权限概述

什么是华为账号、IAM用户、企业联邦用户

• 华为账号：当您首次使用华为云时注册的账号，该账号是您的华为云资源归属、资源使用计费的主体，对其所拥有的资源及云服务具有完全的访问权限。账号统一接收所有IAM用户进行资源操作时产生的费用账单。
• IAM用户：由账号在IAM中创建的用户，是云服务的使用人员，具有独立的身份凭证（密码和访问密钥），根据账号授予的权限使用资源。IAM用户不进行独立的计费（无IAM的账单），由所属账号统一付费。
• 企业联邦用户：与华为云建立信任关系的第三方系统用户。用户可以使用第三方系统账号登录华为云，类似通过某社交账号登录游戏平台。

账号与IAM用户可以类比为父子关系，账号对其所拥有的资源具有所有权限。IAM用户由账号创建，只能拥有账号授予的资源使用权限。IAM用户的作用是多用户协同操作同一账号时，进行精细化的权限控制。

图1 华为账号与IAM用户

IAM细粒度权限说明

使用IAM用户或企业联邦用户登录华为云码道代码智能体控制台执行计费相关操作时，需要账号具备企业管理员角色和对应的IAM细粒度权限方可执行，具体如表1和表2所示。

由于IAM控制台存在两个版本且权限存在差异，请根据实际使用的控制台版本完成对应权限配置。开通/关闭按需计费仅支持在IAM服务配置权限，不支持在IAM服务新版配置。

华为账号在IAM控制台为IAM用户授权的具体步骤请参考创建用户组并授权或创建用户组并授权（IAM新版），为企业联邦用户授权的具体步骤请参考创建用户组并授权。

企业联邦用户所属用户组权限修改后，必须重启企业IdP才能使相关设置生效。

授予IAM用户变更套餐的细粒度权限

以华为账号在IAM控制台为IAM用户授予变更套餐的细粒度权限为例，介绍权限配置的方法。

1. 使用华为账号登录IAM控制台。
2. 创建自定义策略，配置变更套餐所需的策略。
   1. 在左侧导航栏选择“权限管理 > 权限”，进入“权限”页面。
   2. 单击右上角的“创建自定义策略”，进入“创建自定义策略”页面。
   3. 参考表3设置自定义策略。

      表3 自定义策略参数说明

      参数	说明
      策略名称	输入策略名称，命名规则：仅支持输入大小写字母、中文、数字、空格及-_.,特殊字符。
      策略配置方式	选择“JSON视图”。
      策略内容	复制并粘贴如下内容： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "devcloud:monthlyPackage:changeSpecification", "devcloud:monthlyPackage:listResourceDetail" ] }, { "Effect": "Allow", "Action": [ "bss:order:pay", "bss:order:view" ] } ] }
      策略描述	可选，输入策略的描述信息。

      图2 创建自定义策略
      
   4. 单击“确定”，完成自定义策略的创建。

      在“权限”页面，查看新创建的策略。

3. 将变更套餐的IAM用户加入用户组。若该用户已加入用户组，请跳过此步骤，执行4。
   1. 在左侧导航栏，选择“用户组”，进入“用户组”页面。
   2. 单击右上角“创建用户组”，进入“创建用户组”页面。
   3. 填写“用户组名称”，单击“确定”，完成用户组的创建。

      命名规则：由中文、大小写字母、数字、空格和-_特殊字符组成。

   4. 在“用户组”页面，单击新建用户组后的“用户组管理”，弹出“用户组管理”对话框。
   5. 勾选目标IAM用户，单击“确定”，完成IAM用户加入用户组的操作。

4. 为用户组授予自定义策略的权限。
   1. 在“用户组”页面，单击目标用户组后的“授权”，进入“授权”页面。
   2. 在搜索框中输入2中新创建的自定义策略名称，勾选策略，单击“下一步”。
      图3 选择自定义策略
      
   3. 单击“确定”，弹出“提醒”对话框。
   4. 单击“知道了”，页面显示“授权成功”，表示已为用户组授权成功，单击“完成”。

5. 使用已授权的IAM用户登录码道代码智能体控制台，执行变更套餐的操作。