创建IAM用户并授权使用ModelArts Studio（MaaS）

配置ModelArts委托授权以使用ModelArts Studio（MaaS）章节中介绍的一键式自动授权方式创建的委托的权限比较大，基本覆盖了依赖服务的全部权限。如果华为云账号已经能满足您的要求，则不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用MaaS服务的功能。

ModelArts作为一个完备的AI开发平台，支持用户对其进行细粒度的权限配置，以达到精细化资源、权限管理之目的。这类特性在大型企业用户的使用场景下很常见。如果需要对委托授权的权限范围进行精确控制，可以参考本章节进行MaaS服务的定制化委托授权。

本章节主要介绍如何给IAM用户下的子用户配置更细粒度的权限。

操作场景

统一身份认证（Identity and Access Management，简称IAM）是华为云提供权限管理的基础服务，可以帮助您安全地控制云服务和资源的访问权限。

IAM无需付费即可使用，您只需要为您账号中的资源进行付费。您注册华为云后，系统自动创建账号，账号是资源的归属以及使用计费的主体，对其所拥有的资源具有完全控制权限，可以访问华为云所有的云服务。更多信息，请参见什么是IAM。

授权流程

创建用户组并授权：如果企业中不需要每个人都注册账号，则可以由企业的管理员注册一个账号，在这个账号下创建用户组并分配权限，然后将创建的IAM用户根据不同的职能加入到不同的用户组中，分发给企业的人员使用。更多信息，请参见创建用户组并授权。

创建IAM用户并登录：创建一个IAM用户，并将其加入用户组中获得相应的权限。IAM用户登录ModelArts Studio（MaaS）控制台，使用权限范围内的资源。更多信息，请参见创建IAM用户并登录。

计费说明

授权是通过IAM（身份和访问管理）服务进行的，用于控制用户对ModelArts资源的访问权限。IAM服务本身是免费的，您无需为授权操作支付费用。

前提条件

仅管理员才可以创建IAM子用户。
给用户组授权之前，请先了解用户组可以添加的使用ModelArts及其依赖服务的权限，并结合实际需求进行选择，MaaS服务支持的系统权限，请参见表1。

表1 服务授权列表
待授权的服务	授权说明	IAM权限设置	策略类型	是否必选
ModelArts	授予子用户使用ModelArts服务的权限。 ModelArts CommonOperations没有任何专属资源池的创建、更新、删除权限，只有使用权限。推荐给子用户配置此权限。	ModelArts CommonOperations	系统策略	必选
ModelArts	如果需要给子用户开通专属资源池的创建、更新、删除权限，此处要勾选ModelArts FullAccess，请谨慎配置。	ModelArts FullAccess	系统策略	可选 ModelArts FullAccess权限和ModelArts CommonOperations权限建议二选一。
OBS对象存储服务	授予子用户使用OBS服务的权限。ModelArts的数据管理、开发环境、训练作业、模型推理部署均需要通过OBS进行数据中转。	OBS OperateAccess	系统策略	必选
SWR容器镜像仓库	授予子用户使用SWR服务权限。ModelArts的自定义镜像功能依赖镜像服务SWR FullAccess权限。	SWR OperateAccess	系统策略	必选
CES云监控	授予子用户使用CES云监控服务的权限。通过CES云监控可以查看ModelArts的在线服务和对应模型负载运行状态的整体情况，并设置监控告警。	CES FullAccess	系统策略	必选
SMN消息服务	授予子用户使用SMN消息服务的权限。SMN消息通知服务配合CES监控告警功能一起使用。	SMN FullAccess	系统策略	必选
VPC虚拟私有云	子用户在创建ModelArts的专属资源池过程中，如果需要开启自定义网络配置，需要配置VPC权限。	VPC FullAccess	系统策略	可选
统一身份认证服务IAM	用于检测是否有缺失委托的权限。	iam:permissions:listRolesForAgencyOnDomain iam:permissions:listRolesForAgencyOnProject iam:permissions:listRolesForAgency iam:agencies:getAgency iam:agencies:listAgencies	自定义策略	必选如果未配置，IAM子用户进入MaaS控制台时会出现权限缺失的弹窗提示用户配置。

配置MaaS基础操作权限

创建用户组。
1. 管理员登录IAM管理控制台，在左侧导航栏选择“用户组”。
2. 在“用户组”页面右上角，单击“创建用户组”。在“创建用户组”页面，输入“用户组名称”和“描述”，单击“确定”。
配置用户组权限。

在用户组列表中，单击步骤1新建的用户组右侧的“授权”，在用户组“授权”页面，您需要配置的权限如下：
1. 配置ModelArts使用权限。在筛选框选择系统策略，然后在搜索框搜索ModelArts。ModelArts FullAccess权限和ModelArts CommonOperations权限建议二选一。选择说明如下：
  - ModelArts CommonOperations：没有任何专属资源池的创建、更新、删除权限，只有使用权限。推荐给子用户配置此权限。
  - ModelArts FullAccess：如果需要给子用户开通专属资源池的创建、更新、删除权限，此处要勾选ModelArts FullAccess，请谨慎配置。
  图1 配置ModelArts使用权限
2. 参照表1，配置其他依赖云服务的使用权限。
  此处以OBS为例，在搜索框搜索OBS OperateAccess并勾选。在MaaS创建自定义模型、调优或压缩模型时，需要在对象存储服务OBS中创建OBS桶，用于存放模型权重文件、训练数据集或者存放永久保存的日志。
  
  图2 配置OBS OperateAccess权限
  
  重复操作此步骤，勾选中所有必选的权限，可选权限请按需选择。IAM权限与其他权限配置不同，需要创建自定义策略、为用户组添加自定义策略，详情请参见场景三：子用户添加缺失的权限。
3. 勾选完所需权限后，单击“下一步”，设置最小授权范围。单击“指定区域项目资源”，勾选待授权使用的区域，单击“确定”。
4. 提示授权成功，查看授权信息，单击“完成”。此处的授权生效需要15-30分钟。
创建子用户账号。在IAM左侧菜单栏中，选择“用户”，单击右上角“创建用户”，在“创建用户”页面中，添加多个用户。请根据界面提示，填写必选参数，然后单击“下一步”。
将上一步创建的子用户账号加入用户组。在“加入用户组”步骤中，选择“用户组”，然后单击“创建用户”。系统将前面设置的多个用户加入用户组中。
使用子用户账号登录华为云并验证权限。更多信息，请参见用户登录。

新创建的用户登录IAM管理控制台，切换至授权区域，验证权限：
- 在“服务列表”中选择ModelArts，进入ModelArts主界面，选择不同类型的专属资源池，在页面单击“创建”，如果无法进行创建（当前权限仅包含ModelArts CommonOperations），表示“ModelArts CommonOperations”已生效。
- 在“服务列表”中选择除ModelArts外（假设当前策略仅包含ModelArts CommonOperations）的任一服务，如果提示权限不足，表示“ModelArts CommonOperations”已生效。
- 在“服务列表”中选择ModelArts，进入ModelArts主界面，单击“算法管理>创建算法”，如果可以成功访问对应的OBS路径，表示OBS权限已生效。
- 参考表1依次验证其他可选权限。