概述

如果您需要针对不同资源，对用户设置不同的访问权限，以达到用户之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全地控制云资源的访问。

通过IAM，您可以为其他账号创建IAM用户，并使用策略来控制他们对云资源的访问范围。IAM是云服务提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费，关于IAM的详细介绍，参见：统一身份认证

如果云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用分布式容器云平台的其他功能。

概念

分布式容器云平台系统权限策略

默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使得用户组中的用户获得策略定义的权限，这一过程称为授权。授权后，用户就可以基于策略内的权限对分布式容器云平台进行操作。为方便使用，分布式容器云平台已内置以下三种系统策略：

每个策略所包含的分布式容器云平台权限列表如下表格所示，其中，“√”表示支持，“x”表示不支持。

分布式容器云平台全量功能权限

配置说明

服务资源权限配置，比如创建用户组和具体权限配置，均需要跳转到IAM控制台进行具体操作。

示例流程

图1：给用户授予分布式容器云平台权限流程。

1. 创建用户组并授权。

在IAM控制台创建用户组，并授予分布式容器云平台权限，例如「分布式容器云平台CCE One-viewer 」策略。

2. 创建用户并加入用户组。

在IAM控制台创建用户，并将其加入1中创建的用户组。

3. 用户登录并验证权限。

用户使用子账号登录控制台，验证权限是否生效。本次示例授予该子账号「分布式容器云平台CCE One-viewer」只读策略，因此可以通过以下方式进行验证：

• 只读策略不允许写操作：单击左侧导航栏“舰队联邦 > 舰队管理”，如果创建舰队时提示无访问权限，表示权限配置已生效。

• 只读策略允许读操作：单击左侧导航栏“集群资源 > 注册集群”，执行查询注册集群列表操作，如果注册集群列表正常访问，则表示配置已生效。