跨账号资源访问

对于华为云的部分云服务，您可以授予云服务对资源的跨账号访问权限。为了实现跨账号资源访问的目的，您可以给资源直接附加资源策略，也可以使用IAM委托（包含普通委托和信任委托两种）实现跨账号授权后，使用IAM委托访问跨账号的资源。如果不使用IAM委托直接实现跨账号资源共享，则需要云服务的资源必须支持资源策略。与IAM身份策略不同，资源策略要求在策略中指定谁可以访问该资源。使用IAM委托实现跨账号资源共享不要求云服务的资源必须支持资源策略。

示例：

1. 某账号下的IAM用户张三创建一个信任委托，信任委托需要绑定两种策略：其一是信任策略，表示用户间的信任关系；其二是身份策略，表示被委托账号切换到该信任委托上具有什么操作权限。
   • 该信任策略表示允许租户李四下具有切换信任委托权限的IAM主体切换到该信任委托。在信任策略中使用Principal表示信任的主体，可参见JSON元素参考中的Principal查看详情。

     {
     	"Version": "5.0",
     	"Statement": [{
     		"Principal": {
     			"IAM": [
     				"{Account Id Of LiSi}"
     			]
     		},
     		"Effect": "Allow",
     		"Action": [
     			"sts:agencies:assume"
     		]
     	}]
     }

   • 该身份策略表示允许上述信任委托下载委托方账号中的指定资源(obs:::object:{bucket_name}/{object_name})。

     {
     	"Version": "5.0",
     	"Statement": [{
     		"Effect": "Allow",
     		"Action": [
     			"obs:object:getObject"
     		],
     		"Resource": [
     			"obs:::object:{bucket_name}/{object_name}"
     		]
     	}]
     }

2. 用户李四下具有sts:agencies:assume权限的IAM主体即可调用POST /v5/agencies/assume接口获取信任委托的临时安全凭证，进而使用该临时安全凭证调用OBS接口获取OBS对象详情。