权限管理

如果您需要对华为云上购买创建的Web应用防火墙（Web Application Firewall，WAF）资源，为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。如果华为账号已经能满足您的要求，不需要通过IAM对用户进行权限管理，您可以跳过本章节，不影响您使用WAF服务的其它功能。

IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。

通过IAM，您可以通过授权控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有Web应用防火墙（WAF）的使用权限，但是不希望他们拥有删除WAF等高危操作的权限，那么您可以使用IAM进行权限分配，通过授予用户仅能使用WAF，但是不允许删除WAF的权限，控制他们对WAF资源的使用范围。

目前IAM支持两类授权，一类是角色与策略授权，另一类为身份策略授权。

两者有如下的区别和关系：

表1 两类授权的区别
名称	核心关系	涉及的权限	授权方式	适用场景
角色与策略授权	用户-权限-授权范围	系统角色系统策略自定义策略	为主体授予角色或策略	核心关系为“用户-权限-授权范围”，每个用户根据所需权限和所需授权范围进行授权，无法直接给用户授权，需要维护更多的用户组，且支持的条件键较少，难以满足细粒度精确权限控制需求，更适用于对细粒度权限管控要求较低的中小企业用户。
身份策略授权	用户-策略	系统策略自定义身份策略	为主体授予身份策略身份策略附加至主体	核心关系为“用户-策略”，管理员可根据业务需求定制不同的访问控制策略，能够做到更细粒度更灵活的权限控制，新增资源时，对比角色与策略授权，基于身份策略的授权模型可以更快速地直接给用户授权，灵活性更强，更方便，但相对应的，整体权限管控模型构建更加复杂，对相关人员专业能力要求更高，因此更适用于中大型企业。

例如：如果需要对IAM用户授予可以创建华北-北京四区域的WAF和华南-广州区域的OBS的权限，基于角色授权的场景中，管理员需要创建两个自定义策略，并且为IAM用户同时授予这两个自定义策略才可以实现权限控制。在基于策略授权的场景中，管理员仅需要创建一个自定义策略，在策略中通过条件键“g:RequestedRegion”的配置即可达到策略对于授权区域的控制。将策略附加主体或为主体授予该策略即可获得相应权限，权限配置方式更细粒度更灵活。

两种授权模型场景下的策略、授权项等并不互通，推荐使用基于策略授权的模型进行授权。角色与策略权限管理和身份策略权限管理分别介绍两种模型的系统权限。

关于IAM的详细介绍，请参见IAM产品介绍。

角色与策略权限管理

WAF服务支持角色与策略授权。默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。

WAF部署时通过物理区域划分，为项目级服务。授权时，“授权范围”需要选择“指定区域项目资源”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果“授权范围”选择“所有资源”，则该权限在所有区域项目中都生效。访问WAF时，需要先切换至授权区域。

如表2所示，包括了WAF的所有系统权限。角色与策略授权场景的系统策略与身份策略授权场景的并不互通。

表2 WAF系统角色
系统角色/策略名称	描述	类别	依赖关系
WAF Administrator	Web应用防火墙服务的管理员，拥有管理实例和防护策略的权限。	系统角色	依赖Tenant Guest和Server Administrator角色。 Tenant Guest：全局级角色，在全局项目中勾选。 Server Administrator：项目级角色，在同项目中勾选。
WAF FullAccess	Web应用防火墙服务的所有权限。	系统策略	无。
WAF ReadOnlyAccess	Web应用防火墙的只读访问权限。	系统策略	无。

表3列出了Web应用防火墙（WAF）常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。

表3 常用操作与系统权限的关系
操作	WAF FullAccess	WAF ReadOnlyAccess	WAF Administrator
查询云模式防护域名列表	√	√	√
创建云模式防护域名	√	x	√
根据防护域名Id查询云模式防护域名详细信息	√	√	√
更新云模式防护域名的配置	√	x	√
删除云模式防护域名	√	x	√
修改域名防护状态	√	x	√
获取云模式域名路由信息	√	√	√
查询独享模式域名列表	√	√	√
创建独享模式域名	√	x	√
修改独享模式域名配置	√	x	√
查看独享模式域名配置	√	√	√
删除独享模式域名	√	x	√
修改独享模式域名防护状态	√	x	√
查询防护策略列表	√	√	√
创建防护策略	√	x	√
根据Id查询防护策略	√	√	√
更新防护策略	√	x	√
删除防护策略	√	x	√
更新防护策略的域名	√	x	√
修改单条规则的状态	√	x	√
查询cc规则列表	√	√	√
创建cc规则	√	x	√
根据Id查询cc防护规则	√	√	√
更新cc防护规则	√	x	√
删除cc防护规则	√	x	√
查询精准防护规则列表	√	√	√
创建精准防护规则	√	x	√
根据Id查询精准防护规则	√	√	√
更新精准防护规则	√	x	√
删除精准防护规则	√	x	√
查询全局白名单规则列表	√	√	√
创建全局白名单规则	√	x	√
查询全局白名单防护规则	√	√	√
更新全局白名单防护规则	√	x	√
删除全局白名单防护规则	√	x	√
查询黑白名单规则列表	√	√	√
创建黑白名单规则	√	x	√
查询黑白名单防护规则	√	√	√
更新黑白名单防护规则	√	x	√
删除黑白名单防护规则	√	x	√
查询JS脚本反爬虫规则列表	√	√	√
更新JS脚本反爬虫规则防护模式	√	x	√
创建JS脚本反爬虫规则	√	x	√
查询JS脚本反爬虫防护规则	√	√	√
更新JS脚本反爬虫防护规则	√	x	√
删除JS脚本反爬虫防护规则	√	x	√
查询隐私屏蔽防护规则列表	√	√	√
创建隐私屏蔽防护规则	√	x	√
查询隐私屏蔽防护规则	√	√	√
更新隐私屏蔽防护规则	√	x	√
删除隐私屏蔽防护规则	√	x	√
查询攻击惩罚规则列表	√	√	√
创建攻击惩罚规则	√	x	√
根据Id查询攻击惩罚防护规则	√	√	√
更新攻击惩罚规则	√	x	√
删除攻击惩罚规则	√	√	√
查询地理位置访问控制规则列表	√	√	√
创建地理位置控制规则	√	x	√
查询地理位置控制防护规则	√	√	√
更新地理位置控制防护规则	√	x	√
删除地理位置控制防护规则	√	x	√
查询防篡改规则列表	√	√	√
创建防篡改规则	√	x	√
查询防篡改防护规则	√	√	√
删除防篡改防护规则	√	x	√
网页防篡改规则更新缓存	√	x	√
查询防敏感信息泄露规则列表	√	√	√
创建防敏感信息泄露规则	√	x	√
查询防敏感信息泄露防护规则	√	√	√
更新防敏感信息泄露防护规则	√	x	√
删除防敏感信息泄露防护规则	√	x	√
查询引用表列表	√	√	√
创建引用表	√	x	√
查询引用表	√	√	√
修改引用表	√	x	√
删除引用表	√	x	√
查询地址组列表	√	√	√
创建ip地址组	√	x	√
查询ip地址组明细	√	√	√
修改ip地址组	√	x	√
删除ip地址组	√	x	√
查询证书列表	√	√	√
创建证书	√	x	√
查询证书	√	√	√
修改证书	√	x	√
删除证书	√	x	√
绑定证书到域名	√	x	√
查询攻击事件列表	√	√	√
查询指定事件id的防护事件详情	√	√	√
查询安全总览请求与攻击数量	√	√	√
查询安全统计qps次数	√	√	√
查询安全统计带宽数据	√	√	√
查询业务异常数量	√	√	√
查询安全总览分类统计top信息	√	√	√
查询安全总览中请求次数时间线统计数据	√	√	√
局点支持特性查询	√	√	√
查询WAF独享引擎列表	√	√	√
创建WAF独享引擎实例	√	x	√
查询WAF独享引擎信息	√	√	√
重命名WAF独享引擎	√	x	√
删除WAF独享引擎信息	√	x	√
查询lts配置信息	√	√	√
配置全量日志lts	√	x	√
购买包周期云模式waf	√	x	√
变更包周期云模式waf规格	√	x	√
开通云模式按需计费接口	√	x	√
关闭云模式按需计费接口	√	x	√
查询租户订购信息	√	√	√
查询全部防护域名列表	√	√	√
根据Id查询防护域名	√	√	√
按企业项目迁移防护域名	√	x	√
查询WAF回源IP信息	√	√	√
查询告警通知配置	√	√	√
更新告警通知配置	√	x	√

WAF控制台功能依赖的角色或策略

WAF对其他云服务有诸多依赖关系，因此在您开启IAM系统策略授权后，在WAF Console控制台的各项功能需要配置相应的服务权限后才能正常查看或使用，依赖服务的权限配置均基于您已设置了IAM系统策略授权的WAF FullAccess或WAF ReadOnlyAccess策略权限。

表4 WAF控制台依赖服务的角色或策略
Console控制台功能	依赖服务	需配置角色/策略
安全总览	企业项目管理服务 EPS	需要增加EPS ReadOnlyAccess的系统策略后，才能查看企业项目下总览中数据图表。
购买WAF实例（独享模式）	统一身份认证服务 IAM 网络控制台 VPC 弹性云服务器 ECS 标签管理服务 TMS	如果使用IAM用户购买WAF独享模式，需要为该IAM用户创建统一身份认证服务管理权限。首次购买，需要授予IAM系统角色权限“Security Administrator”；非首次购买，需要授予IAM系统策略权限“IAM ReadOnlyAccess”或授予自定义权限。需要增加VPC ReadOnlyAccess的系统策略，才能选择虚拟私有云、子网和安全组。如果您选择的“普通租户类”，需要增加ECS ReadOnlyAccess的系统策略，才能选择ECS规格。需要增加TMS ReadOnlyAccess的系统策略，才能查看预定义标签。
购买WAF实例（专属云）	云硬盘 EVS	需要增加EVS ReadOnlyAccess的系统策略，获取云硬盘资源的查询权限。
管理独享引擎	网络控制台 VPC 弹性公网IP EIP 弹性负载均衡 ELB	需要增加VPC ReadOnlyAccess的系统策略，才能查询虚拟私有云。需要增加EIP ReadOnlyAccess的系统策略，才能查询独享引擎实例绑定的EIP。需要增加ELB ReadOnlyAccess的系统策略，才能查询独享引擎实例绑定的ELB信息。
添加防护网站（ELB模式）	弹性负载均衡 ELB	需要增加ELB Administrator的系统角色，赋予IAM用户弹性负载均衡服务（ELB）管理员的角色，同时需要增加ELB FullAccess、ELB ReadOnlyAccess的权限，才能查询独享引擎实例绑定的ELB信息。
实例组管理	弹性负载均衡 ELB	需要增加ELB ReadOnlyAccess的系统策略，才能查询WAF实例组绑定的ELB信息。
添加防护网站（云模式、独享模式）	云证书与管理服务 CCM	需要增加SCM ReadOnlyAccess系统策略，才能查询证书信息。
修改服务器信息	云证书与管理服务 CCM
网站设置列表	云证书与管理服务 CCM
告警通知	消息通知服务 SMN	需要增加SMN ReadOnlyAccess的系统策略，才能获取消息通知服务的主题群组。
开启全量日志	云日志服务 LTS	需要增加LTS ReadOnlyAccess的系统策略，才能选择在云日志服务中创建的日志组和日志流名称。

身份策略权限管理

WAF服务支持身份策略授权。如表5所示，包括了WAF身份策略中的所有系统身份策略。身份策略授权场景的系统身份策略与角色与策略授权场景的并不互通。

表5 WAF系统策略
系统策略名称	描述	策略类别
WAFFullAccessPolicy	web应用防火墙管理员	系统策略
WAFReadOnlyAccessPolicy	web应用防火墙只读权限	系统策略

表6列出了Web应用防火墙（WAF）常用操作与系统策略的授权关系，您可以参照该表选择合适的系统策略。

表6 常用操作与系统策略的关系
操作	WAFReadOnlyAccessPolicy	WAFFullAccessPolicy
查询云模式防护域名列表	√	√
创建云模式防护域名	x	√
根据防护域名Id查询云模式防护域名详细信息	√	√
更新云模式防护域名的配置	x	√
删除云模式防护域名	x	√
修改域名防护状态	x	√
获取云模式域名路由信息	√	√
查询独享模式域名列表	√	√
创建独享模式域名	x	√
修改独享模式域名配置	x	√
查看独享模式域名配置	√	√
删除独享模式域名	x	√
修改独享模式域名防护状态	x	√
查询防护策略列表	√	√
创建防护策略	x	√
根据Id查询防护策略	√	√
更新防护策略	x	√
删除防护策略	x	√
更新防护策略的域名	x	√
修改单条规则的状态	x	√
查询cc规则列表	√	√
创建cc规则	x	√
根据Id查询cc防护规则	√	√
更新cc防护规则	x	√
删除cc防护规则	x	√
查询精准防护规则列表	√	√
创建精准防护规则	x	√
根据Id查询精准防护规则	√	√
更新精准防护规则	x	√
删除精准防护规则	x	√
查询全局白名单规则列表	√	√
创建全局白名单规则	x	√
查询全局白名单防护规则	√	√
更新全局白名单防护规则	x	√
删除全局白名单防护规则	x	√
查询黑白名单规则列表	√	√
创建黑白名单规则	x	√
查询黑白名单防护规则	√	√
更新黑白名单防护规则	x	√
删除黑白名单防护规则	x	√
查询JS脚本反爬虫规则列表	√	√
更新JS脚本反爬虫规则防护模式	x	√
创建JS脚本反爬虫规则	x	√
查询JS脚本反爬虫防护规则	√	√
更新JS脚本反爬虫防护规则	x	√
删除JS脚本反爬虫防护规则	x	√
查询隐私屏蔽防护规则列表	√	√
创建隐私屏蔽防护规则	x	√
查询隐私屏蔽防护规则	√	√
更新隐私屏蔽防护规则	x	√
删除隐私屏蔽防护规则	x	√
查询攻击惩罚规则列表	√	√
创建攻击惩罚规则	x	√
根据Id查询攻击惩罚防护规则	√	√
更新攻击惩罚规则	x	√
删除攻击惩罚规则	√	√
查询地理位置访问控制规则列表	√	√
创建地理位置控制规则	x	√
查询地理位置控制防护规则	√	√
更新地理位置控制防护规则	x	√
删除地理位置控制防护规则	x	√
查询防篡改规则列表	√	√
创建防篡改规则	x	√
查询防篡改防护规则	√	√
删除防篡改防护规则	x	√
网页防篡改规则更新缓存	x	√
查询防敏感信息泄露规则列表	√	√
创建防敏感信息泄露规则	x	√
查询防敏感信息泄露防护规则	√	√
更新防敏感信息泄露防护规则	x	√
删除防敏感信息泄露防护规则	x	√
查询引用表列表	√	√
创建引用表	x	√
查询引用表	√	√
修改引用表	x	√
删除引用表	x	√
查询地址组列表	√	√
创建ip地址组	x	√
查询ip地址组明细	√	√
修改ip地址组	x	√
删除ip地址组	x	√
查询证书列表	√	√
创建证书	x	√
查询证书	√	√
修改证书	x	√
删除证书	x	√
绑定证书到域名	x	√
查询攻击事件列表	√	√
查询指定事件id的防护事件详情	√	√
查询安全总览请求与攻击数量	√	√
查询安全统计qps次数	√	√
查询安全统计带宽数据	√	√
查询业务异常数量	√	√
查询安全总览分类统计top信息	√	√
查询安全总览中请求次数时间线统计数据	√	√
局点支持特性查询	√	√
查询WAF独享引擎列表	√	√
创建WAF独享引擎实例	x	√
查询WAF独享引擎信息	√	√
重命名WAF独享引擎	x	√
删除WAF独享引擎信息	x	√
查询lts配置信息	√	√
配置全量日志lts	x	√
购买包周期云模式waf	x	√
变更包周期云模式waf规格	x	√
开通云模式按需计费接口	x	√
关闭云模式按需计费接口	x	√
查询租户订购信息	√	√
查询全部防护域名列表	√	√
根据Id查询防护域名	√	√
按企业项目迁移防护域名	x	√
查询WAF回源IP信息	√	√
查询告警通知配置	√	√
更新告警通知配置	x	√

上一篇：个人数据保护机制

下一篇：安全

意见反馈

文档内容是否对您有帮助？

有帮助没帮助

提供反馈

提交成功！非常感谢您的反馈，我们会继续努力做到更好！您可在我的云声建议查看反馈及问题处理状态。

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

直接提交取消

如您有其它疑问，您也可以通过华为云社区问答频道来与我们联系探讨

盘古Doer提问云社区提问