云數(shù)據(jù)庫 GaussDB策略及授權(quán)項說明
如果您需要對您所擁有的進行精細的權(quán)限管理，您可以使用統(tǒng)一身份認證服務（Identity and Access Management，簡稱IAM），如果華為云帳號已經(jīng)能滿足您的要求，不需要創(chuàng)建獨立的IAM用戶，您可以跳過本章節(jié)，不影響您使用GaussDB的其它功能。
默認情況下，新建的IAM用戶沒有任何權(quán)限，您需要將其加入用戶組，并給用戶組授予策略或角色，才能使用戶組中的用戶獲得相應的權(quán)限，這一過程稱為授權(quán)。授權(quán)后，用戶就可以基于已有權(quán)限對云服務進行操作。
權(quán)限根據(jù)授權(quán)的精細程度，分為角色和策略。角色以服務為粒度，是IAM最初提供的一種根據(jù)用戶的工作職能定義權(quán)限的粗粒度授權(quán)機制。策略以API接口為粒度進行權(quán)限拆分，授權(quán)更加精細，可以精確到某個操作、資源和條件，能夠滿足企業(yè)對權(quán)限最小化的安全管控要求。
說明：
如果您要允許或是禁止某個接口的操作權(quán)限，請使用策略。
帳號具備所有接口的調(diào)用權(quán)限，如果使用帳號下的IAM用戶發(fā)起API請求時，該IAM用戶必須具備調(diào)用該接口所需的權(quán)限，否則，API請求將調(diào)用失敗。每個接口所需要的權(quán)限，與各個接口所對應的授權(quán)項相對應，只有發(fā)起請求的用戶被授予授權(quán)項所對應的策略，該用戶才能成功調(diào)用該接口。例如，用戶要調(diào)用接口來查詢GaussDB實例列表，那么這個IAM用戶被授予的策略中必須包含允許“GaussDB:instance:list”的授權(quán)項，該接口才能調(diào)用成功。
云數(shù)據(jù)庫 GaussDB支持的授權(quán)項
策略包含系統(tǒng)策略和自定義策略，如果系統(tǒng)策略不滿足授權(quán)要求，管理員可以創(chuàng)建自定義策略，并通過給用戶組授予自定義策略來進行精細的訪問控制。策略支持的操作與API相對應，授權(quán)項列表說明如下：
- 權(quán)限：允許或拒絕某項操作。
- 對應API接口：自定義策略實際調(diào)用的API接口。
- 授權(quán)項：自定義策略中支持的Action，在自定義策略中的Action中寫入授權(quán)項，可以實現(xiàn)授權(quán)項對應的權(quán)限功能。
- 依賴的授權(quán)項：部分Action存在對其他Action的依賴，需要將依賴的Action同時寫入授權(quán)項，才能實現(xiàn)對應的權(quán)限功能。
- IAM項目(Project)/企業(yè)項目(Enterprise Project)：自定義策略的授權(quán)范圍，包括IAM項目與企業(yè)項目。授權(quán)范圍如果同時支持IAM項目和企業(yè)項目，表示此授權(quán)項對應的自定義策略，可以在IAM和企業(yè)管理兩個服務中給用戶組授權(quán)并生效。如果僅支持IAM項目，不支持企業(yè)項目，表示僅能在IAM中給用戶組授權(quán)并生效，如果在企業(yè)管理中授權(quán)，則該自定義策略不生效。關于IAM項目與企業(yè)項目的區(qū)別，詳情請參見：IAM與企業(yè)管理的區(qū)別。
- 說明： “√”表示支持，“x”表示暫不支持。