概述

如果您需要針對不同資源，對用戶設置不同的訪問權限，以達到用戶之間的權限隔離，您可以使用統一身份認證服務（Identity and Access Management，簡稱IAM）進行精細的權限管理。該服務提供用戶身份認證、權限分配、訪問控制等功能，可以幫助您安全地控制云資源的訪問。

通過IAM，您可以為其他賬號創建IAM用戶，并使用策略來控制他們對云資源的訪問范圍。IAM是云服務提供權限管理的基礎服務，無需付費即可使用，您只需要為您賬號中的資源進行付費，關于IAM的詳細介紹，參見：統一身份認證

如果云賬號已經能滿足您的要求，不需要創建獨立的IAM用戶進行權限管理，您可以跳過本章節，不影響您使用微服務云應用平臺的其他功能。

概念

1. 主賬號 ：用戶在天翼云注冊后自動創建，該賬號對其所擁有的資源具有完全的訪問權限，可以重置用戶密碼、分配用戶權限等。如果需要多人共同使用天翼云資源，由于賬號是付費主體為了確保賬號安全，建議創建子用戶來進行日常管理工作。

2. 子賬號 ：主賬號認證為企業賬號后，在天翼云用戶中心頁面創建出來的賬號。子賬號的用戶名、密碼統一由主賬號創建管理。子賬號同樣可以登錄訪問天翼云控制臺，登錄入口與主賬號相同，受主賬號賦予的權限限制。

3. 企業項目： 將云資源、企業成員按項目進行管理，通過企業項目將云資源、帶有權限的用戶組綁定到一起，用戶使用項目內云資源的權限受用戶組的授權限制。  

4. 策略： 是描述一組權限集的語言，它可以精確地描述被授權的資源集和操作集，通過策略，用戶可以自由搭配需要授予的權限集。通過給用戶組授予策略，用戶組中的用戶就能獲得策略中定義的權限。策略中可定義“允許”的操作和“拒絕”的操作，“拒絕”的優先級大于“允許”。

5. 系統策略： 系統預置的常用權限集，主要針對不同云服務的只讀權限或管理員權限，比如對組件的只讀權限、普通用戶權限和管理員權限等等；系統策略只能用于授權，不能編輯和修改。

6. 數據權限： 看到的數據不一樣。主賬號看到所有實例，子賬號只能看到所屬項目中的實例。

7. 功能權限： 主賬號可以進行所有控制臺操作，子賬號對單個組件實例擁有的操作權限由主賬號授權。

8. 功能權限授權： 給子賬號在企業項目A下增加一個策略，即代表該子賬號對企業項目A下的實例擁有了策略中定義的權限，策略以外的操作會被禁止。默認情況下，新建的IAM用戶沒有任何權限，您需要將其加入用戶組，并給用戶組授予策略，才能使得用戶組中的用戶獲得策略定義的權限，這一過程稱為授權。具體授權請參考：用戶組授權-統一身份認證

微服務云應用平臺系統權限策略

默認情況下，新建的IAM用戶沒有任何權限，您需要將其加入用戶組，并給用戶組授予策略，才能使得用戶組中的用戶獲得策略定義的權限，這一過程稱為授權。授權后，用戶就可以基于策略內的權限對微服務云應用平臺進行操作。為方便使用，微服務云應用平臺已內置以下五種系統策略：

每個策略所包含的微服務云應用平臺權限列表如下表格所示，其中，“√”表示支持，“x”表示不支持。

微服務云應用平臺全量功能權限