示例：为IAM用户（子用户）配置创建CSS集群的权限

• 创建CSS集群的权限有“CSS FullAccess”或“Elasticsearch Administrator”。
• 如果还需要查看资源的消费情况，请在同区域选择“BSS Administrator”权限。

此处以仅为“华北-北京四”区域的资源设置权限为例，选择授权范围方案为“指定区域项目资源”，并选择“cn-north-4 [华北-北京四]”区域。

图1 设置最小授权范围

图2 配置用户信息

• 用户可以使用此处设置的用户名、邮件地址或手机号任意一种方式登录华为云。
• 当用户忘记密码时，可以通过此处绑定的邮箱或手机自行重置密码，如果用户没有绑定邮箱或手机号码，只能由管理员重置密码。

图3 配置访问方式

• 编程访问：为IAM用户启用访问密钥或密码，支持用户通过API、CLI、SDK等开发工具访问华为云服务。
• 管理控制台访问：为IAM用户启用密码，支持用户登录华为云管理控制台访问云服务。
  

  • 如果IAM用户仅需登录管理控制台访问云服务，建议访问方式选择管理控制台访问，凭证类型为密码。
  • 如果IAM用户仅需编程访问华为云服务，建议访问方式选择编程访问，凭证类型为访问密钥。
  • 如果IAM用户需要使用密码作为编程访问的凭证（部分API要求），建议访问方式选择编程访问，凭证类型为密码。
  • 如果IAM用户使用部分云服务时，需要在其控制台验证访问密钥（由IAM用户输入），建议访问方式选择编程访问和管理控制台访问，凭证类型为密码和访问密钥。例如IAM用户在控制台使用云数据迁移CDM服务创建数据迁移，需要通过访问密钥进行身份验证。

  表2 配置凭证类型和登录保护

  凭证类型与登录保护		说明
  访问密钥		创建用户完成后即可下载本次创建的所有用户的访问密钥（AK/SK）。 一个用户最多拥有两个访问密钥。
  密码	自定义	自定义用户密码，并选择用户首次登录时是否需要重置密码。 如果您是用户的使用主体，建议您选择该方式，设置自己的登录密码，且无需勾选首次登录时重置密码。
  	自动生成	系统自动生成IAM用户的登录密码，创建完用户即可下载excel形式的密码文件。将密码文件提供给用户，用户使用该密码登录。 仅在创建单个用户时适用。
  	首次登录时设置	系统通过邮件发一次性登录链接给用户，用户登录控制台并设置密码。 如果您不是用户的使用主体，建议选择该方式，同时输入用户的邮件地址和手机，用户通过邮件中的一次性链接登录华为云，自行设置密码。该链接7天内有效。
  登录保护	开启登录保护（推荐）	开启登录保护后，IAM用户登录时，除了在登录页面输入用户名和密码外（第一次身份验证），还需要在登录验证页面输入验证码（第二次身份验证），该功能是一种安全实践，建议开启登录保护，多次身份认证可以提高账号安全性。 您可以选择通过手机、邮箱、虚拟MFA进行登录验证。
  	不开启	创建完成后，如需开启登录保护，请参见：登录保护。

• 将用户加入用户组，用户将具备用户组的权限。
• 如需创建新的用户组，可单击“创建用户组”，填写用户组名称和描述（可选），创建成功后即可将用户加入到新创建的用户组中。

• 如果该用户是管理员，可以将用户加入默认用户组“admin”中。
• 一个用户可以同时加入多个用户组。