华为云IAM租户信息绑定【特性描述】官网页支持从华为云登录后SSO跳转支持绑定华为云租户信息，通过华为云Console购买/开通好望云服务 【创建IAM租户】【适用平台】      IVM Portal √好望云企业APP ×好望云个人APP ×    北向接口API × 【操作步骤】（视频请参考创建企业的演示视频https://bbs.huaweicloud.com/forum/thread-158546-1-1.html）1. 在"创建企业"过程中，填写AK/SK密钥时，点击[访问密钥], 跳转至华为云控制台2. 点击[新增访问密钥]-> 输入[手机验证码] -> 点击[立即下载]下载AK/SK文件 >>复制AK/SK至华为云访问密钥，即可绑定成功

Ⅰ　　Token在计算机系统中代表令牌（临时）的意思，拥有Token就代表拥有某种权限。Ⅱ　　Token认证就是在调用API的时候将Token加到请求消息头，从而通过身份认证，获得操作API的权限。Ⅲ　　以cn-south-1区域为例，说明如何通过Postman获取用户Token。Ⅳ　　POST请求URL：https://iam.cn-south-1.myhuaweicloud.com/v3/auth/tokens，不需要填写Headers。Ⅴ　　Body体的格式如下：{ "auth": { "identity": { "methods": [ "password" ], "password": { "user": { "name": "用户名", "password": "账号密码", "domain": { "name": "账号名" } } } }, "scope": { "project": { "name": "人脸识别服务部署的区域，如cn-south-1" } } } }Ⅵ　　发送请求后返回码为201时，点击返回的“Header”，获取“X-Subject-Token”即为Token。Ⅶ　　若调用其他区域的接口，需要用其它区域的iam地址获取Token再调用该区域的接口。

【功能模块】大禹平台》手机验证【操作步骤&问题现象】1、联合解决方案项目环境，iam方式登录大禹平台后，绑定了手机验证，但是手机号码不是我们这边的，没法输入验证码登录，麻烦给我们处理一下，解除绑定或者修改一下环境：https://www.huaweicloud.com/账号：hwbescloud用户：chinasoft2021【截图信息】【日志信息】（可选，上传日志内容或者附件）e-mail:dubin@chinasofti.comtel:18182698675

广西田园生化股份有限公司（以下简称“广西田园”），引入契约锁电子签章构建覆盖全国20家子公司的数字印控平台，以可信数字身份认证信息为基础，与全国数千名经销商实现在线签署，全面提升农事经销商服务效率！关于广西田园：广西田园是一家经营领域涵盖农药、药肥、智能农业机械的高新技术企业，位列中国农药制剂30强第2位，享有农民日报 “中国农民最喜爱的农药品牌”等荣誉。公司核心业务定位于“为农业产业链提供产品和服务”，通过为植保服务商、综合农事服务商及农业龙头企业提供产品和技术支撑，服务于种植业者保产增收。（产品图片截图自广西田园官网）引入电子签章，提升内部运营效率，助力农事服务数字化转型：1994年发展至今，广西田园合作的批发商有5000多个，零售商约10万个，销售服务网络覆盖中国主要农业区的20多个省市。以“批发”、“分销”、“零售”为主的销售模式下，解决几十家子公司大批量合同、单据签字、盖章难题，提升上下游对接效率，成为广西田园农事服务升级的关键：• 印章停留在线下意味着广西田园与全国经销商只能通过快递传输来签署纸质合同，对接周期长、一年下来签署成本居高不下。• 此外，产品物流运输中“收货确认”环节只能依靠客服人员线下与客户沟通，确认“实际收货量”、“收货日期”等信息，然后手动录入现有的金蝶K3业务系统，制作收货确认单。全人工对接模式，不仅会影响收货确认及时性，耽误财务核算效率；数据的准确性也无法保障。2020年，广西田园引入契约锁电子签章，对接公司内部自主开发的微信公众号应用，以“微信公众号”为端口，打通“业务系统-微信应用-电子签章”信息通道，打造连接企业内部员工以及外部客户的在线签署平台，实现内部用印、外部签署电子化。（契约锁&微信公众号集成应用）目前，该平台已经在广西田园和全国20家子公司上线使用，帮助广西田园解决了“收货确认单、经销商合同、季度对账单、结算单、人事合同、担保协议、采购合同等”十多种常用文件在线签署难题。覆盖4000多家外部企业、累计发起签约近2万份！↓ 例如：1、市场经理在企业微信发起“收货确认”：针对广西田园的收货确认业务，契约锁通过无缝集成公司自主开发的微信公众号应用，为线上收货确认业务提供“数字身份认证、电子模板、电子签章”功能支撑。（收货确认单在线签署场景）现在，广西田园的外部批发商、经销商、零售商只需通过微信公众号就能快速下单，订单信息自动回传公司内部业务系统，自动发起出库单审批，马上安排发货。客户在微信公众号同步查收出库单通知，一收到货打开微信就能生成电子收货确认单，实名认证后及时填报实际收货数量、以及确认收货日期。（客户在线签署出库单）>>> 应用效果：① 电子签章的引入完善了广西田园现有应用系统的线上签署能力，省去了公司内部与外部客户人工对接的麻烦，实现“产品下单-审批发货-收货确认-信息填报”全程数字化。② 无需人工干预，电子收货确认单自动回传广西田园业务系统，自动完成收货确认信息填报，省去客服人员线下联系客户、手动填写的麻烦，数据真实可靠。2、业务人员、经销商在企业微信快速签订“经销商合同”：针对广西田园持续发展的经销商合作业务，现在，合作申请一通过，业务人员通过企业微信就能同步发起经销商合同线上签署流程。业务人员、经销商、企业印章管理员借助系统短信通知链接，依次完成签署工作，几分钟就能达成合作。（填写合同信息）（多方在线签署）整个签署过程，都有实名认证保护，确保每一位签署人身份信息真实，签署有效，签署结果随时支持验真，保障双方合法权益。总结广西田园的数字化建设工作一直走在行业前列，电子签章工具的应用成为其业务实现无纸化转型的最后一公里。通过深化集成应用，契约锁电子签章将持续推动广西田园将印章管理制度、业务用印审批管理规范真正落实到业务中，为内外部的签署提供合法有效技术保障，助力公司构建自己的可信数字化基础！

近日，人社部印发《电子劳动合同订立指引》（以下简称“指引”），指导用人单位和劳动者依法规范订立电子劳动合同。《指引》是人社部根据《中华人民共和国劳动合同法》《中华人民共和国民法典》以及《中华人民共和国电子签名法》等法律法规组织编写，旨在逐步推进电子劳动合同在人力资源社会保障政务服务中的全面应用。文件中明确了电子劳动合同的订立、调取、储存和应用规范，确保电子劳动合同的真实、完整、准确、不被篡改。文件中指出，订立电子劳动合同的用人单位和劳动者，可参照《指引》协商一致订立电子劳动合同。（截图自人社部官网）本次《指引》的印发，是人社部继2020年3月发布《人力资源社会保障部办公厅关于订立电子劳动合同有关问题的函》，明确“用人单位与劳动者协商一致，可以采用电子形式订立书面劳动合同”以来，推广应用电子劳动合同的重要引导规范。国家对于电子劳动合同的推广应用已经逐渐从“可以采用”发展为“指导签署”，电子劳动合同普及应用已成趋势。目前，北京、山东青岛、浙江建德、辽宁沈阳、云南昆明等多地已经陆续推进使用电子劳动合同，加速了电子劳动合同的普及。契约锁电子签章作为「数字可信」基础建设者，可以无缝对接用人单位的HRM管理软件，为电子劳动合同签署业务提供“数字身份认证、电子签章、印控平台以及数字档案管理”等一体化服务支持。· 帮助用人单位解决签署双方身份认证问题，确保签署出于本人真实意愿，不可抵赖；· 让用人单位的HRM管理软件实现合法有效的电子签署能力，具备全程数字化管理环境；· 实现电子劳动合同签署过程自动存证，一键出证，及时提供有效司法证据；· 帮助企业建立电子劳动合同数字档案馆，解决合同存储难题，3秒可查、可验真。

IAM  统一身份认证，也有着小小的堡垒机的作用。什么是IAM统一身份认证（Identity and Access Management，简称IAM）是华为云提供权限管理的基础服务，可以帮助您安全地控制华为云服务和资源的访问权限。IAM无需付费即可使用，您只需要为您帐号中的资源进行付费。IAM的优势对华为云的资源进行精细访问控制   最大限度的保障企业数据安全，责任划分。您注册华为云后，系统自动创建帐号，帐号是资源的归属以及使用计费的主体，对其所拥有的资源具有完全控制权限，可以访问华为云所有的云服务。如果您在华为云购买了多种资源，例如弹性云服务器、云硬盘、裸金属服务器等，您的团队或应用程序需要使用您在华为云中的资源，您可以使用IAM的用户管理功能，给员工或应用程序创建IAM用户，并授予IAM用户刚好能完成工作所需的权限，新创建的IAM用户可以使用自己单独的用户名和密码登录华为云。IAM用户的作用是多用户协同操作同一帐号时，避免分享帐号的密码。除了IAM外，还有企业管理服务同样可以进行资源权限管理，相对于IAM，企业管理对资源的控制粒度更为精细，同时还支持企业项目费用的管理，建议结合企业需求选择IAM或是企业管理进行资源权限管理。

GaussDB(DWS)两级用户权限管理实践一、      场景描述       在项目交付中，经常会用到两级或者多级用户权限管理，例如系统用户分为省和市两级，省级用户包括1名省级管理员和N名省级普通用户，市级用户包括多名市级管理员（每个地市设置1名市级管理员）和N名普通用户。省级管理员对接管理省级用户和市级管理员用户，市级管理员对接管理市级用户，并进行分级用户和权限管理。例如针对如下场景：结合用户场景需求，梳理用户组织架构。【说明】（1）系统管理员是数据库自带的用户，作为一个技术用户和数据库日常维护用户，一般不在日常应用开发中使用。（2）省级管理员设置1名，可以作为应用开发和管理的全局用户，由省级管理员创建其他地市管理员或者省级普通用户。通常来说，省级管理员只负责创建地市的管理员，之后，由地市管理员管理地市的普通用户，省级管理员也可以创建省级的普通用户。（3）地市管理员，作为某地市的管理员，可以管理本地市的所有用户。（4）普通用户，日常应用开发或者查询的用户。二、      两级用户权限管理实践由于GaussDB(DWS) 8.0版本暂不支持with grant option（后续版本已支持，整体方案实现步骤会相对简单），结合用户场景需求和组织架构，使用常规赋权语句设计两级用户权限管理方案如下：省级范围由省级管理员用户统一管理，分解工作如下：省级管理员创建和管理省级用户组和省级普通用户。省级管理员将省级schema权限授予省级用户组。省级管理员创建和管理省级schema。省级管理员创建市级schema，并将市级schema的owner修改为市级管理员。省级管理员将省级schema权限授予市级用户组（部分市级用户需要查询使用省级schema相关表信息）。省级管理员创建市级管理员用户，并赋予create role权限。市级范围由市级管理员用户统一管理，分解工作如下：市级管理员创建和管理市级用户组和市级普通用户。市级管理员将市级schema权限授予市级用户组。市级管理员管理市级schema。三、      授权方案验证1、         用户场景假设角色假设角色名称系统管理员Ruby省级管理员Province_adminA地市管理员City_A_adminB地市管理员City_B_admin省级普通用户Province_01A地市普通用户01City_A_user01A地市普通用户02City_A_user02B地市普通用户01City_B_user01省级用户组Province_role01市级用户组CityA_role2、         用户与schema的关系schema用户schema与用户的关系province_schema省级管理员schema的owner省级普通用户01普通用户city_a_schema地市A管理员schema的owner地市A普通用户01普通用户地市A普通用户02普通用户city_b_schema地市B管理员schema的owner地市B普通用户01普通用户 3、         权限赋予方法步骤1：首先通过系统管理员（Ruby用户），创建省级管理员province_admin，省级管理员拥有sysadmin的权限。--i. 以系统管理员的用户登录(数据库后台)gsql -d postgres -p 8000 -ar--ii. 创建省级管理员create user province_admin with sysadmin identified by 'test@123'; 步骤2：省级管理员相关账号和权限配置命令。--i.  以省级管理员用户登录（或通过DataStudio工具前台登录）gsql -d postgres -p 8000 -ar -U province_admin -W test@123--ii. 创建地市A的管理员用户create user city_a_admin identified by 'test@123';--iii. 创建地市B的管理员用户create user city_b_admin identified by 'test@123';--iv. 赋予地市A管理员创建用户的权限alter user city_a_admin createrole;--v. 赋予地市B管理员创建用户的权限alter user city_b_admin createrole;--vi. 创建省级普通用户（注意，省级普通用户不需要createrole的权限）create user province_user01 identified by 'test@123';--vii 创建省级用户组，并将省级用户加入用户组；create role province_role01 identified by 'Bigdata123@';grant province_role01 to province_user01; 步骤3：地市管理员相关账号和权限配置命令。注意，地市A管理员创建地市A的普通用户，不需要给普通用户赋予createrole的权限。--i. 以地市A的管理员用户登录（或通过DataStudio工具前台登录）gsql -d postgres -p 8000 -ar -U city_a_admin -W test@123--ii. 创建地市A的普通用户create user city_a_user01 identified by 'test@123';create user city_a_user02 identified by 'test@123';--iii 创建市级用户组，并将市级用户加入用户组；create role citya_role identified by 'Bigdata123@';grant citya_role to city_a_user01;grant citya_role to city_a_user02;地市B管理员创建地市B的普通用户（不需要给普通用户赋予createrole的权限）。--i. 以地市B的管理员用户登录（或通过DataStudio工具前台登录）gsql -d postgres -p 8000 -ar -U city_b_admin -W test@123--ii. 创建地市B的普通用户create user city_b_user01 identified by 'test@123';--iii 创建市级用户组，并将市级用户加入用户组；create role cityb_role identified by 'Bigdata123@';grant cityb_role to city_b_user01; 步骤4：由省级管理员创建三个schema，分别为province_schema，city_a_schema，city_b_schema。并将city_a_schema和city_b_schema的owner分别赋予city_a_admin，city_b_admin。--i. 以省级管理员用户登录（或通过DataStudio工具前台登录）gsql -d postgres -p 8000 -ar -U province_admin -W test@123--ii. 创建省级的schema并赋予其拥有者为省级管理员create schema province_schema authorization province_admin;--iii. 创建地市A的schema并赋予其拥有者为地市A管理员create schema city_a_schema;alter schema city_a_schema owner to city_a_admin;--iv. 创建地市B的schema并赋予其拥有者为地市B管理员create schema city_b_schema;alter schema city_b_schema owner to city_b_admin; 步骤5：以省级管理员用户province_admin登录，赋予地市A用户组使用province_schema的权限。--i. 以省级管理员登录（或通过DataStudio工具前台登录）gsql -d postgres -p 8000 -ar -U province_admin -W test@123--ii 设置search_path= province_schemaset search_path= province_schema;--iii. 赋予地市A用户组使用省级province_schema的权限grant usage on schema province_schema to citya_role ;grant select on all tables in schema province_schema to citya_role; 步骤6：以地市A管理员用户city_a_admin登录，赋予地市A用户组使用city_a_schema的权限。--i. 以地市A管理员登录（或通过DataStudio工具前台登录）gsql -d postgres -p 8000 -ar -U city_a_admin -W test@123--ii 设置search_path=city_a_schemaset search_path=city_a_schema;--iii. 赋予地市A用户组使用市级city_a_schema的权限grant usage on schema city_a_schema to citya_role;grant select on all tables in schema city_a_schema to citya_role;步骤7：以市级普通用户city_a_user01用户登录，验证是否拥有查询province_schema 和 city_a_schema的权限。--i. 以city_a_user01的用户登录（或通过DataStudio工具前台登录）gsql -d postgres -p 8000 -ar -U city_a_user01 -W test@123--ii. 设置搜索路径为省级schema。set search_path= province_schema;--iii. 确认是否有省级schema的查询权限select * from tbl_a;--iv. 设置搜索路径为市级schema；set search_path=city_a_schema;--v. 确认是否有市级schema的查询权限select * from tbl_a;4、         权限回收方法--i 将省级用户从省级用户组剔除；revoke province_role01 from province_user01;--ii 将市级用户从市级用户组剔除；revoke citya_role from city_a_user01; 

【功能模块】使用IAM系统单点登录第三方系统【操作步骤&问题现象】中东G42项目需要使用IAM单点登录到先施系统，查看园区的二次开发指南文档，不明白该如何去开发？有以下疑问1.前提条件，需要完成IOC与IAM的对接，IOC该如何与IAM对接？2.按照文档流程，第三方系统是在portal系统内打开的，如何重新在新的标签页打开第三方系统？3.整个基于IAM SSO集成第三方系统，文档写的不清楚，不太明白？有更详细的资料可以提供吗【截图信息】【日志信息】（可选，上传日志内容或者附件）顾庆耀/18068848554/guqingyao@chinasoftinc.com

【功能模块】用户权限管理轻应用开发返回：{"resCode":"405230401","resMsg":"脚本'test_case__PUM_createUser'运行失败，TypeError: Cannot read property 'saltedPassword' of undefined"}

你可能坚信你的公有云提供商能够始终如一的符合服务水平协议(SLA)中期望的详细说明，但是你的私有云是否有同样的SLA?如果没有，你可能需要基于两个云的期望创建SLA，很可能就是基于你自己的私有云了。在你的私有云的可用性和性能的显示工作负载下收集数据。集成公有云和私有云寻求潜在的问题都会破坏服务。例如，如果一个私有云的关键业务驱动在本地保持敏感和机密数据，然后你的SLA应该体现出在公有云中使用这些服务的限制性。从业务角度，信息安全是管理管理风险的。云计算(尤其是混合云)使用新的应用程序接口(API)，要求复杂的网络配置，并对传统的系统管理员的知识和能力范围造成挑战。这些因素引入了新型的威胁。云计算并不比内部基础架构一样安全，但是混合云是个复杂的系统，管理员在管理上有限的经验，可能就造成了风险。现有的安全控制，像身份认证、授权和身份认证管理需要在公有云和私有云**同工作。整合这些安全协议，你只能选择其一:在两个云中复制控制并保持安全数据同步，或者使用身份认证管理服务，提供单一的服务运转在云端。在计划和时间阶段分配足够的时间，以便解决这些相当复杂的整合问题。

核心看点：契约锁集成财务管理软件，助力组织在线签署合法有效电子会计凭证，建立数字化电子会计凭证档案室，响应国家使用电子会计凭证报销入账、归档政策。“电子会计凭证”是指以电子形式生成、传输、储存的各类会计凭证，包括电子原始凭证、电子记账凭证以及电子专票。2020年，财政部、国家档案局联合发文明确，企业在满足一定条件的基础上可以使用“电子会计凭证”进行报销入账、归档，无需再打印或保存纸质单据。（满足以上条件电子会计凭证可以报销入账归档）如何借助信息化工具实现“纸质发票”到“电子发票”的过渡，做好电子会计凭证报销入账、归档工作，成为企业财务数字化转型的关键。现在，契约锁通过集成财务管理软件，为各类组织的电子会计凭证提供“电子文件模板、电子签名、电子印章、数据存证、用印审批以及文件存档”等一体化签署服务，帮助组织在线签署合法、有效的电子会计凭证，入账更安全。同时，通过契约锁数字化档案管理服务，帮助组织建立电子会计凭证数字档案室，实现电子会计凭证档案生成、归档、查询、调用、借用、销毁全生命周期管理。（契约锁电子会计凭证数字化签署平台）特色数字化应用展示：1、数字化签章服务：确保电子会计凭证在线安全、合法、高效签署契约锁电子签章可以与财务管理软件打通，通过数据、应用共享，让组织的各类收款凭证开具、凭证入账报销业务通过一条流程实现在线“审批、制作、签章、归档”，提升财务收付款、报销结算效率，真正实现财务数据共享。• 收付款类凭证签署场景：各类付款、结算收据，通过财务管理系统发起办理流程，客户付款成功，平台自动套用契约锁电子模板生成凭证文件、快速盖章，支持电子凭证下载，消除纸质单据。（财务凭证在线签署场景）• 凭证入账报销类签署场景：在电子凭证报销入账过程中，契约锁全程提供身份认证、电子签章以及数据存证服务，帮助智能验证审批人身份，手机端高效签字，提升财务报销效率。（凭证报销入账中的电子签章应用场景）>>> 例如：（收据在线盖章签发）特色签署服务支撑：1）数字身份认证保障，确保财务数据、人员身份可信：为了方便落实财务各环节责任关系，契约锁可以为企业的财务管理系统提供权威身份认证服务，保证报销入账、开票各环节申请人、审批人真实身份，方便追责。（权威身份认证）2）电子凭证数据全程加密、防篡改，确保数据真实契约锁电子签章以数字证书为支撑，为每份文件提供数据加密服务，确保电子会计凭证在签署中、签署后内容统一，有效识别篡改痕迹，确保电子会计凭证数据有效。3）智能检验电子凭证签名真伪，确保数据可查契约锁为组织提供便捷验签服务，各类电子会计凭证在线即可查验签名、印章真伪情况，确保数据可查。（快速验签）2、电子会计凭证数字档案服务：制作、归档、查询、借用、销毁全生命周期管理契约锁数字化档案管理应用，按照财政部及国家档案局《会计档案管理办法》相关管理规定，为企业提供电子会计凭证制作、归档、查询、借用、销毁全生命周期管理服务。以可信数字身份为基础，通过严格权限及流程配置服务，驱动企业会计凭证档案管理制度落地，有效防篡改。（契约锁数字化档案管理）应用价值：无论是凭证签发还是凭证入账报销审批，签字、盖章都是必不可少的中心环节，合法、有效的电子签章技术有效填补财务管理软件在线签署功能缺失，推动组织财务实现全面数字化转型。

检查本地与OBS的网络是否正常，若存在网络故障，解决网络故障，确保网络正常。请检查帐号是否已通过实名认证。若没有，请先实名认证。登录OBS管理控制台。在顶部导航栏单击用户名，即可查看用户认证状态。图1 帐号认证状态若您没有实名认证，请参考个人帐号如何完成实名认证对帐号进行实名认证，实名认证后需要40分钟才能生效。检查帐号是否已欠费或余额不足。若欠费，请先续费。登录OBS管理控制台。在顶部导航栏单击“费用”，进入费用中心。在“总览”页面可以查看到帐号可用额度。若您的帐号已欠费，请参考续费管理对帐号充值。若您充值后，仍不能上传对象，请联系客服进一步解决。检查帐号是否拥有权限，若无权限，请授予对应的操作权限。在“用户”界面，搜索到用户名。单击用户名左侧的下拉按钮，查看用户加入的用户组。若用户没有加入用户组，单击“修改”，选择合适用户组加入。在左侧导航栏单击“用户组”，搜索到用户加入的用户组，单击用户组名左侧的下拉按钮，然后单击“对象存储服务”的“查看”，检查用户组的权限是否有创建桶的权限。若没有请重新创建用户组，设置有创建桶权限的策略，然后将用户加入该用户组。登录管理控制台。在顶部导航栏单击用户名，选择“统一身份认证”，进入统一身份认证服务控制台，验证用户IAM权限。若当前用户所创建的桶已达到上限100个，删除一些闲置的桶再创建。若是当前桶名已存在，则更换桶名再创建。用户删除桶后，立即创建同名桶或并行文件系统会创建失败，需要等待30分钟才能创建。若以上都不是，请根据返回的错误码进一步判断。

原因通过桶策略给IAM用户配置桶的读写权限后，实际上授予的权限如下：GetObject：下载对象GetObjectVersion：下载多版本对象PutObject：上传对象DeleteObject：删除对象DeleteObjectVersion：删除多版本对象上述每一个权限对应一个OBS功能接口，IAM用户使用API或SDK可以正常调用这些接口。但是通过控制台或者客户端工具（OBS Browser+）登录时，加载桶列表时会调用获取桶列表（ListAllMyBuckets）等接口，加载对象列表时会调用列举桶内对象（ListBucket）等接口，其他页面也会调用其他的OBS接口。而授予的读写权限中并没有包含这些操作的权限，所以会提示“拒绝访问，请检查响应权限”，或者“不允许在请求的资源上执行此操作”。

原因IAM中预置的OBS ReadOnlyAccess、OBS OperateAccess、OBS Buckets Viewer等系统权限只允许执行一部分OBS操作，例如OBS OperateAccess可以执行列举桶、获取桶基本信息、获取桶元数据、列举对象、上传对象、下载对象、删除对象、获取对象ACL操作，每一项操作对应一个OBS功能接口。授予系统权限之后，表示拥有了对应功能接口的权限，通过API或SDK可以正常调用这些接口。但是通过控制台或者客户端工具（OBS Browser+）登录时，加载如桶列表、桶概览等页面会调用多个OBS接口，如果授予的权限中没有包含这些接口，则会提示“拒绝访问，请检查响应权限”，或者“不允许在请求的资源上执行此操作”。例如桶概览页面会通过接口查看桶的生命周期规则、CORS规则等是否已经配置，如图1，而预置的系统权限并未包含这些操作权限。

IAM权限是作用于云资源的，IAM的OBS策略可以作用于OBS的所有桶和对象，也可以作用于指定的桶和对象。推荐在对同一帐号下的子用户授权的场景使用。桶策略是作用于配置桶策略的单个桶的。