最近更新时间：2022-04-15
本文解释了IAM的基本概念，帮助您正确理解和使用IAM。
开始使用紫光云服务前，首先需要注册一个紫光云账号。紫光云账号是紫光云资源归属、资源使用计量计费的基本主体。紫光云账号为其名下所拥有的资源付费，并对其名下的所有资源拥有完全控制权限。
缺省情况下，资源只能被紫光云账号所访问，任何其他用户访问都需要获得紫光云账号的显示授权。紫光云账号就是操作系统的root或Administrator，所以我们有时称它为根账号或主账号。
紫光云支持IAM用户、用户组两种身份。
IAM用户是指由开通紫光云业务的账号在IAM中创建的用户，是云服务的使用人员，具有独立的身份凭证（密码和访问密钥），根据紫光云账号授予的权限来使用资源。
IAM用户隶属于紫光云账号，属于紫光云账号的下一个层级，其只能拥有紫光云账号授予的资源使用权限。紫光云账号可以随时修改或者撤销IAM用户的使用权限。
IAM用户进行资源操作时产生的费用统一计入上一层级的紫光云业务中。系统不对IAM用户出账，IAM用户不需要为资源付费，由所属的紫光云账号统一进行计费。
IAM用户是IAM的一种实体身份类型，有确定的身份ID和身份凭证，它通常与某个确定的人或应用程序一一对应。
一个紫光云账号下可以创建多个IAM用户，对应企业的员工、系统或应用程序。
IAM用户不拥有资源，不能独立计量计费，由所属紫光云账号统一控制和付费。
IAM用户归属于紫光云账号，只能在所属紫光云账号的空间下可见，而不是独立的紫光云账号。
IAM用户必须在获得紫光云账号的授权后才能登录控制台或使用API操作紫光云账号下的资源。
紫光云账号与IAM用户的关系如下图所示。
用户组是IAM的一种实体身份类型，用户组可以对职责相同的IAM用户进行分类并授权，从而更好的管理用户及其权限。
在IAM用户职责发生变化时，只需将其移动到相应职责的用户组下，不会对其他IAM用户产生影响。
当用户组的权限发生变化时，只需修改用户组的权限策略，即可应用到所有IAM用户。
紫光云账号与IAM用户、IAM用户组的关系如下图所示。
登录密码是登录紫光云的身份凭证，用于证明用户真实身份的凭证。 请妥善保管您的登录密码并定时更换。
访问密钥指的是访问身份验证中用到的AccessKey ID和AccessKey Secret。您可以使用访问密钥创建一个API请求，IAM通过AccessKey ID和AccessKey Secret对称加密的方法来验证某个请求的发送者身份，身份验证成功后将可以操作相关资源。
AccessKey ID和AccessKey Secret一起使用，AccessKey ID用于标识用户，AccessKey Secret用于加密签名字符和IAM用来验证签名字符串的密钥。
权限是指是否允许用户对某种资源执行某种操作，权限分为：允许（Allow）或拒绝（Deny）。操作分为两大类：
资源管控操作：指云资源的生命周期管理及运维管理操作，所面向的用户一般是资源购买者或组织内的运维员工。例如：ECS的创建、停止或重启或OSS存储空间的创建、修改或删除等。
资源使用操作：指使用资源的核心功能，所面向的用户一般是组织内的研发员工或应用系统。例如：ECS实例操作系统中的用户操作或OSS资源空间的数据上传或下载。
权限策略是用语法结构描述的一组权限的集合，可以精确地描述被授权的资源集以及授权条件。
在IAM中，权限策略是一种资源实体，IAM目前仅支持系统策略。系统策略由紫光云统一创建，用户只能使用不能修改，策略的版本更新由紫光云维护。
获得策略中定义的权限主体，被授权主体可以为IAM用户、用户组。
可以将相关的资源（如具有相同使用用途的资源）划分到同一个项目中，然后以项目为单位进行授权，使得用户仅能访问特定项目中的资源，精确控制资源的访问权限。
权限策略基本元素之一，表示授权效力。取值为：允许（Allow）或拒绝（Deny）。
权限策略基本元素之一，表示对具体资源的操作。取值为：云服务所定义的API操作名称。
权限策略基本元素之一，表示授权生效的限制条件。
资源是云服务呈现给用户与之交互的对象实体的一种抽象，例如：OSS存储空间或ECS实例等。
授予其他紫光云账号资源访问权限，让该账号管理被授权账号中的资源。
被代维账号创建授权的过程。
代维方确认接受代维的过程。
