如果您需要对性能测试的资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制云资源的访问。
通过IAM，您可以在云帐号中给员工创建IAM用户，并使用策略来控制他们对云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有CPTS的使用权限，但是不希望他们拥有删除性能测试等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用性能测试，但是不允许删除性能测试的权限策略，控制他们对CPTS资源的使用范围。
如果云帐号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用性能测试服务的其它功能。
IAM是云服务提供权限管理的基础服务，无需付费即可使用，您只需要为您帐号中的资源进行付费。
性能测试权限
默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。
性能测试部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问性能测试时，需要先切换至授权区域。
权限根据授权精细程度分为角色和策略，策略是角色的升级版。当前性能测试仅支持通过系统角色授权。
权限根据授权精细程度分为角色和策略。
- 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各云服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。
- 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。
如下表所示，包括了性能测试的所有系统权限。
性能测试系统权限
| 系统角色/策略名称 | 描述 | 类别 | 依赖关系 |
|---|---|---|---|
| ServiceStage Administrator | 拥有该权限的用户对当前租户的所有子用户下性能测试的测试工程和测试资源具有完全的操作权限（如增删改查），能够操作所有子用户的性能测试资源。 | 系统角色 | 如果是需要创建、修改或删除私有资源组的用户，还依赖CCE Administrator和VPCEndpoint Administrator权限。如果是仅使用共享资源组执行的用户，则不依赖其他权限。 |
| ServiceStage Developer | 拥有该权限的用户只对本用户测试工程和测试资源具有完全的操作权限（如增删改查）。 | 系统角色 | 如果是需要创建、修改或删除私有资源组的用户，还依赖CCE Administrator和VPCEndpoint Administrator权限。如果是仅使用共享资源组执行的用户，则不依赖其他权限。 |
| ServiceStage Operator | 拥有该权限的用户只对本用户测试工程和测试资源具有可读权限。 | 系统角色 | - |
| CPTS Resource Administrator | 性能测试测试资源管理员，拥有该服务下测试资源相关的所有权限。 | 系统角色 | 需要搭配ServiceStage Developer使用，可以使ServiceStage Developer角色拥有私有资源组的管理员权限，可以增删改查该帐号下所有的私有资源组。 |
| CPTS Resource Developer | 性能测试测试资源开发者，拥有该服务下测试资源查看和使用权限，但无基础设施创建、更新、删除权限。 | 系统角色 | 需要搭配ServiceStage Developer使用，可以使ServiceStage Developer角色拥有私有资源组的管理员权限，可以查看并使用该帐号下所有的私有资源组。 |
说明对于父帐号，默认具有Administrator权限，不需要额外配置，该权限配置仅针对父帐号下面的子用户。
首次创建测试资源，需父帐号授权，自动创建委托使性能测试服务可以操作用户CCE。
- 需要管理私有资源组的用户，需要ServiceStage Administrator、 CCE Administrator和VPCEndpoint Administrator权限。
- 仅使用私有资源组执行任务的用户，需要ServiceStage Administrator和VPCEndpoint Administrator权限。
- 仅使用共享资源组执行的用户，需要ServiceStage Administrator权限。
