创建用户并授权使用AstroZero

如果需要对您所拥有的AstroZero服务进行精细的权限管理，可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以：

根据企业的业务组织，在您的华为账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用AstroZero资源。
根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。
将AstroZero资源委托给更专业、高效的其他华为账号或者云服务，这些账号或者云服务可以根据权限进行代运维。

操作视频

本视频介绍AstroZero中的开发者用户与权限，演示为IAM用户授予AstroZero中相关权限的操作。

操作场景

华为账号是资源的归属以及使用计费的主体，对其所拥有的资源具有完全控制权限，可以访问所有云服务。为了保证您的账号安全，建议您创建一个IAM用户并赋予Astro Zero Instance ManageAccess和Astro Zero IAM User QueryAccess系统策略。赋予Astro Zero Instance ManageAccess和Astro Zero IAM User QueryAccess策略的IAM用户，可以购买AstroZero实例，也可以将同一个华为账号下的其他IAM用户添加到AstroZero，并赋予其管理员权限或开发者权限。

图1 给用户授予AstroZero权限流程

前提条件

给用户组授权之前，请您了解用户组可以添加的AstroZero系统策略，并结合实际需求进行选择，AstroZero支持的系统策略及策略间的对比，请参见AstroZero系统策略。如果您需要对除AstroZero之外的其它服务授权，IAM支持服务的所有策略请参见系统权限。

创建IAM用户并进行授权

使用账号，登录华为云官网，在顶部导航栏右侧单击“控制台”，进入华为云控制台。
在左侧导航栏上方，单击，选择服务实例所在的区域项目（当前仅支持华北-北京四）。
单击，选择“管理与监管 > 统一身份认证服务 IAM”，进入统一身份认证服务控制台。
创建用户组并授权。
1. 在左侧导航栏中，选择“用户组”，单击“创建用户组”。
2. 输入用户组名称（如AstroZero实例管理员），单击“确定”。
3. 在用户组列表中，单击已创建用户组后的“授权”。
4. 选择“Astro Zero Instance ManageAccess”和“Astro Zero IAM User QueryAccess”系统策略，单击“下一步”。
  
  拥有“Astro Zero Instance ManageAccess”和“Astro Zero IAM User QueryAccess”权限的IAM用户，可以购买AstroZero实例，也可以将同一个华为账号下的其他IAM用户添加到AstroZero。如果该IAM用户只需要创建AstroZero实例，不需要执行将其他用户添加到AstroZero中的操作，则只需要赋予用户组“Astro Zero Instance ManageAccess”权限。关于AstroZero各系统策略的详细介绍，请参见AstroZero系统策略。
  
  图2 授权用户组所需的权限
5. 设置最小授权范围，单击“确定”。
  图3 给IAM用户所在用户组赋权（设置最小授权范围）
创建IAM用户并加入用户组。
1. 在左侧导航栏中，选择“用户”，单击“创建用户”。
2. 配置用户的基本信息，单击“下一步”。
  关于用户基本信息的参数介绍，请参见创建IAM用户。
3. 选择4中创建的用户组，单击“创建用户”。
使用5中添加的IAM用户登录AstroZero，申请免费试用或购买商用实例。
1. 使用IAM用户登录华为云，登录操作请参见用户登录。
  图4 IAM用户登录
2. 单击管理控制台左上角的，选择4.e中授权的区域。
3. 单击，选择“开发与运维 > Astro轻应用（原AppCube）”，进入AstroZero服务控制台。
4. 参考申请AstroZero免费试用、购买AstroZero商用实例中操作，申请AstroZero免费试用或购买商用实例。

将同账号下的其他IAM用户，添加到AstroZero并赋予系统管理员权限

以创建IAM用户并进行授权中创建的IAM用户，登录AstroZero服务控制台。
在AstroZero服务控制台中，单击“进入首页”，进入应用开发页面。
单击左上角的，选择“环境管理 > 环境配置”，进入环境配置页面。
在左侧导航栏中，选择“用户安全 > 用户”，单击“添加IAM用户”。
在“添加IAM用户”页面，选中需要添加的用户，单击“下一步”。

请确保待添加的IAM用户具有“Astro Zero IAM User QueryAccess”和“Astro Zero Instance ViewAccess”权限。其中，“Astro Zero IAM User QueryAccess”为AstroZero实例查询权限，拥有该权限后才可以查看到系统中已创建的AstroZero实例。“Astro Zero Instance ViewAccess”为IAM用户查询权限，拥有该权限后在AstroZero中添加用户时才会显示待添加的IAM用户信息。关于AstroZero系统策略的详细介绍，请参见AstroZero系统策略。
在设置权限中，权限选择“System Administrator Profile”，为IAM用户添加系统管理员权限。

System Administrator Profile是AstroZero系统预置的系统管理员权限，拥有AstroZero全部权限。

图5 选择System Administrator Profile权限
单击“保存”，返回用户列表页面。

在用户列表中，可查看到已添加的IAM用户，且权限显示为System Administrator Profile。

图6 查看已添加的用户