创建iam用户并授权使用maas-j9九游会登录

配置modelarts委托授权以使用maas章节中介绍的一键式自动授权方式创建的委托的权限比较大，基本覆盖了依赖服务的全部权限。如果华为云账号已经能满足您的要求，则不需要创建独立的iam用户，您可以跳过本章节，不影响您使用maas服务的功能。

modelarts作为一个完备的ai开发平台，支持用户对其进行细粒度的权限配置，以达到精细化资源、权限管理之目的。这类特性在大型企业用户的使用场景下很常见。如果需要对委托授权的权限范围进行精确控制，可以参考本章节进行maas服务的定制化委托授权。

本章节主要介绍如何给iam用户下的子用户配置更细粒度的权限。

iam介绍

统一身份认证（identity and access management，简称iam）是华为云提供权限管理的基础服务，可以帮助您安全地控制云服务和资源的访问权限。

iam无需付费即可使用，您只需要为您账号中的资源进行付费。您注册华为云后，系统自动创建账号，账号是资源的归属以及使用计费的主体，对其所拥有的资源具有完全控制权限，可以访问华为云所有的云服务。更多信息，请参见什么是iam。

授权流程

创建用户组并授权：如果企业中不需要每个人都注册账号，则可以由企业的管理员注册一个账号，在这个账号下创建用户组并分配权限，然后将创建的iam用户根据不同的职能加入到不同的用户组中，分发给企业的人员使用。更多信息，请参见创建用户组并授权。

创建iam用户并登录：创建一个iam用户，并将其加入用户组中获得相应的权限。iam用户登录，使用权限范围内的资源。更多信息，请参见。

计费说明

授权是通过iam（身份和访问管理）服务进行的，用于控制用户对modelarts资源的访问权限。iam服务本身是免费的，您无需为授权操作支付费用。

前提条件

仅管理员才可以创建iam子用户。
给用户组授权之前，请先了解用户组可以添加的使用modelarts及其依赖服务的权限，并结合实际需求进行选择，maasj9九游会登录的服务支持的系统权限，请参见表1。

表1 服务授权列表
待授权的服务	授权说明	iam权限设置	策略类型	是否必选
modelarts	授予子用户使用modelarts服务的权限。 modelarts commonoperations没有任何专属资源池的创建、更新、删除权限，只有使用权限。推荐给子用户配置此权限。	modelarts commonoperations	系统策略	必选
modelarts	如果需要给子用户开通专属资源池的创建、更新、删除权限，此处要勾选modelarts fullaccess，请谨慎配置。	modelarts fullaccess	系统策略	可选 modelarts fullaccess权限和modelarts commonoperations权限建议二选一。
obs对象存储服务	授予子用户使用obs服务的权限。modelarts的数据管理、开发环境、训练作业、模型推理部署均需要通过obs进行数据中转。	obs operateaccess	系统策略	必选
swr容器镜像仓库	授予子用户使用swr服务权限。modelarts的自定义镜像功能依赖镜像服务swr fullaccess权限。	swr operateaccess	系统策略	必选
ces云监控	授予子用户使用ces云监控服务的权限。通过ces云监控可以查看modelarts的在线服务和对应模型负载运行状态的整体情况，并设置监控告警。	ces fullaccess	系统策略	必选
smn消息服务	授予子用户使用smn消息服务的权限。smn消息通知服务配合ces监控告警功能一起使用。	smn fullaccess	系统策略	必选
vpc虚拟私有云	子用户在创建modelarts的专属资源池过程中，如果需要开启自定义网络配置，需要配置vpc权限。	vpc fullaccess	系统策略	可选
统一身份认证服务iam	用于检测是否有缺失委托的权限。	iam:permissions:listrolesforagencyondomain iam:permissions:listrolesforagencyonproject iam:permissions:listrolesforagency iam:agencies:getagency iam:agencies:listagencies	自定义策略	必选如果未配置，iam子用户进入maas控制台时会出现权限缺失的弹窗提示用户配置。

配置maas基础操作权限

创建用户组。更多信息，请参见创建用户组并授权。
1. 管理员登录，在左侧导航栏选择“用户组”。
2. 在“用户组”页面右上角，单击“创建用户组”。在“创建用户组”页面，输入“用户组名称”和“描述”，单击“确定”。
配置用户组权限。
管理员在用户组列表中，单击步骤1新建的用户组右侧的“授权”，在用户组“授权”页面，您需要配置的权限如下：
1. 配置modelarts使用权限。在筛选框选择系统策略，然后在搜索框搜索modelarts。modelarts fullaccess权限和modelarts commonoperations权限建议二选一。选择说明如下：
  - modelarts commonoperations：没有任何专属资源池的创建、更新、删除权限，只有使用权限。推荐给子用户配置此权限。
  - modelarts fullaccess：如果需要给子用户开通专属资源池的创建、更新、删除权限，此处要勾选modelarts fullaccess，请谨慎配置。
  图1 配置modelarts使用权限
2. 参照表1，配置其他依赖云服务的使用权限。
  此处以obs为例，在搜索框搜索obs operateaccess并勾选。在maas创建自定义模型、调优模型时，需要在对象存储服务obs中创建obs桶，用于存放模型权重文件、训练数据集或者存放永久保存的日志。
  
  图2 配置obs operateaccess权限
  
  重复操作此步骤，勾选中所有必选的权限，可选权限请按需选择。iam权限与其他权限配置不同，需要创建自定义策略、为用户组添加自定义策略，详情请参见场景三：子用户添加缺失的权限。
3. 勾选完所需权限后，单击“下一步”。在“选择授权范围方案”区域，单击“展开其他方案”，单击“指定区域项目资源”，勾选待授权使用的区域，单击“确定”。
  图3 展开其他方案
4. 提示授权成功，查看授权信息，单击“完成”。此处的授权生效需要15-30分钟。
创建子用户账号。更多信息，请参见。
1. 管理员在左侧菜单栏，选择“用户”。
2. 单击右上角“创建用户”，在“创建用户”页面，填写用户信息，“访问方式”选择“管理控制台访问”，按需配置其他参数，然后单击“下一步”。
  图4 访问方式
将上一步创建的子用户账号加入用户组。在“加入用户组”步骤中，选择“用户组”，然后单击“创建用户”。系统将前面设置的多个用户加入用户组中。
使用子用户账号登录华为云并验证权限。更多信息，请参见用户登录。
新创建的用户登录，切换至授权区域，验证权限：
- 在“服务列表”中选择modelarts，进入modelarts主界面，选择不同类型的专属资源池，在页面单击“创建”，如果无法进行创建（当前权限仅包含modelarts commonoperations），表示“modelarts commonoperations”已生效。
- 在“服务列表”中选择除modelarts外（假设当前策略仅包含modelarts commonoperations）的任一服务，如果提示权限不足，表示“modelarts commonoperations”已生效。
- 在“服务列表”中选择modelarts，进入modelarts主界面，单击“算法管理>创建算法”，如果可以成功访问对应的obs路径，表示obs权限已生效。
- 参考表1依次验证其他可选权限。