权限管理

角色与策略权限管理

SecMaster服务支持角色与策略授权。默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。

SecMaster部署时通过物理区域划分，为项目级服务。授权时，“授权范围”需要选择“指定区域项目资源”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果“授权范围”选择“所有资源”，则该权限在所有区域项目中都生效。访问SecMaster时，需要先切换至授权区域。

如表2所示，包括了SecMaster的所有系统权限。角色与策略授权场景的系统策略与身份策略授权场景的并不互通。

表3列出了SecMaster常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。

SecMaster控制台功能依赖的角色或策略

IAM主账号给IAM子账号授予指定区域项目资源SecMaster FullAccess权限后，在安全云脑控制台使用服务委托授权操作时，还需要给子账号授予IAM创建委托权限、委托授权策略权限，具体说明如下：

身份策略权限管理

SecMaster服务支持身份策略授权。如表5所示，包括了SecMaster身份策略中的所有系统身份策略。身份策略授权场景的系统身份策略与角色与策略授权场景的并不互通。

表6列出了SecMaster常用操作与系统身份策略的授权关系，您可以参照该表选择合适的系统身份策略。

SecMaster控制台功能依赖的身份策略

IAM主账号给IAM子账号授予指定区域项目资源SecMaster FullAccess权限后，在安全云脑控制台使用服务委托授权操作时，还需要给子账号授予IAM创建委托权限、委托授权策略权限，具体说明如下：

IAM子账号补充授权操作

SecMaster部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“指定区域项目资源”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效。

当给IAM子账号进行区域级项目授权SecMaster FullAccess授权后，由于安全云脑对其他云服务资源有依赖，因此，还需要给IAM子账号进行全局级Action操作授权。具体添加权限如下：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

{
    "Version": "5.0",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:roles:listRoles",
                "iam:agencies:listAgencies",
                "iam:permissions:checkRoleForAgencyOnDomain",
                "iam:permissions:checkRoleForAgencyOnProject",
                "iam:permissions:checkRoleForAgency",
                "iam:agencies:createAgency",
                "iam:permissions:grantRoleToAgencyOnDomain",
                "iam:permissions:grantRoleToAgencyOnProject",
                "iam:permissions:grantRoleToAgency"
            ]
        }
    ]
}

其中，“iam:permissions:grantRoleToAgencyOnDomain”、“iam:permissions:grantRoleToAgency”、“iam:permissions:grantRoleToAgencyOnProject”、“iam:agencies:createAgency”为使用安全云脑时的服务委托授权操作权限，非IAM子账号必选权限，请根据需要进行配置，授权情况说明如下：

• 未授权：仅IAM主账号可进行服务委托授权操作，且IAM子账号进行服务委托授权操作时会出现报错提示。
• 授权：IAM主账号及已授权的IAM子账号均可以进行服务委托授权操作。

相关链接

• IAM产品介绍

• 通过IAM角色或策略授予使用SecMaster的权限
• 通过IAM身份策略授予使用SecMaster的权限
• 策略授权参考
• 身份策略授权参考