概述什么身份与访问控制? 身份与访问控制金山云推出的, 满足精细化的权限控制需求的服务当您的公司在使用云物理主机弹性 IP 虚拟私有网络, 负载均衡时, 不同云资源可能由不同人员管理, 您可能需要 : (1) 同子公司之间资源隔离财务独立核算, 同时集团公司可以集中管理查询全部子公司的资源

Size: px

Start display at page:

Download "概述什么身份与访问控制? 身份与访问控制金山云推出的, 满足精细化的权限控制需求的服务当您的公司在使用云物理主机弹性 IP 虚拟私有网络, 负载均衡时, 不同云资源可能由不同人员管理, 您可能需要 : (1) 同子公司之间资源隔离财务独立核算, 同时集团公司可以集中管理查询全部子公司的资源"

贝毋
5 years ago
Views:

1 目录目录目录概述什么身份与访问控制? 基本用语账号组账号 IAM 用户角色云资源策略全局系统策略鉴权失败云物理主机概述全局系统策略 Action 列表 EPC 带外管理使用文档第一步 : 登录带外管理第二步 : 下载证书第三步 : 下载并安装客户端第四步 : 将下载的证书放置在相应文件夹内第五步 : 打开连接 OpenVPN 第六步 : 新增带外管理手机金山云 1/19

2 概述什么身份与访问控制? 身份与访问控制金山云推出的, 满足精细化的权限控制需求的服务当您的公司在使用云物理主机弹性 IP 虚拟私有网络, 负载均衡时, 不同云资源可能由不同人员管理, 您可能需要 : (1) 同子公司之间资源隔离财务独立核算, 同时集团公司可以集中管理查询全部子公司的资源和财务情况 ; () 每位员工有不同的访问权限, 以分开管理云资源, 比如不同部门管理各自的物理云主机 (3) 与其他企业进行云资源的共享, 并随时控制其他企业对云资源的操作权限这时, 您就可以使用 IAM 实现精细化的权限控制需求基本用语账号组账号组也可称为集团账号, 金山云为大客户提供的三级账号体系的组成部分利用账号组, 可以管理隶属于同一个集团 / 公司 / 组织下面的多个成员账号, 每个成员账号所拥有的云资源完全隔离的, 可以被独立授权管理, 账号组拥有统一管理各成员账号资源的功能账号账号 ( 或称主账号成员账号 ) 客户在金山云资源归属资源计量资源计费的主体, 拥有名下全部资源的完全控制权限, 能够对资源进行购买续费退订升级等操作 IAM 用户 IAM 用户账号下的授权实体, 不拥有任何云计算资源不能独立计量和计费, 只能被主账号授权管理其名下的各种资源, 其所管理的资源归属于主账号 ( 由主账号付费 ) 角色 IAM 角色一种虚拟用户 ( 或影子账号 ), 它 IAM 用户类型的一种与普通 IAM 用户的差别主要在使用方法上,IAM 角色需要被一个授信的实体用户扮演, 扮演成功后实体用户将获得 IAM 角色的临时安全令牌, 使用这个临时安全令牌就能以角色身份访问被授权的资源主要用于解决身份联盟 (Identity Federation) 相关需求, 比如联合您的企业本地账号实现 SSO (Single-Sign- On) 委托其他云账号及其下 IAM 用户操作您所控制的资源委托云服务操作您所控制的资源云资源资源金山云的客户操作或者使用云服务的对象实体, 比如云服务器实例 EIP 实例等 ; 为方便在 IAM 的策略文档中描述一个资源, 我们使用 KRN(Kingsoft Resource Name) 唯一标识一个金山云资源策略指一个金山云账号下的授权策略, 代表了一组权限 ( 目标操作 & 目标资源 ); 金山云支持全局系统策略和自定义策略全局系统策略全局系统策略, 能帮助您快速授权, 而不需要编写策略, 缺点授权的精度会粗些, 以下 EPC 和网络相关全局系统策略 : 金山云 /19

3 策略中文名称策略名称策略 KRN 策略描述策略版本否默认策略 EPC 管理员 ( 控制台 &openapi) EPCFullAcce ss EPCFullAccess 提供云物理主机功能全部管理权限 ( 控制台 &openapi) EPC 查询管理员 ( 控制台 &openapi ) EPCReadOnly Access EPCReadOnlyAccess 提供云物理主机查询管理权限 ( 控制台 &openapi) VPC 管理员 (API) VPCFullAcce ss VPCFullAccess 提供虚拟专有网络全部 open API 接口管理权限 VPC 查询管理员 (A PI) VPCReadOnly Access VPCReadOnlyAccess 提供虚拟专有网络查询 open API 接口管理权限 VPC 管理员 ( 控制台 ) VPCConsoleF ullaccess VPCConsoleFullAccess 提供虚拟专有网络和 EIP 控制台功能全部管理权限 VPC 查询管理员 ( 控制台 ) VPCConsoleR eadonlyacce ss VPCConsoleReadOnlyAccess 提供虚拟专有网络控制台查询功能全部管理权限弹性 IP 管理员 (AP I) EIPFullAcce ss EIPFullAccess 提供弹性 IP 全部 openapi 接口管理权限弹性 IP 查询管理员 (API) EIPReadOnly Access EIPReadOnlyAccess 提供弹性 IP 查询 openapi 接口管理权限弹性 IP 管理员 ( 控制台 ) EIPConsoleF ullaccess EIPConsoleFullAccess 提供弹性 IP 控制台功能全部管理权限弹性 IP 查询管理员 ( 控制台 ) EIPConsoleR eadonlyacce ss EIPConsoleReadOnlyAccess 提供弹性 IP 控制台查询功能全部管理权限负载均衡管理员 ( API) SLBFullAcce ss SLBFullAccess 提供负载均衡全部 openapi 功能管理权限负载均衡查询管理员 (API) SLBReadOnly Access SLBReadOnlyAccess 提供负载均衡查询 openapi 的管理权限负载均衡管理员 ( 控制台 ) SLBConsoleF ullaccess SLBConsoleFullAccess 提供负载均衡和 EIP 控制台全部管理权限负载均衡查询管理员 ( 控制台 ) SLBConsoleR eadonlyacce ss SLBConsoleReadOnlyAccess 提供负载均衡控制台查询功能全部管理权限鉴权失败当您在使用金山云控制台或者 OpenAPI 时遇到类似提示, 说明您没有被授予操作权限请联系有 IAM 管理权限的人员为您的 IAM 账号关联相应策略金山云 3/19

4 授权方法如下 : 在身份与管理 ---> 策略管理中查看全局系统策略, 找到相应的策略, 关联对象在身份与管理 ---> 策略管理 ---> 自定义策略中查看否有相应策略, 如果有, 直接关联对象 ; 如果没有, 创建自定义策略, 创建成功后关联对象云物理主机概述 IAM 可以对云物理主机进行访问控制, 对用户分配不同的管理权限, 进行精细化的管理全局系统策略全局系统策略, 能帮助您快速授权, 而不需要编写策略, 但授权粒度会粗些, 以下云物理主机的两个全局系统策略, 分别为 : 策略名称 EPCFullAccess EPCReadOnlyAccess 策略描述提供云物理主机功能全部管理权限 ( 控制台 &openapi) 提供云物理主机查询管理权限 ( 控制台 &openapi) Action 列表以下表格, 罗列了在配置云物理主机的策略时, 需要用到的 action 列表相关概念请参考身份与访问控制章节 Actio n: n 形如 "Action":"iam:CreateUser", 取值包括两个部分的内容 service-name 和 action-name, 其中 service-name 服务命名空间 (iam,ks3,kec 等 ), 而 action-name 则 EPC 的操作名称编写策略时, 您可以复制表格里内容并粘贴在 Action 字段中 Actio n epc:createepc epc:rebootepc epc:startepc epc:deleteepc epc:reinstallepc epc:modifysecuritygroup 功能描述创建云物理主机重启开机删除云物理主机重装系统修改安全组金山云 4/19

5 epc:importkey epc:deletekey epc:createkey epc:describekeys epc:describeepcs epc:getdynamiccode epc:describevpns epc:createimage epc:modifyimage epc:deleteimage epc:describeimages epc:modifydns epc:modifynetworkinterfaceattribute epc:describephysicalmonitor epc:describecertificates epc:describeepcmanagements epc:describeremotemanagements epc:stopepc epc:modifyepc epc:modifyremotemanagement epc:createremotemanagement 导入密钥删除密钥创建密钥查看密钥列表查看云物理主机列表获取动态码查看 VPN 列表创建自定义镜像修改自定义镜像删除自定义镜像查询自定义镜像列表修改 DNS 修改网卡信息查询硬件监控信息查询证书列表查询云物理主机带外信息查询带外管理信息关机修改云物理主机信息修改带外管理创建带外管理 epc:reinstallcustomerepc E PC 带外管理使用文档托管机型重装系统带外网络独立于数据网络之外的专用管理网络, 你可通过 SSL VPN 连接带外网络, 利用带外管理系统远程管理您的 EPC, 在数据网络发生故障或者设备宕机的情况下, 可以迅速解决问题第一步 : 登录带外管理 1) 登录金山云控制台依次点击云物理主机 - 带外管理金山云 5/19

6 ) 选择需要登录的手机号, 在弹出的页面内输入验证码及 PIN 码后, 点击确定按钮第二步 : 下载证书 1) 进去带外管理页面, 点击下载证书 ) 弹出下载证书页面, 点击确定按钮金山云 6/19

7 3) 弹出新建下载任务下面, 点击保存按钮第三步 : 下载并安装客户端 1) 带外管理页面下, 点击下载客户端按钮金山云 7/19

8 ) 弹出下载客户端, 点击需要的下载版本 3) 弹出新建下载任务页面, 点击保存按钮金山云 8/19

9 4) 下载完成后, 找到客户端文件, 双击打开弹出安装流程点击 Next 金山云 9/19

10 5) 点击 I Agree 6) 点击 Next 7) 选择目标文件夹后, 点击 Install 金山云 10/19

11 8) 安装中 9) 安装完成, 点击 Next 金山云 11/19

12 10) 点击 Finish 第四步 : 将下载的证书放置在相应文件夹内 1) 找到第二步中下载的证书文件夹金山云 1/19

13 ) 打开文件夹, 复制 / 剪切两个子文件金山云 13/19

14 3) 找到客户端下载的目标文件夹金山云 14/19

15 注 : 客户端下载的目标文件夹即第三步 7) 中的 Destination Folder 4) 打开文件夹 config, 并将刚刚复制 / 剪切的两个子文粘贴在该文件夹下金山云 15/19

16 注 : 完成以上步骤后, 打开 OpenVPN GUI 中的 Settings 选择 Advanced 检查 Configuration Files 和 Log Files 的 Folder 否与之前操作一致金山云 16/19

17 第五步 : 打开连接 O penvpn 1) 输入用户名和密码, 点击 OK 注 : 用户名和密码可在如下图中找到计算资源 - 云物理主机 - 带外管理金山云 17/19

18 ) 连接成功, 图标变成绿色此时可以成功打开带外管理页面中的 ILOIP 第六步 : 新增带外管理手机 1) 带外管理页面下, 点击管理带外手机钮金山云 18/19

19 ) 点击新增手机按钮, 在弹出页面填写姓名新手机号和 PIN 码, 点击确定按钮金山云 19/19

产品介绍产品概述基本概念账号 ( 主账号成员账号 ) 账号或称主账号是客户在金山云资源归属资源计量资源计费的主体任何客户在使用金山云的服务前, 都需要首先注册生成一个金山云账号, 一般使用用户名作为账号的登录标识账号是其名下所有云计算资源的所有者, 拥有名下全部资源

产品介绍产品概述基本概念账号 ( 主账号成员账号 ) 账号或称主账号是客户在金山云资源归属资源计量资源计费的主体任何客户在使用金山云的服务前, 都需要首先注册生成一个金山云账号, 一般使用用户名作为账号的登录标识账号是其名下所有云计算资源的所有者, 拥有名下全部资源目录 018-07-1 目录目录产品概述基本概念产品设计思路支持 IAM 功能的金山云产品 / 服务使用场景集团公司集中管理子公司资源 ( 账号组账号 ) 企业内部云计算资源的分权管理和使用 ( 账号 IAM 用户 ) 不同企业之间的资源操作与授权管理 ( 跨账号角色 ) 快速入门为员工创建 IAM 用户账号并授权创建 IAM 用户为 IAM 用户设置登录密码为 IAM 用户创建访问密钥为