配置多用户访问控制
概述
多用户访问控制，主要用于帮助用户管理云账户下资源的访问权限，适用于企业内的不同角色，可以对不同的工作人员赋予使用产品的不同权限，当您的企业存在多用户协同操作资源时，推荐您使用多用户访问控制。
使用场景
- 中大型企业客户：对公司内多个员工授权管理；
- 偏技术型 vendor 或 SaaS 的平台商：对代理客户进行资源和权限管理；
- 中小开发者或小企业：添加项目成员或协作者，进行资源管理。
创建子用户
- 主账号用户登录后在控制台选择“多用户访问控制”进入用户管理页面。
- 在左侧导航栏点击“用户管理”，在“用户管理 > 子用户”列表页，点击“创建子用户”。
- 在弹出的“创建子用户”对话框中，完成填写“用户名”和确认，返回“子用户管理列表”区可以查看到刚刚创建的子用户。(如果子账号需要上传文件，建议授权“编程访问”，否则上传文件会报错“鉴权失败”)
配置策略
策略类型
ECS 支持系统策略和用户自定义策略两种。
- 系统策略：百度智能云系统为管理资源而预定义的权限集，这类策略可直接为子用户授权，用户只能使用而不能修改。
- 自定义策略：由用户自己创建，更细化的管理资源的权限集，可以针对单个实例配置权限，更加灵活的满足账户对不同用户的差异化权限管理。
系统策略
系统策略包含 ESReadAccessPolicy、ESOperateAccessPolicy、ESFullControlAccessPolicy，权限范围详细如下：
| 策略名称 | 权限说明 | 权限范围 |
|---|---|---|
| ESReadAccessPolicy | ECS只读权限 | 应用、算法、套件以及其部署查看 服务器查看 监控、告警查看 扩展件查看 容器查看 订单查看 远程服务、webshell分享查看 |
| ESOperateAccessPolicy | ECS运维权限 | 应用、算法、套件以及其部署更新维护 服务器更新维护 告警规则更新维护 扩展件更新维护 远程服务更新维护 |
| ESFullControlAccessPolicy | ECS管理权限 | 应用、算法以及部署创建删除 服务器创建删除 扩展件创建删除 订单创建、退款以及删除等 远程服务、webshell分享创建以及删除 |
自定义策略
主用户可以通过点击“策略管理>创建策略”添加自定义策略来进行实例级权限控制，自定义策略的添加有"按策略生成器创建"、"按标签创建"和"按策略语法创建"三种方式，用户可以根据具体的权限设置修改策略内容。具体配置方法可以参见创建自定义策略。
策略创建流程
- 点击创建策略
页面左侧选择"策略管理"，在新的页面中点击"创建策略"。
- 选择创建策略的方式
您可以选择"按策略生成器创建"或者"按标签创建"。若您需要对某个标签下的实例创建策略，请选择按标签创建。若您不需要为标签创建策略，则选择按策略生成方式创建。
- 填写策略基本信息
在创建策略的页面中，填写需要创建的策略的名称，并在说明中填写该策略的备注信息，如该策略应用的实例，希望赋予的子用户或者策略的使用场景，以免将该策略和其他策略混淆。
- 填写策略权限配置
填写完策略的基本信息后，您需要填写该策略中包含的使用权限。
- 首先，您需要填写该策略生效的产品服务。若您希望将该策略生效于 ECS 服务，则在服务中选择"边缘服务器ECS"；
- 选择策略的配置方式。其中，策略生成器方式允许您将系统中已生成的权限配置到该策略中；而策略文件需要您编辑 ACL 权限策略，详细的语法可参考文档策略语法；
- 若您选择策略生成器方式，您需要进一步该权限对应的效力为允许还是拒绝。若您选择允许，则该策略中选择的权限将允许被授权的用户操作；若您选择拒绝，则该策略中选择的权限将禁止被授权用户操作；
- 选择权限，您需要选择该策略中包含的权限为只读权限还是管理权限。关于两种权限的区别和说明，请查看本页面上方"系统策略"中的说明；
- 您还可以选择该策略针对的资源。在 ECS 服务中，您可以指定该策略能够生效的具体 Bucket。若您不选择，那么将对全部 Bucket 生效；
- 最后，您需要选择该策略在生效时间上的限制条件。您可以指定该策略在某一时刻后或者某一时刻前生效。
用户授权
当您创建完子用户并生成策略后，即可以为该子用户授予该策略。授予后，子用户在访问主用户资源时，将受到授予策略中已配置权限的限制。
在“用户管理->子用户”列表页中希望授权的子用户后“操作”栏中选择“添加权限”，为用户授予已生成的策略。
在授权页面中，选择希望授予该子用户的权限对子用户进行访问权限授权。左侧的策略列表中包括全部系统策略和您已经创建的自定义策略。您可以在搜索框中搜索相关的策略名称后，勾选该策略后点击确认完成授权。
子用户登录
添加完子用户权限后，子用户可以使用以下两种方式使用 ECS 服务。
- 点击子用户名可以查看 IAM 用户详细信息，包括 AKSK 及子用户的权限等。子用户可以使用 AKSK 通过 ECS 的周边工具、SDK、API 来使用 ECS 服务。
- 将控制台上方的子用户登录链接发送给子用户，子用户可以通过该链接登录控制台。登录后，该子用户将根据被授权的策略对主账户资源进行操作和查看。
相关文档
其他操作请参考多用户访问控制。