# 凭证管理
#### 概述
MAS支持纳管华为云内多账号资源，基于IAM委托或AOM访问密钥（ AK/SK）创建凭证，通过使用凭证实现当前账号查询、调用其他账号资源。
 #### 创建凭证
1. 登录MAS控制台，在左侧导航树选择"平台配置 \> 凭证管理"，进入"凭证管理"页面。
2. 在"凭证管理"页面单击"创建凭证"。
3. 在"创建凭证"弹窗，填写配置信息。 
   图1创建凭证   
   ![](https://support.huaweicloud.com/usermanual-mas/zh-cn_image_0000001480912700.png)
   表1凭证参数配置 
   | 参数    | 配置说明                                                                                                                                                                                                                  |
   |:---|:---|
   | 凭证名称  | 填写自定义凭证名称。                                                                                                                                                                                                            |
   | Cloud | 选择所属云，仅支持选择"华为云"。                                                                                                                                                                                                     |
   | 凭证类型  | 选择凭证类型。 - IAM委托  - AOM AK/SK   |
   | 委托账号  | 凭证类型为"IAM委托"时可见，填写委托账号。                                                                                                                                                                                               |
   | 委托名称  | 凭证类型为"IAM委托"时可见，填写委托名称。如无委托，请先[创建委托（委托方操作）](https://support.huaweicloud.com/usermanual-iam/iam_06_0002.html)。                                                                                                         |
   | AK    | 凭证类型为"AOM AK/SK"时可见，填写访问密钥ID（AK）。                                                                                                                                                                                     |
   | SK    | 凭证类型为"AOM AK/SK"时可见，填写秘密访问密钥（SK）。                                                                                                                                                                                     |
   | 企业项目  | 选择企业项目。                                                                                                                                                                                                               |
   | 描述    | 填写描述信息。                                                                                                                                                                                                               |
      
   
   
4. 单击"确定"，完成创建凭证。
 
#### 删除凭证
1. 登录MAS控制台，在左侧导航树选择"平台配置 \> 凭证管理"，进入"凭证管理"页面。
2. 在凭证列表中，单击凭证所在行"操作"列的"删除"。
3. 单击提示弹框的"确认"，完成删除操作。
 
#### 应用场景举例
当您使用A账号登录MAS控制台，默认可以添加A账号下的RDS资源作为数据源，如需要添加B账号下的RDS资源作为数据源，可通过B账号先创建委托将RDS资源共享给A账号，A账号在MAS控制台创建凭证（基于B账号创建的委托），并通过凭证来查询和调用B账号的RDS资源。
参考步骤如下：
1. 委托方B账号[创建委托](https://support.huaweicloud.com/usermanual-iam/iam_06_0002.html)并授权，建议授予被委托账号所需IAM和RDS的最小权限。
   - IAM所需最小权限策略如下：
   
   
   ```
   {
   "Version": "1.1",
   "Statement": [{
   "Action": [
   "iam:projects:listProjects"
   ],
   "Effect": "Allow"
   }]
   }
   ```
   - RDS所需最小权限策略如下：
   
   
   ```
   {
   "Version": "1.1",
   "Statement": [{
   "Action": [
   "rds:instance:list"
   ],
   "Effect": "Allow"
   }]
   }
   ```
   
2. 被委托的A账号[创建凭证]，凭证类型选择"IAM委托"，"委托账号"和"委托名"根据[1]配置。
3. A账号[创建命名空间](https://support.huaweicloud.com/usermanual-mas/mas_03_0021.html#mas_03_0021__section1767141782812)，主多活分区"默认凭证"配置为"当前账号凭证"，备多活分区"默认凭证"配置为[2]中创建的凭证。
4. A账号[添加数据源](https://support.huaweicloud.com/usermanual-mas/mas_03_0025.html#mas_03_0025__section343516213316)，命名空间选择[3]中命名空间的"备多活分区"，"链接模式"选择"RDS","凭证"默认为[2]中创建的凭证，此时在"实例列表"下所获取的RDS实例资源，均为B账号所属资源。
5. 若A账号下的IAM用户需要通过凭证操作B账号资源，可参考[权限管理](https://support.huaweicloud.com/usermanual-mas/mas_03_0010.html)为IAM用户授权，其权限需要包括如下自定义策略所含权限：
   ```
   {
   "Version": "1.1",
   "Statement": [{
   "Effect": "Allow",
   "Action": [
   "iam:tokens:assume"
   ]
   }]
   }
   ```