統一身份認證IAM介紹
統一身份認證（Identity and Access Management，簡稱IAM）服務，是提供用戶進行權限管理的基礎服務，可以幫助您安全的控制云服務和資源的訪問及操作權限。
IAM為您提供的主要功能包括：精細的權限管理、安全訪問、通過用戶組批量管理用戶權限、委托其他帳號管理資源等。
身份管理
訪問控制IAM中的身份包括IAM用戶、IAM用戶組。
IAM用戶有確定的登錄密碼和訪問密鑰，IAM用戶組則用于分類職責相同的IAM用戶，IAM用戶和IAM用戶組均可以被賦予一組權限策略。在需要協同使用資源的場景中，避免直接共享天翼云賬號的密碼等信息，縮小不同IAM子用戶的信息可見范圍，可為IAM子用戶和IAM用戶組按需授權，即使不慎泄露機密信息，也不會危及天翼云賬號下的所有資源。
權限管理
統一身份認證IAM通過權限策略描述授權的具體內容，權限策略包括固定的基本元素“Action”“Effect”等，更多信息，請參見“自定義策略“。為IAM用戶、IAM用戶組在全局授權或企業項目授權中添加一組權限策略后，即可讓其有權限訪問指定資源。
權限策略分為系統策略和自定義策略:
系統策略 ：預置的系統策略，您只能使用不能修改。虛擬私有云相關的系統策略包含如下：
vpc admin：虛擬私有云服務的管理者權限，包含虛擬私有云服務所有控制權限（不含訂單類權限）；
vpc viewer: 虛擬私有云服務的觀察者權限，包含虛擬私有云服務的列表頁與詳情頁面權限；
自定義策略 ：您按需自行創建和維護的權限策略，關于自定義策略的操作和示例，請參見“自定義策略“。
虛擬私有云接口對應權限表
如下是虛擬私有云服務相關權限三元組及生效范圍：
控制臺接口 權限三元組 配置支持 IAM（資源池/全局） 企業項目（資源組） VPC VPC 創建VPC vpc vpcs create √ √ vpc subnets create √ √ vpc vpcs list √ √ VPC列表獲取 vpc vpcs list √ √ VPC詳情獲取 vpc vpcs get √ √ 刪除 vpc vpcs delete √ √ 修改 vpc vpcs update √ √ 子網 創建子網 創建子網 vpc subnets create √ √ VPC列表獲取 vpc vpcs list √ √ 子網列表 子網列表獲取 vpc subnets list √ √ 子網詳情 子網詳情獲取 vpc subnets get √ √ 云主機列表獲取 ecs cloudServers list √ √ 云主機詳情獲取 ecs cloudServers get √ √ 物理機列表獲取 dps physicalserver list √ √ 虛擬IP列表獲取 vpc vips list √ √ ACL列表獲取 vpc firewallPolicies list √ √ ACL詳情獲取 vpc firewallPolicies get √ √ 路由列表獲取 vpc route list √ √ 路由詳情獲取 vpc route get √ √ 修改子網 vpc subnets update √ √ 刪除子網 vpc subnets delete √ √ 彈性網卡 創建彈性網卡 創建彈性網卡 vpc cloudServerNics create √ × 子網列表獲取 vpc subnets list √ × 安全組列表獲取 vpc securityGroups list √ × VPC列表獲取 vpc vpcs list √ × 彈性網卡列表獲取 vpc cloudServerNics list √ × 彈性網卡詳情獲取 vpc cloudServerNics get √ × 綁定彈性網卡 ecs cloudServerNics binding √ × 解綁彈性網卡 ecs cloudServerNics unbinding √ × 修改彈性網卡 vpc cloudServerNics change √ × 刪除彈性網卡 vpc cloudServerNics delete √ × 路由表 創建路由表 vpc route create √ √ 路由表列表獲取 vpc route list √ √ 路由表詳情 路由表詳情獲取 vpc route get √ √ 創建路由規則 vpc routeRules create √ √ 路由規則列表 vpc routeRules list √ √ 修改規則 vpc routeRules change √ √ 刪除規則 vpc routeRules delete √ √ 更換路由表 vpc route binding √ √ 修改路由表 vpc route modify √ √ 刪除路由表 vpc route delete √ √ 關聯子網 vpc route binding √ √ 安全組 創建安全組 vpc securityGroups create √ √ vpc vpcs list √ √ 安全組列表獲取 vpc securityGroups list √ √ 安全組詳情獲取 vpc securityGroups get √ √ vpc securityGroupRules list √ √ 修改安全組 vpc securityGroups update √ √ 刪除安全組 vpc securityGroups delete √ √ 克隆安全組 vpc securityGroups copy √ √ vpc securityGroups create √ √ 安全組規則列表 安全組規則列表 vpc securityGroupRules list √ × 添加/快速添加安全組規則 vpc securityGroupRules create √ × 修改安全組規則 vpc securityGroupRules update √ × 復制安全組規則 vpc securityGroupRules create √ × 刪除安全組規則 vpc securityGroupRules delete √ × IPv6網關 創建IPv6網關
vpc ipv6Gateways create √ √ 刪除IPv6網關
vpc ipv6Gateways delete √ √ 查詢IPv6網關詳情 vpc ipv6Gateways get √ √ 查詢IPv6網關列表
vpc ipv6Gateways list √ √ IPv6網關操作 修改IPv6網關名稱 vpc ipv6Gateways update √ √ 綁定IPv6帶寬 vpc ipv6Bandwidths addipv6 √ √ 解綁IPv6帶寬 vpc ipv6Bandwidths removeipv6 v ACL 創建網絡ACL vpc firewallPolicies create √ √ vpc vpcs list √ √ ACL列表獲取 vpc firewallPolicies list √ √ ACL詳情獲取 vpc firewallPolicies get √ × 停用ACL vpc firewallPolicies stop √ √ 啟用ACL vpc firewallPolicies start √ √ 刪除ACL vpc firewallPolicies delete √ √ ACL關聯子網 vpc firewallPolicies attach √ √ ACL取消關聯 vpc firewallPolicies detach √ √ ACL規則列表 ACL規則列表 vpc firewallRules list √ √ 添加ACL規則 vpc firewallRules create √ √ 修改/配置/停用ACL規則/調整優先級 vpc firewallRules update √ √ 刪除ACL規則 vpc firewallRules delete √ √
天翼云支持對用戶組/子用戶，進行資源池或全局維度的權限授權；同時也支持在企業項目中，對用戶組進行資源組維度的權限授權。部分沒有企業項目屬性的接口或資源，授權只能以資源池或全局維度進行。以資源池或全局維度進行的授權判斷，其優先級高于企業項目中的資源組維度授權。
通過IAM用戶控制資源訪問
在協同使用資源的場景下，根據實際的職責權限情況，您可以創建多個IAM用戶并為其授予不同的權限，實現不同IAM子用戶可以分權管理不同的資源，從而提高管理效率，降低信息泄露風險。本文介紹如何創建IAM子用戶并授予特定權限策略，從而控制對虛擬私有云資源的訪問。
操作步驟
創建IAM子用戶
具體操作，請參見“創建子用戶/子用戶分組”。
創建自定義策略
天翼云提供了訪問虛擬私有云資源的系統策略，更多信息，請參見“管理權限”。如果系統策略不能滿足需求，您還可以創建自定義策略，具體操作，請參見“自定義策略“。
策略分為用戶可以自行定義的自定義策略，以及預定義在平臺錄入的系統策略兩類。
細粒度授權策略結構包括策略版本號（Version）及策略授權語句（Statement）列表。
策略版本號：Version，標識策略結構的版本號。目前為1.1.
策略授權語句：Statement，包括了基本元素：作用（Effect）和權限集（Action）。
作用（Effect）包含兩種：允許（Allow）和拒絕（Deny）。
授權項（Action）是對資源的具體操作權限，支持單個或多個操作權限。
a) 腳本配置策略示例一：為IAM子用戶配置虛擬私有云查看者權限。
{
"Version": "1.1",
"Statement": [
{
"Action": [
"vpc:vpcs:list",
"vpc:vpcs:get",
"vpc:subnets:get",
"vpc:subnets:list",
"vpc:vips:list",
"vpc:firewallPolicies:list",
"vpc:firewallPolicies:get",
"vpc:cloudServerNics:list",
"vpc:cloudServerNics:get",
"vpc:route:list",
"vpc:route:get",
"vpc:securityGroups:list",
"vpc:securityGroups:get",
"vpc:securityGroupRules:list",
"vpc:securityGroupRules:get",
"vpc:routeRules:list",
"vpc:routeRules:get",
],
"Effect": "Allow"
}
]
}
b) 腳本配置策略示例二：為IAM子用戶配置虛擬私有云所有操作權限。
{
"Version": "1.1",
"Statement": [
{
"Action": [
"vpc:*:*",
"dps:physicalserver:list",
"ecs:cloudServers:get",
"ecs:cloudServers:list",
],
"Effect": "Allow"
}
]
}
授權自定義策略
授予IAM用戶訪問所創建的自定義策略范圍中的資源，具體操作，請參見“自定義策略”。
授權系統策略
您也可以直接使用天翼云預制的產品系統策略對IAM子用戶進行授權。
