按云服务粒度给用户授权

约束与限制

仅新版IAM支持。

前提条件

已创建用户组和IAM用户。

创建自定义身份策略

1. 管理员使用主账户登录管理控制台。
2. 在控制台页面，鼠标移动至右上方的用户名，在下拉列表中选择“统一身份认证”。
3. 在统一身份认证服务，单击页面右上角“体验新版控制台”。
4. 左侧导航窗格中，单击“身份策略”。
5. 在“身份策略”页面，单击右上角“创建自定义身份策略”按钮，进入“创建自定义身份策略”页面。
6. 在“创建自定义身份策略”页面，输入策略名称，策略配置方式选择“可视化视图”并配置策略内容：
   • 配置除ces:widgets:put外的操作权限操作步骤如下：
     1. 策略内容选择“允许”。
     2. 在操作页面选择支持云服务粒度授权的操作，具体操作请参考支持按云服务粒度授权的操作，可以选择除ces:widgets:put之外的所有操作。
     3. 单击所有资源，默认选择“所有资源”。
     4. 单击“请求条件（可选）”。
     5. 单击“添加条件”按钮，在“添加请求条件”页面配置参数，配置完成后点击“确定”。表1以授权OBS、ECS和EVS服务为例，介绍如何配置参数，若需要授权其他云服务，修改“值”即可：

        表1 配置请求条件

        参数	说明	参数取值
        条件键	条件键表示策略语句的Condition元素中的键值。	ces:namespace
        限定词	支持选择默认，请求中的任何值和请求中的所有值。	请求中的任何值
        运算符	与条件键、条件值一起使用，构成完整的条件判断语句。	StringEquals
        值	与条件键、运算符一起使用，当运算符需要某个关键字时，需要输入关键字的值，构成完整的条件判断语句。 条件值为需要授权的云服务的命名空间。若需配置多个云服务，请点击添加按钮，并在输入框中输入待授权云服务的命名空间。 注意： ECS与BMS服务部分监控数据依赖Agent插件，所以在授权ECS服务时需要同时配置SYS.ECS和AGT.ECS，BMS服务需要同时配置SYS.ECS和SERVICE.BMS。	SYS.OBS SYS.ECS AGT.ECS SYS.EVS

        图1 配置权限一策略内容
        
   • 如果还需要配置ces:widgets:put操作权限，则在策略内容下方单击“添加权限”按钮，并按照以下操作步骤新增权限：
     1. 策略内容选择“允许”。
     2. 在操作页面搜索并选择“ces:widgets:put”操作。
     3. 单击所有资源，默认选择“所有资源”。
     4. 单击“请求条件（可选）”。
     5. 单击“添加条件”按钮，在“添加请求条件”页面，按照表1配置参数，并勾选“运算符”参数后的“如果存在”复选框。
     6. 在“添加请求条件”页面，单击“确定”，完成添加请求条件。
        图2 配置权限二策略内容
        

7. 在“创建自定义身份策略”页面，单击页面右下角“确定”按钮，完成创建自定义身份策略。

授权用户组/用户

完成创建自定义身份策略后，即可为用户或者用户组进行授权。如果需要对某个用户组下所有用户进行授权，则需要对用户组进行授权。如果需要对某个用户组下单个用户进行授权，则需要给IAM用户授权。完成授权后，使用授权用户登录云监控服务控制台，验证是否只支持对授权的云服务进行操作，支持按云服务粒度授权的操作请参见支持按云服务粒度授权的操作。

支持按云服务粒度授权的操作

如表2所示为云监控服务支持按云服务粒度授权的操作及使用场景，用户可以根据实际使用场景进行选择。