委托其他云服务管理资源-j9九游会登录

在iam控制台创建云服务信任委托

1. 登录。
2. 在统一身份认证服务的左侧导航窗格中，选择“信任委托”页签，单击“创建信任委托”。
3. 在创建信任委托页面，设置“委托名称”。
   图1 云服务委托名称
   
4. “信任主体类型”选择“云服务”，在“云服务”中选择需要授权的云服务。
5. 选择“最大会话持续时长”。即选择编程访问获取的临时访问凭证可持续的最大会话时长。
6. 信任策略区域将会展示当前信任策略的内容，如需编辑请在创建后修改信任委托，请参见删除或修改委托。
7. （可选）填写“委托描述”。建议填写描述信息。
8. 单击“下一步”，进入给委托授权页面。
9. 勾选需要授予委托的权限，单击“确定”，信任委托创建完成。

策略示例

委托给其他云服务管理华为云资源时，与委托给其他账号管理华为云资源类似，其关键点也在于信任委托的信任策略和身份策略的配置。一般来说，云服务基于自己的业务逻辑，对信任委托身上附加的身份策略权限都有明确要求，您可以查看云服务的相关文档了解具体信息。云服务信任委托与普通信任委托信任策略的区别主要在于principal元素，有关principal元素的介绍请参见json元素参考。

{
  "version": "5.0",
  "statement": [
    {
      "action": [
        "sts:agencies:assume"
      ],
      "effect": "allow",
      "principal": {
        "service": [
          "service.rgc"
        ]
      }
    }
  ]
}

其中principal中的service元素要求填写云服务的服务主体，服务主体列表可参见支持身份策略与信任委托的云服务列表中的“服务主体”列。

与普通信任委托一样，如果云服务切换该信任委托时，需要传递与源身份信息对应的source_identity参数和与会话标签对应的tags参数，那么您同样需要在信任策略中包含sts::setsourceidentity与sts::tagsession权限。

云服务在为您管理资源时，都会要求您为信任委托附加一些必要的权限，例如rgc会使用该信任委托去创建组织账号、创建rfs堆栈集等。为了方便，其要求的权限已经被注册成了名为rgcserviceagencypolicy的系统身份策略，您可以在iam新版控制台中的身份策略列表进行过滤查看。