《大话华为云OBS+IAM权限控制》连载 (十二)：白话理解被委托方是“云服务”的IAM委托
【摘要】 之所以存在被委托方是云服务这样“人委托物”的场景，本质上是华为云的多个云服务之间需要交互的缘故。
云企业A的IAM管理员，创建一个给IAM账号B的委托，这样形如“人委托人”的场景是容易理解的，但是应该如何理解“账户A创建一个给云服务C的委托”这样“人委托物”的场景呢——这种场景本质上是华为云的多个云服务资源之间需要互相使用的缘故（参见连载（一）中“云账户A购买云服务S”的描述）
通俗而言，企业老板A（IAM账号A）从S服务和T服务那里购买了云服务资源S-1和T-1，我们通过对用户组配置IAM权限，就可以让企业员工U1（IAM用户U1）有权使用S-1或T-1资源。
不过用户U1在使用S-1资源时，实际是由S云服务本身执行具体的操作，而S服务本身需要直接使用T-1资源——参见连载（一）中描述的“客户申请使用某个S云服务资源的流程”，其中的“客户”此时不再是IAM用户U1而是云服务S了。S服务要使用T-1资源，必须得到有T-1资源使用权的老板A（IAM账号A）的授权许可才行的。
于是此时，就需要以另外的方式给云服务S这个“物”进行授权，于是老板A创建一个被委托方是云服务S的委托Agency-1，并对Agency-1进行权限配置，授权其访问T-1资源，就可以解决这个问题。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
作者其他文章
- 《大话华为云OBS+IAM权限控制》连载 (二十四)：对同一个用户组，建议不要同时进行IAM全局级授权和EPS项目级授权
- 《大话华为云OBS+IAM权限控制》连载 (二十五)：已知用户名/密码，生成临时AK/SK构造OBS客户端的Python参考实现
- 《大话华为云OBS+IAM权限控制》连载 (二十三)：通过EPS项目的用户和资源管理，可实现让指定用户只可见部分指定资源的效果
- 《大话华为云OBS+IAM权限控制》连载 (二十)：企业项目服务（EPS）是对企业人力和物力资源进行逻辑管理的有效手段
- 《大话华为云OBS+IAM权限控制》连载 (二十二)：一个云服务资源只能属于一个EPS项目，但一个IAM用户组可同时属于多个项目
评论（0）