跨账号资源访问-j9九游会登录

对于华为云的部分云服务，您可以授予云服务对资源的跨账号访问权限。为了实现跨账号资源访问的目的，您可以给资源直接附加资源策略，也可以使用iam委托（包含普通委托和信任委托两种）实现跨账号授权后，使用iam委托访问跨账号的资源。如果不使用iam委托直接实现跨账号资源共享，则需要云服务的资源必须支持资源策略。与iam身份策略不同，资源策略要求在策略中指定谁可以访问该资源。使用iam委托实现跨账号资源共享不要求云服务的资源必须支持资源策略。

示例：

1. 某账号下的iam用户张三创建一个信任委托，信任委托需要绑定两种策略：其一是信任策略，表示用户间的信任关系；其二是身份策略，表示被委托账号切换到该信任委托上具有什么操作权限。
   • 该信任策略表示允许租户李四下具有切换信任委托权限的iam主体切换到该信任委托。在信任策略中使用principal表示信任的主体，可参见json元素参考中的principal查看详情。

     {
     	"version": "5.0",
     	"statement": [{
     		"principal": {
     			"iam": [
     				"{account id of lisi}"
     			]
     		},
     		"effect": "allow",
     		"action": [
     			"sts:agencies:assume"
     		]
     	}]
     }

   • 该身份策略表示允许上述信任委托下载委托方账号中的指定资源(obs:::object:{bucket_name}/{object_name})。

     {
     	"version": "5.0",
     	"statement": [{
     		"effect": "allow",
     		"action": [
     			"obs:object:getobject"
     		],
     		"resource": [
     			"obs:::object:{bucket_name}/{object_name}"
     		]
     	}]
     }

2. 用户李四下具有sts:agencies:assume权限的iam主体即可调用post /v5/agencies/assume接口获取信任委托的临时安全凭证，进而使用该临时安全凭证调用obs接口获取obs对象详情。