准备工作

该解决方案部署，需要开通、配置以下授权。

1. 登录华为云控制台，打开“统一身份认证”菜单。
   图4 统一身份认证菜单
   

2. 进入“委托”菜单，搜索“rf_admin_trust”委托。
   图5 委托列表
   
   • 如果委托存在，则不用执行接下来的创建委托的步骤
   • 如果委托不存在时执行接下来的步骤创建委托

3. 单击步骤2界面中的“创建委托”按钮，在委托名称中输入“rf_admin_trust”，选择“普通账号”，委托的账号，输入“op_svc_IAC”，单击“下一步”。
   图6 创建委托
   

4. 在搜索框中输入”Tenant Administrator”权限，并勾选搜索结果。
   图7 选择策略
   

5. 选择“所有资源”，并单击下一步完成配置。
   图8 设置授权范围
   

6. “委托”列表中出现“rf_admin_trust”委托则创建成功。
   图9 委托列表
   

1. 打开“统一身份认证”菜单。
   图10 统一身份认证菜单
   

2. 进入“权限管理”-> “权限”菜单，在搜索框输入“IAM Agency Management FullAcces”当前账号是否存在IAM委托管理权限。
   图11 权限列表
   
   • 如果搜索结果不为空，则当前账号已经存在IAM委托管理权限，不需要重复创建
   • 如果过搜索结果为空，则继续创建“IAM Agency Management FullAcces”权限

3. 单击“创建自定义策略”按钮。
   图12 创建自定义策略
   

4. 输入策略名称为“IAM Agency Management FullAcces”，选择“JSON视图”，在策略内容中输入如下JSON代码，单击确认按钮。
   图13 创建自定义策略
   

   {
       "Version": "1.1",
       "Statement": [
           {
               "Action": [
                   "iam:agencies:createAgency",
                   "iam:agencies:listAgencies",
                   "iam:agencies:getAgency",
                   "iam:agencies:deleteAgency",
                   "iam:agencies:updateAgency",
                   "iam:permissions:revokeRoleFromAgencyOnProject",
                   "iam:permissions:revokeRoleFromAgencyOnDomain",
                   "iam:permissions:revokeRoleFromAgency",
                   "iam:permissions:grantRoleToAgencyOnDomain",
                   "iam:permissions:grantRoleToAgencyOnProject",
                   "iam:permissions:grantRoleToAgency",
                   "iam:permissions:listRolesForAgencyOnDomain",
                   "iam:permissions:listRolesForAgencyOnProject",
                   "iam:permissions:checkRoleForAgencyOnDomain",
                   "iam:permissions:checkRoleForAgencyOnProject",
                   "iam:permissions:listRolesForAgency",
                   "iam:permissions:checkRoleForAgency",
                   "iam:roles:listRoles"
               ],
               "Effect": "Allow"
           }
       ]
   }

5. 界面无报错，则成功创建IAM Agency Management FullAcces权限。