM预置权限。

策略-自定义策略

如果系统策略无法满足授权要求,管理员可以根据各服务支持的授权项,创建自定义策略,并通过给用户组授予自定义策略来进行精细的访问控制,自定义策略是对系统策略的扩展和补充。目前华为云支持可视化视图、JSON视图两种自定义策略配置方式。

表1所示,包括了DIS的所有系统权限。其中“依赖关系”表示该系统权限对其它权限的依赖。由于华为云各服务之间存在业务交互关系,数据接入服务的权限依赖其他服务的权限实现功能。因此给用户授予数据接入服务的权限时,需要同时授予依赖的权限,数据接入服务的权限才能生效。

表1 DIS系统权限

系统角色/系统策略

策略类别

描述

依赖关系

DIS Administrator

系统角色

对数据接入服务的所有执行权限。

DIS Operator

系统角色

通道管理权限,拥有创建删除等管理通道的权限,但不能使用通道上传下载数据。

DIS User

系统角色

通道使用权限,拥有使用通道上传下载数据的权限,但不能管理通道。

DIS FullAccess

系统策略

对数据接入服务的所有执行权限。

DIS CommonOperations

系统策略

通道管理权限,拥有创建删除等管理通道的权限,但不能使用通道上传下载数据。

DIS User

系统策略

1、DIS相关资源的查看权限:查看通道/APP列表、查看通道/APP详情等;

2、管理DIS订阅事件权限;

3、管理转储任务权限;

4、上传/下载数据权限;

5、管理消费检查点权限:添加checkpoint、查看checkpoint、删除checkpoint

6、监测kafka-adapter客户端心跳权限、加入/同步/离开消费组权限,使用dis-kafka-adapter-sdk需要配置此系统策略;

DIS ReadOnlyAccess

系统策略

DIS只读访问权限,查询DIS通道列表、APP列表、通道详情、转储任务详情等

表2列出了数据接入服务 (Data Ingestion Service)常用操作与系统权限的授权关系,您可以参照该表选择合适的系统权限。

表2 常用操作与系统权限的关系

操作

DIS Administrator | DIS FullAccess

DIS Operator | DIS CommonOperations

DIS User | DIS User

DIS ReadOnlyAccess

创建通道

x

x

删除通道

x

x

查询通道列表

查询通道详情

查询通道监控信息

查询分区监控信息

获取通道消费信息

变更分区数量

x

x

上传数据

x

x

获取数据游标

x

x

下载数据

x

x

创建APP

x

查询APP详情

查询APP列表

删除APP

x

新增Checkpoint

x

x

查询Checkpoint

删除Checkpoint

x

x

添加转储任务

x

查询转储任务详情

查询转储任务列表

删除转储任务

x

分享:

    相关文档

    相关产品

文档是否有解决您的问题?

提交成功!非常感谢您的反馈,我们会继续努力做到更好!
反馈提交失败,请稍后再试!

*必选

请至少选择或填写一项反馈信息

字符长度不能超过200

提交反馈 取消

如您有其它疑问,您也可以通过华为云社区论坛频道来与我们联系探讨

智能客服提问云社区提问