《大话华为云OBS+IAM权限控制》连载 (十)：IAM委托是另一类可进行资源授权的对象，可以实现企业间资源访问的控制
【摘要】 IAM委托是另一类可进行资源授权的对象，实现的是企业之间，或企业与华为云服务之间的资源访问控制
IAM委托（Agency）的定义和意义
所谓“IAM委托”，顾名思义即是“被委托方（B方）”作为“委托方（A方）”授权的代表，来使用目标云服务资源。这句话中包含的三个基本要素和答案如下：
1) 谁能够作为委托方（A方）—— 委托方企业的IAM管理员
2) 谁能作为被委托方（B方）—— 一个“账号（Tenant）”或一个“云服务”。被委托方B为云服务可能不易理解，详见连载之《白话理解被委托方是云服务的IAM委托》解释
3) 被委托方能够访问哪些服务和资源 —— 理论上，A方所属企业账号（Tenant）的任何云服务和资源，都可以由A方通过给IAM委托配置权限，授权给B方访问。当然实际操作中，委托方A往往会在配置的IAM权限中对B方能够访问的目标资源进行限制。
对IAM委托进行授权，实现的是企业之间，或企业与华为云服务之间的资源访问控制。参见《理解IAM“对用户组授权”和“对委托授权”的区别和共同点》连载
被委托方如何来访问委托方的资源
被委托方B需要通过“切换角色”动作实现对委托方A共享的资源进行访问，切换角色可以通过Web Console页面实现（如下图所示），也可以通过IAM API接口实现。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
作者其他文章
- 《大话华为云OBS+IAM权限控制》连载 (二十四)：对同一个用户组，建议不要同时进行IAM全局级授权和EPS项目级授权
- 《大话华为云OBS+IAM权限控制》连载 (二十五)：已知用户名/密码，生成临时AK/SK构造OBS客户端的Python参考实现
- 《大话华为云OBS+IAM权限控制》连载 (二十三)：通过EPS项目的用户和资源管理，可实现让指定用户只可见部分指定资源的效果
- 《大话华为云OBS+IAM权限控制》连载 (二十)：企业项目服务（EPS）是对企业人力和物力资源进行逻辑管理的有效手段
- 《大话华为云OBS+IAM权限控制》连载 (二十二)：一个云服务资源只能属于一个EPS项目，但一个IAM用户组可同时属于多个项目
评论（0）