CCE 基于 IAM 策略授权，指的是百度智能云账号的管理员（或拥有系统管理员权限的子用户）通过多用户访问控制（IAM），将预定义的 CCE 系统策略授予子用户/用户组，让其拥有集群级别（集群、节点、节点组等资源）的只读/管理权限，CCE 系统策略授权将作用于所有地域下的全部集群。

本文将介绍 CCE 基于 IAM 策略授权的流程及使用方法。

说明

本节对于 CCE IAM 策略的授权，只包括 CCE 集群级别资源以及关联云产品/服务的权限，不包括集群命名空间级别 Kubernetes 资源的权限。对命名空间 Kubernetes 资源的操作授权，请参见配置预置RBAC权限策略 。

CCE预置策略

您可以使用以下预设策略为子用户授予相关权限：

温馨提示

• CCE 的关联云产品/服务较多，为了让您的授权过程更加简单高效，CCE IAM 系统策略配置包含了常用关联云产品/服务的操作权限。
• 您只需为子用户授权一次 CCE IAM 系统策略，即可让其拥有 CCE 集群、节点资源和关联云产品/服务的只读/管理权限，而无需理解多种云产品策略并进行多次授权。
• 若系统策略不能满足您的授权需求，可以创建自定义策略允许或拒绝相关云产品/服务的操作。

操作步骤

直接给子用户授权

您可以直接为子用户关联策略以获取策略包含的权限。

1. 进入多用户访问控制控制台,选择左侧导航栏中的用户管理>子用户进入“子用户管理”列表页面。
2. 选择目标子用户单击用户名进入用户详情页面。
3. 单击“授权”操作，在“编辑权限”弹出框中勾选所需策略。
4. 单击“确定”即可。

通过用户组给子用户授权

您可以将子用户添加至用户组，该子用户将自动获取该用户组所关联策略的权限。如需解除随组关联策略，仅需将子用户移出相应用户组即可。

1. 进入多用户访问控制控制台,选择左侧导航栏中的组管理进入“组管理”列表页面。
2. 选择目标用户组单击编辑进入编辑组页面。
3. 在“编辑组”页面勾选所需策略以及添加对应子用户。
4. 单击“确认”即可。