创建委托
概述
由于华为云各服务之间存在业务交互关系,一些云服务需要与其他云服务协同工作,需要您创建云服务委托,将操作权限委托给该服务,让该服务以您的身份使用其他云服务,代替您进行一些资源运维工作。

- 在创建函数过程中选择委托时,勾选“为函数执行单独设置委托”时,弹出“函数配置委托”和“函数执行委托”,函数执行委托与函数配置委托可独立设置,这将减小不必要的性能损耗;不勾选时,函数执行委托和函数配置委托将使用同一委托,即使用同一个选择的委托或不使用任何委托。如图1所示。
函数配置委托,比如函数需要创建DMS或DIS触发器,则需要配置具有DMS或DIS访问权限的委托。当没有使用任何函数配置委托或者函数配置委托不存在时,不能创建DMS、DIS触发器。
函数执行委托配置后用户可以通过函数执行入口方法中的context参数获取具有委托中权限的token、AK、SK,用于访问其他云服务。
操作步骤
按照如下参数设置委托,创建委托的具体步骤请参考如何创建委托。
- 登录统一身份认证服务控制台。
- 在统一身份认证服务的左侧导航窗格中,选择“委托”页签,单击右上方的“+创建委托”。图2 创建委托
- 开始配置委托。
- 委托名称:自定义。
- 委托类型:选择“云服务”。
- 云服务:选择“函数工作流 FunctionGraph”。
- 持续时间:选择“永久”。
- 描述:填写描述信息。
- 单击“下一步”,进入委托选择页面,在右方搜索框中搜索需要添加的权限并勾选。此处以添加VPC Administrator权限为例。图3 选择权限
表1 委托权限示例 权限名称
使用描述/场景
VPC Administrator
拥有VPC Administrator权限的用户可以对VPC内所有资源执行任意操作。
例如,在函数配置跨VPC访问时,则函数必须配置具备VPC管理权限的委托。
- 单击“下一步”,选择权限的作用范围。此处以勾选“区域级项目”为例,您需要根据业务需要选择对应的权限作用范围。图4 根据业务需要选择对应的权限
常见委托场景授权项的配置
若您在FunctionGraph服务中使用如下场景,请先创建委托,对应授权项参考表2进行选择。
场景 |
授权项 |
说明 |
---|---|---|
使用自定义镜像 |
SWR Admin |
SWR Admin:容器镜像服务(SWR)管理员,拥有该服务下的所有权限。 如何创建自定义镜像,请参考自定义镜像。 |
挂载SFS文件系统 |
SFS Administrator或Tenant administrator |
SFS Administrator:弹性文件服务(SFS)管理员,拥有该服务下的所有权限。 Tenant administrator:全部云服务管理员(除IAM管理权限),拥有该权限的用户可以对企业拥有的所有云资源执行任意操作。 如何挂载SFS文件系统,请参考添加sfs文件系统。 |
挂载sfs turbo文件系统 |
SFS Administrator或Tenant administrator |
SFS Administrator:弹性文件服务(SFS)管理员,拥有该服务下的所有权限。 Tenant administrator:全部云服务管理员(除IAM管理权限),拥有该权限的用户可以对企业拥有的所有云资源执行任意操作。 如何挂载挂载sfs turbo文件系统,请参考添加sfs turbo文件系统。 |
挂载ECS共享目录 |
Tenant Guest及VPC Administrator |
Tenant Guest:全部云服务只读权限(除IAM权限) VPC Administrator:网络管理员 需要给函数设置委托至少拥有Tenant Guest以及VPC Administrator权限。 如何挂载ECS共享目录,请参考添加ECS共享目录。 |
使用APM调用链 |
APM Administrator |
APM Administrator:应用性能管理服务管理员。 如何开通APM调用链,请参考调用链管理。 |
使用DIS触发器 |
DIS Administrator |
数据接入服务(DIS)管理员,拥有该服务下的所有权限。 如何创建DIS触发器,请参考使用DIS触发器。 |
配置跨域VPC访问 |
VPC Administrator |
拥有VPC Administrator权限的用户可以对VPC内所有资源执行任意操作。在函数配置跨VPC访问时,则函数必须配置具备VPC管理权限的委托。 如何配置跨域VPC访问,请参考函数配置VPC。 |
读取云解析服务(DNS)的资源 |
DNS ReadOnlyAccess |
DNS ReadOnlyAccess:云解析服务只读权限,拥有该权限的用户仅能查看云解析服务资源。在函数配置调用DNS服务的接口解析内网域名时,则函数必须具备读取DNS资源权限的委托。 如何调用DNS服务的接口解析内网域名,请参考解析DNS内网域名。 |
创建OBS桶和OBS触发器 |
Tenant Administrator |
Tenant administrator:全部云服务管理员(除IAM管理权限),拥有该权限的用户可以对企业拥有的所有云资源执行任意操作。 如何创建OBS触发器,请参考使用OBS触发器。 |
修改委托
修改委托:如果需要修改委托的权限、持续时间、描述等,可以在IAM控制台修改委托。

FunctionGraph相关委托修改后,约10分钟生效(如context.getToken更新)。
