天翼云提供統一身份認證（Identity and Access Management，簡稱IAM）服務，是提供用戶進行權限管理的基礎服務，可以幫助您安全的控制云服務和資源的訪問及操作權限。您通過IAM服務定義企業項目、創建子用戶，輕松實現IAM子用戶對KMS資源的訪問控制、權限分配等。
KMS權限管理
默認情況下，主賬號創建的IAM用戶沒有任何權限，需要將其加入特定的用戶組，并給用戶組授予KMS產品的權限策略（包括系統策略和自定義策略），授權后IAM用戶就能獲得策略中定義的KMS產品的使用權限。
KMS產品支持企業項目管理，若您需要對KMS服務中的資源進行分組和管理，形成邏輯隔離，您可以創建企業項目，并將資源劃分至不同的企業項目中，不同的企業項目可以綁定不同的用戶組，并給用戶組授予KMS產品的權限策略（包括系統策略和自定義策略），從而實現對特定資源的授權。
KMS權限配置
IAM權限管理：進入配置界面，可以進行IAM用戶及用戶組的創建，并在用戶組列表中點擊“授權”，為用戶組添加KMS產品對應的權限策略。KMS權限策略分為系統策略和自定義策略，系統策略默認提供，您也可以在“策略管理”界面創建自定義策略。用戶組授權記錄均可在“授權管理”界面查看并管理。
企業項目管理：進入 配置界面，在“企業項目”界面可以創建并管理企業項目，創建企業項目后可進行資源的遷入遷出，綁定用戶組，并給用戶組授予KMS產品的權限策略（包括系統策略和自定義策略）。
KMS權限及授權項說明
策略包含系統策略和自定義策略，如果系統策略不滿足授權要求，管理員可以創建自定義策略，并通過給用戶組授予自定義策略來進行精細的訪問控制。策略支持的操作與API相對應，授權項列表說明如下：
權限：允許或拒絕IAM用戶某項操作；
對應API接口：權限策略所作用的實際調用接口；
授權項：授權操作對應的權限三元組，創建自定義策略時，支持可視化JSON視圖寫入權限三元組實現策略配置；
權限類型：授權操作對應的讀寫類型。
KMS支持的授權項
密鑰管理
| 權限 | 對應API接口 | 授權項 | 讀寫類型 |
|---|---|---|---|
| 創建密鑰 | /v1/cmkManage/createKey | kms:cmk:create | 寫 |
| 啟用密鑰 | /v1/cmkManage/enableKey | kms:cmk:enable | 寫 |
| 禁用密鑰 | /v1/cmkManage/disableKey | kms:cmk:disable | 寫 |
| 計劃刪除密鑰 | /v1/cmkManage/scheduleKeyDeletion | kms:cmk:delete | 寫 |
| 取消計劃刪除密鑰 | /v1/cmkManage/cancelKeyDeletion | kms:cmk:undelete | 寫 |
| 更新密鑰描述 | /v1/keyManage/updateKeyDescription | kms:cmk:update | 寫 |
| 查看密鑰列表 | /v1/keyManage/listAliasKeys | kms:cmk:list | 讀 |
| 查看密鑰詳情 | /v1/keyManage/describeKey | kms:cmk:describe | 讀 |
| 開啟刪除保護 | /v1/cmkManage/scheduleKeyDeletion | kms:cmk:deleteProtect | 寫 |
| 取消刪除保護 | /v1/cmkManage/cancelKeyDeletion | kms:cmk:cancelDeleteProtect | 寫 |
| 獲取導入密鑰材料參數 | /v1/importKey/getParametersForImport | kms:cmk:getParameters | 寫 |
| 導入密鑰材料 | /v1/importKey/importKeyMaterial | kms:cmk:importMaterial | 寫 |
| 刪除密鑰材料 | /v1/importKey/deleteKeyMaterial | kms:cmk:deleteMaterial | 寫 |
| 設置/更新輪轉策略 | /v1/versionControl/updateRotationPolicy | kms:cmk:updateRotation | 寫 |
| 創建密鑰版本 | /v1/versionControl/createKeyVersion | kms:cmk:createVersion | 寫 |
| 列出主密鑰所有密鑰版本 | /v1/versionControl/listKeyVersions | kms:cmk:listVersions | 讀 |
| 查看指定密鑰版本信息 | /v1/versionControl/describeKeyVersion | kms:cmk:describeVersion | 讀 |
| 創建別名 | /v1/keyName/createAlias | kms:cmk:createAlias | 寫 |
| 刪除別名 | /v1/keyName/deleteAlias | kms:cmk:deleteAlias | 寫 |
| 更新別名（非控制臺功能） | /v1/keyName/updateAlias | kms:cmk:updateAlias | 寫 |
| 列出與指定密鑰綁定的別名 | /v1/keyName/listAliasByUuid | kms:cmk:listAliasByUuid | 讀 |
| 列出所有別名（非控制臺功能） | /v1/keyName/listAlias | kms:cmk:listAlias | 讀 |
| 在線加密 | /v1/keyCompute/encrypt | kms:cmk:encrypt | 寫 |
| 產品數據密鑰（信封加密） | /v1/keyCompute/generateDataKey | kms:cmk:generateDataKey | 寫 |
| 產生無明文返回值的數據密鑰（信封加密） | /v1/keyCompute/generateDataKeyWithoutPlaintext | kms:cmk:generateDataKeyWithoutPlaintext | 寫 |
| 導出數據密鑰 | /v1/keyCompute/exportDataKey | kms:cmk:exportDataKey | 寫 |
| 產生并導出數據密鑰 | /v1/keyCompute/generateAndExportDataKey | kms:cmk:generateAndExportDataKey | 寫 |
| 解密 | /v1/keyCompute/decrypt | kms:cmk:decrypt | 寫 |
| 轉加密 | /v1/cmkManage/reEncrypt | kms:cmk:reEncrypt | 寫 |
| 產生數字簽名 | /v1/asymmetric/asymmetricSign | kms:cmk:asymmetricSign | 寫 |
| 驗證簽名 | /v1/asymmetric/asymmetricVerify | kms:cmk:asymmetricVerify | 寫 |
| 非對稱密鑰加密 | /v1/asymmetric/asymmetricEncrypt | kms:cmk:asymmetricEncrypt | 寫 |
| 非對稱密鑰解密 | /v1/asymmetric/asymmetricDecrypt | kms:cmk:asymmetricDecrypt | 寫 |
| 獲取非對稱密鑰公鑰 | /v1/asymmetric/getPublicKey | kms:cmk:getPublicKey | 寫 |
證書管理
| 權限 | 對應API接口 | 授權項 | 讀寫類型 |
|---|---|---|---|
| 創建證書csr | /v1/manageCertificate/createCertificate | kms:cert:create | 寫 |
| 導入證書 | /v1/manageCertificate/importCertificate | kms:cert:import | 寫 |
| 查看證書列表 | /manageCertificate/listCertificate | kms:cert:list | 讀 |
| 查詢證書信息 | /v1/manageCertificate/describeCertificate | kms:cert:describe | 讀 |
| 更新證書狀態 | /v1/manageCertificate/updateCertificateStatus | kms:cert:update | 寫 |
| 獲取證書 | /v1/manageCertificate/getCertificate | kms:cert:get | 讀 |
| 導出證書私鑰 | /v1/manageCertificate/exportCertifiicatePrivatkey | kms:cert:exportPrivatkey | 寫 |
| 刪除證書 | /v1/manageCertificate/deleteCertificate | kms:cert:delete | 寫 |
| 證書私鑰簽名 | /v1/certificateCompute/certificatePrivateKeySign | kms:cert:privateKeySign | 寫 |
| 證書公鑰驗簽 | /v1/certificateCompute/certificatePublicKeyVerify | kms:cert:publicKeyVerity | 寫 |
| 證書公鑰加密 | /v1/certificateCompute/certificatePublicKeyEncrypt | kms:cert:publicKeyEncrypt | 寫 |
| 證書私鑰解密 | /v1/certificateCompute/certificatePrivateKeyDecrypt | kms:cert:privateKeyDecrypt | 寫 |
| 生成隨機數 | /v1/certificatecompute/getRandom | kms:cert:getRandom | 寫 |
