IAM权限管理概述
统一身份认证服务（Identity and Access Management，简称IAM）提供权限管理的基础服务，提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制云上资源的访问，并进行精细的权限管理。
IAM授权类型和使用场景
IAM可以授权不同企业用户对云服务资源的访问范围。例如您的员工中有负责数据分析的人员，您希望他们拥有DLI计算的使用权限，但是不希望他们拥有删除DLI资源等高危操作的权限，那么您可以使用IAM进行权限分配，通过授予用户仅能使用DLI资源，但是不允许删除资源的权限，控制他们对DLI资源的使用范围。
对于新建的用户，需要先登录一次DLI，记录元数据，后续才可正常使用。
目前IAM支持两类授权，一类是角色与策略授权，另一类为身份策略授权。
您可以通过策略内容中的Version字段区分两类授权，如表1所示。
两者有如下的区别和关系：
|
名称 |
核心关系 |
涉及的权限 |
授权方式 |
适用场景 |
|---|---|---|---|---|
|
角色与策略授权 |
用户-权限-授权范围 |
|
为主体授予角色或策略 |
核心关系为“用户-权限-授权范围”，每个用户根据所需权限和所需授权范围进行授权，无法直接给用户授权，需要维护更多的用户组，且支持的条件键较少，难以满足细粒度精确权限控制需求，更适用于对细粒度权限管控要求较低的中小企业用户。 |
|
身份策略授权 |
用户-策略 |
|
|
核心关系为“用户-策略”，管理员可根据业务需求定制不同的访问控制策略，能够做到更细粒度更灵活地权限控制，新增资源时，对比角色与策略授权，基于身份策略的授权模型可以更快速地直接给用户授权，灵活性更强，更方便，但相对应的，整体权限管控模型构建更加复杂，对相关人员专业能力要求更高，因此更适用于中大型企业。 |
IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见《IAM产品介绍》。
如果华为云账号已经能满足您的需求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用DLI服务的其他功能。
DLI系统权限
表3包括了DLI的所有系统权限。
- 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。
- 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活地授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对DLI服务，管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。
了解DLI SQL常用操作与系统策略的授权关系，请参考DLI常用操作与系统权限的关系。
