华为云 IAM 统一身份认证：账号与用户、用户组授权和委托边界

先分清“谁拥有资源”和“谁在使用资源”

统一身份认证服务（Identity and Access Management，IAM）用来管理华为云上的身份和权限。官方《基本概念》把最容易混在一起的几件事拆开了：账号是资源归属和计费的主体，IAM 用户是账号创建出来的使用人员。做权限方案时，如果把“能登录控制台的人”都当成“拥有资源的账号”，后面的授权、账单和委托都会偏。

账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限，并统一接收所有 IAM 用户操作资源时产生的费用账单。账号不能在 IAM 中修改和删除；需要改账号信息或注销时，要到账号中心处理。IAM 用户具有独立的身份凭证（密码和访问密钥），只能使用账号授予的权限，不进行独立计费，也没有单独的 IAM 账单。

官方把账号与 IAM 用户类比为父子关系：账号对资源有所有权限，可以随时修改或撤销 IAM 用户的使用权限；用户产生的费用统一计入账号。因此，日常操作应尽量由权限受控的 IAM 用户完成，而不是把账号本身借给多人共用。

一、管理员是谁，权限通常应该挂在用户组上

IAM 的使用对象是管理员。官方说明，管理员通常指：账号本身、默认用户组 admin 中的用户，以及被授予“Security Administrator”权限的用户。admin 用户组具有所有云服务资源的操作权限，加入后可以操作并使用所有云资源，包括创建用户组及用户、修改用户组权限、管理资源等。这是兜底能力，不适合作为所有人员的默认归属。

用户组是 IAM 用户的集合，授权主要通过用户组完成。用户加入某个用户组后，就具备该组的权限；加入多个用户组时，权限是这些组的全集。把权限授给组而不是直接授给单个用户，调整人员时只需把用户加进或移出用户组，不必反复改策略本身。

权限按精细程度分为角色和策略。角色是较早的粗粒度授权，以服务为粒度，部分云服务已不支持基于角色的授权，也难以完全满足权限最小化。策略可以精确到具体操作、资源、条件，是更灵活的授权方式。云服务在 IAM 预置的常用授权项称为系统策略，只能使用、不能修改；系统策略不够时，管理员可以根据服务支持的授权项创建自定义策略，作为扩展和补充。如果在控制台给用户组或委托授权时找不到某服务的系统策略，通常是该服务暂不支持 IAM，需要按官方说明走申请或工单，而不是自行假定“没有策略就等于已经放开”。

二、身份凭证：密码能登录，访问密钥不能登录控制台

身份凭证是识别用户身份的依据，包括密码和访问密钥。密码可以用来登录控制台，也可以调用 API。访问密钥即 AK/SK（Access Key ID/Secret Access Key），是调用 API 的身份凭证，不能登录控制台；请求通过签名验证身份，以保证机密性、完整性和双方身份正确。

虚拟 MFA 是能产生 6 位数字认证码的应用程序，遵循基于时间的一次性密码（TOTP）标准。官方写明：华为云目前仅支持基于软件的虚拟 MFA，可在智能手机等移动设备上运行。是否启用、如何绑定，以控制台和对应文档为准；本文不展开操作步骤。

程序访问场景里，还可能用到临时安全凭证。官方《临时安全凭证概述》说明：临时安全凭证的工作方式与永久访问密钥基本一致，但有效期是短期的，可配置为几分钟到几小时，到期后华为云不再接受用它签名的 API 请求；临时凭证不会存储，而是动态生成。到期前，只要用户仍有相应权限，就可以再申请新的临时凭证。官方更建议在适用场景使用 STS API 获取委托或信任委托的临时安全凭证。这些能力不能替代“不要把长期 AK/SK 写进代码、镜像或论坛截图”这一基本边界。

三、项目、企业项目，以及委托不要共享长期凭证

区域默认对应一个由系统预置的项目，用来隔离不同物理区域的计算、存储和网络资源，并以默认项目为单位授权；预置项目不支持删除。如果需要更细的控制，可以在默认项目中创建子项目，在子项目中购买资源，再按子项目授权，让用户只能访问特定子项目中的资源。

企业项目是项目的升级版，做的是逻辑隔离，可以包含多个区域的资源，并且资源可以迁入迁出。具体特性和企业项目 ID 的获取，以企业管理服务的官方用户指南为准。

委托按对象分为委托其他账号和委托其他云服务。委托其他账号时，可以把本账号中的资源操作权限委托给更专业的其他账号，由对方按权限代为运维。委托其他云服务，是因为部分云服务需要协同调用其他服务，需要创建云服务委托，让该服务以您的身份使用其他云服务。无论哪一种，目的都是按权限替您办事，而不是把账号密码或长期访问密钥交给对方。

四、上线前核对清单

1. 确认日常操作使用 IAM 用户，而不是多人共用账号本身；账单和资源归属仍在账号上。
2. 不要把所有人员加入 admin 用户组；按工作需要把用户放入相应的用户组，用组来授权。
3. 能用系统策略就先用系统策略；需要更细的控制时再写自定义策略，并尽量精确到操作、资源和条件。
4. 分清密码和访问密钥的用途：密钥不能登录控制台。程序访问优先考虑短期凭证或委托，避免把长期 AK/SK 写进代码或镜像。
5. 跨账号或云服务协同时，用委托或信任委托授权，而不是共享账号密码；委托范围和会话时长以控制台和当前文档为准。
6. 需要按区域或更细范围隔离资源时，先分清默认项目、子项目和企业项目各自解决什么问题，再决定授权单位。
7. 具体菜单名称、系统策略清单和支持的服务，以目标区域当前控制台和官方文档为准。

官方参考

• 基本概念
• 临时安全凭证概述

说明：账号与用户的关系、用户组授权、策略与角色的差别、委托用途及临时凭证的有效期，均以官方产品介绍和用户指南为准；若控制台与文档存在版本或区域差异，以目标区域控制台为准。