IAM為您提供的主要功能包括：精細(xì)的權(quán)限管理、安全訪問、敏感操作、通過用戶組批量管理用戶權(quán)限、區(qū)域內(nèi)資源隔離、聯(lián)合身份認(rèn)證、委托其他賬號(hào)或者云服務(wù)管理資源、設(shè)置賬號(hào)安全策略。
精細(xì)的權(quán)限管理
使用IAM，您可以將賬號(hào)內(nèi)不同的資源按需分配給創(chuàng)建的IAM用戶，實(shí)現(xiàn)精細(xì)的權(quán)限管理。例如：控制用戶Charlie能管理項(xiàng)目B的VPC，而讓用戶James只能查看項(xiàng)目B中VPC的數(shù)據(jù)。
圖1權(quán)限管理模型
安全訪問
您可以使用IAM為用戶或者應(yīng)用程序生成身份憑證，不必與其他人員共享您的賬號(hào)密碼，系統(tǒng)會(huì)通過身份憑證中攜帶的權(quán)限信息允許用戶安全地訪問您賬號(hào)中的資源。
敏感操作
IAM提供敏感操作保護(hù)功能，包括登錄保護(hù)和操作保護(hù)，在您登錄控制臺(tái)或者進(jìn)行敏感操作時(shí)，系統(tǒng)將要求您進(jìn)行郵箱/手機(jī)/虛擬MFA的驗(yàn)證碼的第二次認(rèn)證，為您的賬號(hào)和資源提供更高的安全保護(hù)。
通過用戶組批量管理用戶權(quán)限
您不需要為每個(gè)用戶進(jìn)行單獨(dú)的授權(quán)，只需規(guī)劃用戶組，并將對(duì)應(yīng)權(quán)限授予用戶組，然后將用戶添加至用戶組中，用戶就繼承了用戶組的權(quán)限。如果用戶權(quán)限變更，只需在用戶組中刪除用戶或?qū)⒂脩籼砑舆M(jìn)其他用戶組，實(shí)現(xiàn)快捷的用戶授權(quán)。
區(qū)域內(nèi)資源隔離
您可以通過在區(qū)域中創(chuàng)建子項(xiàng)目的功能，使得同區(qū)域下的各項(xiàng)目之間的資源相互隔離。
聯(lián)合身份認(rèn)證
如果您已經(jīng)有自己的身份認(rèn)證系統(tǒng)，您不需要在華為云中重新創(chuàng)建用戶，可以通過身份提供商功能直接訪問華為云，實(shí)現(xiàn)單點(diǎn)登錄。
委托其他賬號(hào)或者云服務(wù)管理資源
通過委托信任功能，您可以將自己的操作權(quán)限委托給更專業(yè)、高效的其他華為云賬號(hào)或者云服務(wù)，這些賬號(hào)或者云服務(wù)可以根據(jù)權(quán)限代替您進(jìn)行日常工作。
設(shè)置賬號(hào)安全策略
通過設(shè)置登錄驗(yàn)證策略、密碼策略及訪問控制列表來提高用戶信息和系統(tǒng)數(shù)據(jù)的安全性。
最終一致性
最終一致性是指您在IAM進(jìn)行的操作，如創(chuàng)建用戶和用戶組、給用戶組授權(quán)等，會(huì)由于IAM通過在華為云數(shù)據(jù)中心的各個(gè)服務(wù)器之間復(fù)制數(shù)據(jù)、實(shí)現(xiàn)多區(qū)域的數(shù)據(jù)同步時(shí)，可能導(dǎo)致已提交的修改延時(shí)生效。建議您在進(jìn)行操作前，確認(rèn)已提交的策略修改已經(jīng)生效。
