# 权限管理介绍 ![](https://support.huaweicloud.com/usermanual-appstreaming/public_sys-resources/note_3.0-zh-cn.png) - 此处的权限管理是指通过使用统一身份认证服务（Identity and Access Management，简称IAM）控制云服务和资源的访问权限。 - 云应用属于区域级项目，您可以创建多个IAM用户组，并授予其不同项目的云应用管理员权限，控制用户对云应用资源的访问范围。 - 如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用云应用服务。 #### 相关概念 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见[《IAM产品介绍》](https://support.huaweicloud.com/productdesc-iam/iam_01_0026.html)。 **账号** 当您首次使用华为云时注册的账号，该账号是您的华为云资源归属、资源使用计费的主体，对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。账号统一接收所有IAM用户进行资源操作时产生的费用账单。 账号不能在IAM中修改和删除，您可以在账号中心修改账号信息，如果您需要删除账号，可以在账号中心进行注销。 **IAM用户** 由账号在IAM中创建的用户，是云服务的使用人员，具有独立的身份凭证（密码和访问密钥），根据账号授予的权限使用资源。IAM用户不进行独立的计费，由所属账户统一付费。 **用户组** 用户组是用户的集合，IAM通过用户组功能实现用户的授权。您创建的IAM用户，需要加入特定用户组后，才具备对应的权限，否则IAM用户无法访问您账号中的任何资源或者云服务。当某个用户加入多个用户组时，此用户同时拥多个用户组的权限，即多个用户组权限的全集。 "admin"为系统缺省提供的用户组，具有所有云服务资源的操作权限。将IAM用户加入该用户组后，IAM用户可以操作并使用所有云资源，包括但不仅限于创建用户组及用户、修改用户组权限、管理资源等。 **企业项目权限说明** 关于企业项目权限的详细介绍，请参见[《EPS产品介绍》](https://support.huaweicloud.com/usermanual-em/zh-cn_topic_0126041616.html)。 #### 云应用服务管理员权限 权限根据授权的精细程度，分为策略和角色。云应用服务使用角色授予IAM用户管理员权限。云应用与云桌面使用同一个项目，则共用同一份用户名单，当给云应用的用户组授权时，云桌面同样会有对应的权限。 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予云应用管理员权限，才能使得用户组中的用户获得对应权限，这一过程称为授权。授权后，IAM用户可以在对应拥有权限的项目中对云应用资源进行操作。 如[表1]所示，包括了云应用的所有系统权限。[表2]包括了云应用所需的额外权限，其中"依赖关系"表示云应用的系统权限对其它角色的依赖。由于华为云各服务之间存在业务交互关系，云应用的角色依赖其他服务的角色实现功能。因此给用户组授予云应用的权限时，请勿取消已勾选的其他依赖权限，否则云应用的权限将无法生效。 表1云应用系统权限 | 系统权限 | 描述 | 说明 | |:---|:---|:---| | Workspace FullAccess | 云应用服务所有权限 | 云应用服务所有权限。 | | Workspace AppManager | 云应用服务应用管理员权限 | 创建、删除、操作云应用及其他相关如上网、定时任务等的所有操作。 | | Workspace UserManager | 云应用服务用户管理员权限 | 创建用户、删除用户、重置密码等用户管理操作。 | | Workspace SecurityManager | 云应用服务安全管理员权限 | 策略管理、用户连接记录等的所有跟安全相关的功能操作。 | | Workspace TenantManager | 云应用服务租户配置管理员权限 | 租户配置的所有功能。 | | Workspace ReadOnlyAccess | 云应用服务只读权限 | 云应用服务只读权限。 | 以下操作需要添加额外的权限如[表2]所示。 ![](https://support.huaweicloud.com/usermanual-appstreaming/public_sys-resources/note_3.0-zh-cn.png) 云应用依赖权限，请参考[IAM用户授权](https://support.huaweicloud.com/usermanual-iam/iam_01_0652.html)或者[自定义策略](https://support.huaweicloud.com/usermanual-iam/iam_01_0605.html)。 表2额外权限 | 操作类型 | 依赖的权限 | 说明 | |:---|:---|:---| | BSS相关权限：包周期相关操作，如购买、变更、按需转包周期等；总览页面查询待续费应用数量时需要查看续费信息管理权限。 | 策略需包含以下action权限： bss:discount:view bss:order:update bss:order:view bss:order:pay bss:renewal:view | - | | IAM相关权限：定时任务，创建与查询委托时需要的权限。 | **创建与查询委托依赖权限：** 策略需包含以下action权限： iam:roles:getRole iam:roles:listRoles iam:agencies:getAgency iam:agencies:listAgencies iam:agencies:createAgency iam:permissions:listRolesForAgencyOnProject iam:permissions:grantRoleToAgencyOnProject **仅需要查询委托依赖权限：** 策略需包含以下action权限： iam:agencies:getAgency iam:agencies:listAgencies iam:permissions:listRolesForAgencyOnProject | - | | TMS相关权限：创建应用时，要查询预定义标签则需要该权限。 | 策略需包含以下action权限： tms:predefineTags:list | TMS相关权限不支持企业项目授权。 | | VPCEP相关权限：开通/关闭云专线接入时需要该权限（企业项目细粒度鉴权时需要） | 系统角色：VPCEndpoint Administrator | VPCEP服务暂不支持企业项目细粒度鉴权。 | | VPC相关权限：创建镜像、应用组、服务器组及相关操作、开通小规模应用上网（企业项目细粒度鉴权时需要） | IAM项目级的权限 系统策略：VPC ReadOnlyAccess 系统角色：VPC Administrator | 需要拥有开通云应用服务所使用的VPC所在企业项目的VPC权限。 | | IMS相关权限：创建镜像、创建服务器组及服务器组相关操作需要该权限（企业项目细粒度鉴权时需要） | 策略需包含以下action权限： ims:images:get ims:images:share | IMS服务暂不支持企业项目细粒度鉴权。 |