功能介紹
統一身份認證（Identity and Access Management，簡稱IAM）服務，是提供用戶進行權限管理的基礎服務，可以幫助您安全的控制云服務和資源的訪問及操作權限。
IAM為您提供的主要功能包括：精細的權限管理、安全訪問、通過用戶組批量管理用戶權限、委托其他賬號管理資源等。
使用前您需了解常用的基本概念，包括：帳號、IAM用戶、用戶組、身份憑證、授權、權限、項目、委托、身份憑證等，詳細請查看：術語解釋。
IAM應用場景
IAM策略主要面向對同租戶帳號下，對不同IAM用戶授權的場景：
您可以為不同操作人員或應用程序創建不同IAM用戶，并授予IAM用戶剛好能完成工作所需的權限，比如文件系統的查看權限，進行最小粒度授權管理。
新創建的IAM用戶可以使用自己的用戶名和密碼登錄云服務平臺，實現多用戶協同操作時無需分享帳號的密碼的安全要求。
使用流程
請查看：入門說明。
權限策略
統一身份認證IAM通過權限策略描述授權的具體內容，權限策略包括固定的基本元素"Action""Effect"等信息。通過給子用戶賦予預置的系統權限策略或者自定義的權限策略進行子用戶權限管理。
系統策略：預置的系統策略，您只能使用不能修改，具體說明請查看系統策略。海量文件服務預置的系統策略包含如下：
策略名稱 策略描述 作用范圍 海量文件服務OceanFS-管理者權限（admin） 管理者權限，包含海量文件服務所有控制權限（不包含訂單類權限）。 資源池 海量文件服務OceanFS-觀察者權限（viewer） 觀察者權限，包含海量文件服務的列表頁、詳情頁等查看權限，無操作管理權限。 資源池 自定義策略：您按需自行創建和維護的權限策略，關于自定義策略的操作和示例，請參見創建自定義策略。
海量文件服務OceanFS權限表
如下是本服務相關操作的權限定義，供您查看以及創建自定義策略參考。
注意
- 子用戶使用本服務的OpenAPI也需要賦予相關操作的權限，見下方對應的OpenAPI URL或查看具體的接口文檔中的接口約束說明。
如您的子賬戶需要進行性訂單相關操作（創建/擴容/續訂/退訂），則需要再授權“訂單與云網賬號”相關權限，如bss admin策略”詳細可參考子用戶如何創建和下單一類節點資源。
控制臺操作 | OpenAPI | 權限 | 系統策略 | 說明 | ||
| 一級功能 | 二級功能 | admin | viewer | |||
| 基礎管理 | 創建文件系統 | /v4/oceanfs/new-sfs | oceanfs:shares:create | ? | 若要使用自定義策略，完整創建功能還需要添加vpc:*:list和vpce:*:list權限。 | |
| 文件系統重命名 | /v4/oceanfs/rename-sfs | oceanfs:shares:rename | ? | |||
| 刪除/退訂文件系統 | /v4/oceanfs/refund-sfs | oceanfs:shares:delete | ? | |||
| 擴容文件系統 | /v4/oceanfs/resize-sfs | oceanfs:shares:resize | ? | |||
| 續訂文件系統 | /v4/oceanfs/renew-sfs | oceanfs:shares:renew | ? | |||
| 查看文件系統列表及列表導出 | /v4/oceanfs/list-sfs | oceanfs:shares:list | ? | ? | ||
| 查看文件系統詳情 | /v4/oceanfs/info-by-name-sfs | oceanfs:shares:get | ? | ? | ||
| VPC管理 | 添加VPC | /v4/oceanfs/vpc-bind-permission | oceanfs:vpcs:bind | ? | ||
| 解綁VPC | /v4/oceanfs/vpc-unbind-permission | oceanfs:vpcs:detach | ? | 若要使用自定義策略，完整解綁功能還需要添加vpc:*:list、vpce:*:delete權限。 | ||
| 更換權限組 | /v4/oceanfs/vpc-change-permission | oceanfs:permission:change | ? | 若要使用自定義策略，完整更換權限組功能還需要添加vpc:*:list、sfs:permission:list權限。 | ||
| 跨域復制 | 創建復制 | /v4/oceanfs/create-duplicate | oceanfs:duplicate:create | ? | ||
| 刪除復制 | /v4/oceanfs/delete-duplicate | oceanfs:duplicate:delete | ? | |||
| 設置復制覆蓋保護 | /v4/oceanfs/set-protect-switch | oceanfs:protect:set | ? | |||
| 查看復制詳情 | /v4/oceanfs/list-duplicate | oceanfs:duplicate:get | ? | ? | ||
| 快照 | 創建快照 | /v4/oceanfs/snapshot/new-snapshot | oceanfs:snapshot:create | ? | ||
| 刪除快照 | /v4/oceanfs/snapshot/delete-snapshot | oceanfs:snapshot:delete | ? | |||
| 查看快照列表及詳情 | /v4/oceanfs/snapshot/list-snapshot | oceanfs:snapshot:get | ? | ? | ||
| AD域 | 開啟AD域 | /v4/oceanfs/join-ad | oceanfs:ad:join | ? | ||
| 修改AD域配置 | /v4/oceanfs/modify-ad | oceanfs:ad:update | ? | |||
| 關閉AD域 | /v4/oceanfs/delete-ad | oceanfs:ad:quit | ? | |||
| 查看AD域 | /v4/oceanfs/list-ad | oceanfs:ad:get | ? | ? | ||
說明
海量文件服務、彈性文件服務的權限組功能是共用的功能，權限組是一項更早的功能，受彈性文件服務相關的三元組控制，因此使用海量文件服務的用戶在使用IAM功能的自定義策略功能時，需要為子賬號賦予彈性文件服務的權限組相關的權限，具體參考下表。
| 一級功能 | 二級功能 | OpenAPI | 三元組 | admin | viewer |
|---|---|---|---|---|---|
| 權限組 | 創建 | /v4/oceanfs/permission-group/new-permission-group | sfs:permission:create | √ | |
| 修改 | /v4/oceanfs/permission-group/modify-permission-group | sfs:permission:update | √ | ||
| 刪除 | /v4/oceanfs/permission-group/delete-permission-group | sfs:permission:delete | √ | ||
| 列出 | /v4/oceanfs/permission-group/list-permission-group | sfs:permission:list | √ | √ | |
權限組規則 | 創建規則 | /v4/oceanfs/permission-rule/new-permission-rule | sfs:rule:create | √ | |
| 修改規則 | /v4/oceanfs/permission-rule/modify-permission-rule | sfs:rule:update | √ | ||
| 刪除規則 | /v4/oceanfs/permission-rule/delete-permission-rule | sfs:rule:delete | √ | ||
| 列出規則 | /v4/oceanfs/permission-rule/list-permission-rule | sfs:rule:list | √ | √ |
