更新时间:2024-03-20 GMT+08:00
分享

应用场景

集中的身份管理,一次配置,即可安全访问多个账号的资源

大型企业在云上一般有多个账号,当前企业员工如需访问多个账号下的资源,需分别登录多个账号,或在多个账号下分别创建IAM用户来登录,维护成本高,操作效率低。通过IAM身份中心可以:

  • 集中创建和管理用户:
    • 允许管理员集中创建用户,分配登录密码,并对其进行分组管理。
    • 允许用户使用特定用户名和密码登录统一的用户门户网站,访问为其分配的多个账号下的资源,无需多次登录。
  • 连接到基于SAML 2.0协议的外部身份提供商系统,例如微软AD和Okta:
    • 允许管理员将IAM身份中心使用的SAML 2.0协议连接到外部身份提供商系统。
    • 支持通过SCIM协议自动化用户预置过程。管理员可以在外部身份提供商处管理用户,用户信息会自动同步到IAM身份中心,无需人工干预。
    • 外部身份提供商用户可使用现有账号密码登录其门户,然后自动跳转至华为云来访问华为云账号下的资源,无需IAM身份中心管理员重新分配密码。
  • 多因素认证(MFA):
    • 允许管理员对用户强制实施MFA,降低密码泄露的风险。
    • MFA设备支持基于TOTP协议的APP和基于FIDO2的硬件安全密钥设备。

支持细粒度授权,让用户集中、安全以及高效地分配每个账号资源的访问权限

大型企业在云上一般有多个账号,各个账号承载业务不同,登录的企业员工的职责也不同。需要针对不同账号配置不同员工的细粒度访问权限,确保企业的资源访问安全合规。

  • 集中管理用户对多个账号资源的访问权限:
    • 允许管理员使用不超过20个IAM权限策略创建权限集,实现批量的账号权限配置。
    • 每个账号可以设置允许访问的用户和对应的权限集。
    • IAM身份中心会自动将账号的权限信息同步到IAM,无需管理员在单个账号中重复授权。
  • 基于属性的访问控制机制:
    • 允许管理员通过支持属性的自定义策略创建权限集。包括用户和资源的组织、标签、请求时间、源地址等20+全局级属性及其他云服务级属性。
    • 允许管理员利用身份提供商定义的业务标签创建权限集。业务标签会在联邦登录过程中被自动转换为IAM的身份标签属性,用于控制访问权限。
    • 管理员只需一次性为所有用户定义权限,后续属性变化后策略中的条件键匹配结果也将发生变化,即可自动授予、撤销或修改访问权限。

相关文档