# 身份认证与访问控制
#### 身份认证
用户访问IoTDA的所有接口都需要携带身份凭证，并进行身份的合法性校验。IoTDA不同的接入场景需要携带不同的身份凭证，主要有如下四种场景：
- IoTDA应用侧接口支持IAM Token认证和访问密钥（AK/SK）认证两种认证方式进行认证鉴权，关于Token和访问密钥的详细介绍和获取方式，请参考[认证鉴权](https://support.huaweicloud.com/api-iothub/iot_06_v5_0091.html)。
- 设备侧MQTT连接鉴权，需要携带ClientId，设备ID和加密后的设备密钥进行认证鉴权，详细流程请参考[MQTT设备连接鉴权](https://support.huaweicloud.com/api-iothub/iot_06_v5_3009.html)。

- 设备侧HTTP连接鉴权，需要携带设备ID，密码校验方式，时间戳以及加密后的设备密钥进行认证鉴权，详细流程请参考[HTTP设备连接鉴权](https://support.huaweicloud.com/api-iothub/iot_06_v5_7008.html)。
- AMQP客户端与IoTDA平台连接鉴权，需要携带接入凭证键值（accessKey）和接入凭证密钥（accessCode）进行认证鉴权，详细说明参考[AMQP客户端接入说明](https://support.huaweicloud.com/usermanual-iothub/iot_01_00100_2.html)。
#### 访问控制
IoTDA支持通过IAM进行访问控制。IAM权限是作用于云资源的，IAM权限定义了允许和拒绝的访问操作，以此实现云资源权限访问控制。管理员创建IAM用户后，需要将用户加入到一个用户组中，IAM可以对这个组授予IoTDA所需的权限，组内用户自动继承用户组的所有权限。
IAM中为各云服务预置了系统权限，方便您快速完成基础权限配置，[表1]为IoTDA的所有系统权限。
 表1IoTDA的所有系统权限 
| 系统角色/策略名称            | 描述                             | 类别   |
|:---|:---|:---|
| Tenant Administrator | 拥有该权限的用户拥有除IAM外，其他所有服务的所有执行权限。 | 系统角色 |
| Tenant Guest         | 拥有该权限的用户拥有除IAM外，其他所有服务的只读权限。   | 系统角色 |
| IoTDA FullAccess     | 拥有该权限的用户拥有访问IoTDA资源的所有执行权限。    | 系统策略 |
| IoTDA ReadOnlyAccess | 拥有该权限的用户拥有访问IoTDA资源的只读权限。      | 系统策略 |