华为云 IAM 权限体系设计：零信任安全实践

前言

身份与访问管理（IAM）是华为云的安全基石，管理用户身份和资源访问权限。本文介绍 IAM 权限体系设计方法和零信任安全实践。

IAM 核心概念

用户

IAM 用户是组织内的成员，每个用户有唯一的用户名和访问密钥。用户可以登录控制台或通过 API 访问华为云资源。

用户组

用户组是用户的集合，通过组批量授权比逐个用户授权更高效。一个用户可以属于多个组，继承所有组的权限。

角色

角色是可被委托的权限集合，支持跨账号授权和临时授权。联邦身份认证用户通过扮演角色获得访问权限。

策略

策略是权限的载体，以 JSON 格式描述允许或拒绝的操作。策略通过 Effect、Action、Resource、Condition 四个元素定义权限规则。

权限设计原则

最小权限

只授予完成工作所需的最低权限。避免使用通配符授予所有资源所有操作，按实际需求精确到具体资源和具体操作。

职责分离

关键操作需要多人审批，避免单人有完整权限。例如创建资源和审批付费分开，部署和审批分开。

组优先于个人

通过用户组授权而非直接给用户授权。人员变动时只需调整组成员关系，无需逐个修改权限。

常用系统策略

华为云预置了丰富的系统策略：

ReadOnlyAccess：所有服务只读权限，适合审计人员。
OBS Administrator：OBS 全部管理权限。
ECS Administrator：ECS 全部管理权限。
VPC Administrator：VPC 全部管理权限。

系统策略方便快速授权，但粒度较粗。精细控制需要创建自定义策略。

自定义策略

策略语法

策略由若干条 Statement 组成，每条 Statement 包含：

Effect：Allow 或 Deny。
Action：允许或拒绝的操作，如 obs:bucket:GetObject。
Resource：操作的目标资源，用 URN 标识。
Condition：可选的条件，如 IP 范围、时间窗口。

Deny 优先

当 Allow 和 Deny 同时匹配时，Deny 优先。可以利用这个机制实现例外排除：先 Allow 大范围，再 Deny 特定排除。

条件控制

通过 Condition 实现条件授权：

SourceIp：限制只有特定 IP 才能操作。
AccessKey：限制特定 AK 才能操作。
RequestedStartTime：限制只在特定时间段能操作。

安全增强

MFA 多因素认证

为 IAM 用户启用 MFA，登录时除密码外还需输入动态验证码。建议至少为管理员和高权限用户启用 MFA。

密码策略

配置密码复杂度要求：最小长度、必须包含大小写数字特殊字符、密码有效期、历史密码不重复。

登录会话管理

配置控制台登录会话超时时间，超时自动退出。限制登录失败次数，超过锁定账号。

AK/SK 轮换

定期轮换访问密钥，旧密钥禁用后删除。避免长期使用同一密钥，降低泄露风险。

委托与联邦认证

跨账号委托

通过 IAM 角色实现跨账号授权。账号 A 创建角色并信任账号 B，账号 B 的用户可以扮演该角色访问账号 A 的资源。

联邦身份认证

与企业身份系统（如 AD、LDAP）集成，企业用户使用企业账号登录华为云。配置身份提供商和映射规则，将企业用户映射到 IAM 用户组。

常见问题

问：如何审计用户操作？
答：通过云审计服务（CTS）记录所有 API 调用，可以查看操作人、操作时间、操作内容和结果。

问：用户离职如何处理？
答：禁用用户登录和删除 AK/SK，保留用户记录用于审计。确认无资源归属后删除用户。

总结

IAM 权限体系设计是云安全的基础。遵循最小权限和职责分离原则，通过用户组批量授权，配合 MFA 和密码策略增强安全。定期审计和密钥轮换保持安全状态。