您可以使用以下几种机制来控制对OBS的访问权限。更多详细信息，请参见OBS权限控制概述。IAM权限IAM权限是作用于云资源的，IAM权限定义了允许和拒绝的访问操作，以此实现云资源权限访问控制。推荐使用IAM权限的场景：对同一帐号内的子用户授权。IAM权限的实现机制如下：创建用户组，为用户组设定IAM权限集。创建IAM用户，用户加入用户组以获取相关的权限。桶策略桶策略是作用于所配置的OBS桶及桶内对象的。OBS桶拥有者通过桶策略可为IAM用户或其他帐号授权桶及桶内对象的操作权限。访问控制列表 (ACL)ACL是基于帐号级别的读写权限控制，权限控制细粒度不如桶策略和IAM权限。一般情况下，建议使用IAM权限和桶策略进行访问控制。

武汉精测电子集团（以下简称：“精测电子”），引入电子签章构建覆盖全集团11家分支机构的电子印控中心，实现印章集中管控，为集团现有的用友NC系统提供合法有效的电子签章，改变线上审批、线下打印签署的盖章模式，让集团业务全程电子化。一、“1个”平台集中管控印章，支撑11家分支机构日常用印需求，全面提升办公效率：精测电子是一家致力于为半导体、显示以及新能源等测试领域提供卓越产品和服务的高新技术企业，分子公司遍布武汉、苏州、上海、香港、台湾、美国、日本等多地。作为一家创新驱动型企业，精测电子始终认为管理技术不断创新，才能支撑、适应业务的规模化发展需求。此次，针对日常运营中存在的“分支机构印章集中管控难、异地用印程序复杂低效、签署成本高、盖章文件核实慢”等众多印章管理难题，精测电子创新引入电子签章平台，推动集团总部及全国11家分支机构进行印章电子化改革，推动集团采购、销售业务在线签署：（电子印控中心）二、首先，用一套系统支撑11家分支机构日常用印，简化部署成本：契约锁帮助打造集团电子印控中心，通过“分级分权”权限配置，对精测电子内部印章进行全生命周期线上管理，让11家机构用一套系统就能有序、按需管理和使用电子印章。精测电子通过印控中心对每一枚印章的信息、使用权限和使用流程按需进行设置，借助审计台账掌握印章使用痕迹，让每个印章都在授权范围内安全使用，实现集中管控目标，安全高效用印。（印章全生命周期管理）目前，精测电子11家分支机构的人事合同已经实现无纸化签署。入职、续签，总部HR直接通过印控中心就能和全国新老员工批量签订劳动合同，全程提供身份认证保障、帮助文件自动存档。（劳动合同在线签署）三、接着，集成用友NC系统，业务流程电子化，提高工作效率：为了贴合精测电子日常业务用印场景，契约锁电子印控中心与用友NC系统流程打通、信息共享，推动内部采购、销售业务在线盖章，全程电子化管理。•过去，业务文件盖章只能在业务系统线上审批后，打印成纸质文件，经人工核对无误后线下盖章。•现在，精测电子在现有的用友NC系统中，通过一条流程就能高效制作、审批、签署“采购合同、销售合同、财务凭证”等业务文件，签署效率实现30倍提升。（NC系统在线调用印章）四、例如：在NC系统，审批、签署采购、销售文件通过集成，精测电子的用友NC系统快速具备电子签章能力，采购合同、销售合同、财务凭证等文件，在NC系统快速调取供应商及客户信息，高效生成电子合同、单据，流程驱动内部盖章、客户签字。（采购、销售合同在线签署场景）1、帮助智能识别供应商身份：供应商查收签约消息，即刻提交组织信息完成权威身份认证，帮助精测电子智能筛查供应商身份。（供应商身份认证）2、在线完成内部盖章签字、客户签约：无需用纸，在线就能完成合同流转，各地供应商用手机就能远程签合同，提升精测电子采购、销售效率。3、财务凭证在线盖章，高效签发、防篡改：精测电子的财务部门在日常销售业务中，要随时为客户开具财务收据凭证，此类单据需求量大、审批流程相似，财务人员手动盖章工作量大，效率跟不上。现在，精测电子各类销售业务中，客户付款成功，自动由用友NC系统触发收据凭证盖章流程，快速完成内部盖章，收款人、业务人员在线签字确认，高效签发电子凭证。（电子财务收据）总结印章在线统一管理、审批使用的方式，方便精测电子落实内部印章集中管控制度，全面简化各项业务的盖章程序，提升办公效率。未来，契约锁全国50多家本地化服务团队，将持续为精测电子各地机构提供本地化服务，通过与精测电子的OA以及HRM系统深度集成，拓展业务在线签署场景，让电子签章应用方案真正贴合客户实际业务签署场景。

 摘要：数字政务是推动公共服务和社会治理精细化、智能化的重要载体。近一段时间以来，全国各地陆续发布规划，积极推动区块链应用到政务系统中。一、背景当前全球科技创新进入空前密集活跃的时期，以区块链为代表的新一代信息技术加速突破应用，已延伸到数字金融、物联网、智能制造、供应链管理、数字资产交易等多个领域。区块链开创了一种在不可信的竞争环境中低成本建立信任的新型计算方式和协作模式，凭借其独有的信任建立机制，实现了穿透式监管和信任逐级传递，目前正在向垂直领域延伸，蕴含着巨大的变革潜力。我国区块链领域的发展基础良好，已经显示出在助力数字政务、实体经济、民生领域、智慧城市、互联互通中的巨大潜力和价值。全国各地政府都在抓住区块链技术发展的契机，加快推动区块链技术和产业创新发展。二、现状问题数字政务是推动公共服务和社会治理精细化、智能化的重要载体。近一段时间以来，全国各地陆续发布规划，积极推动区块链应用到政务系统中。“政务上链”有助于数字政务更上层楼，但政务区块链要发挥作用，跨部门、跨领域的连通依旧是关键。当前“政务上链”处于快速发展期，规范和引导相对滞后，在发展建设过程中，也碰到了一些问题：1、标准规范未统一，基础设施不完善：缺乏顶层设计，未建成统一数据标准和接口标准；区块链政务应用安全性、稳定性、性能等参差不齐；设计与功能不闭环、不系统化，相对随机，不同底层架构、不同数据结构导致系统间无法互联互通，业务协同难，基础能力开放度差，难以满足未来发展需求；2、业务错综复杂，信息安全难以保障政务服务的业务内容与业务逻辑错综复杂，区块链应用难以统一满足强安全保护要求，风险不断积累；不同政务业务涉及不同级别的权限；政务服务涉及群体大、涉及面广，安全事故将造成极大的负面影响。3、信息共享难度大，重复建设难避免普遍为针对不同应用单独搭建的运行环境；使用过程中不能充分利用硬件，无法重复使用组件，造成基础设施浪费；缺乏链与基础资源的统一管理，区块链应用之间难以共享数据，容易形成新的信息孤岛；区块链软硬件基础设施容易造成重复投资、重复建设。4、区块链专业人才短缺，运维管理成本高技术人才稀少，据报道未来2年缺口人才500万；运维人员技能无专业考核认证，人力成本高；易出现人为或非人为的业务停滞进而影响政府职能部门的服务和体验。三、解决方案为解决上述问题，华为提出统一政务区块链基础设施（UGBaaS）解决方案用来统筹设计、统一标准，实现部门互信、数据共治、服务共享，统筹建设安全、可靠、高效的区块链基础设施平台。底层实现软硬件共享共治，纵向实现信息透明，横向实现数据互联，减低政务区块链应用建设、管理和维护成本，提升政务业务协同水平、监管能力、服务体验，加快数字政府改革建设。架构图如下：系统包括底层区块链、底层区块链标准纳管接口、底层区块链管理、统一公共服务组件等。1、底层区块链底层区块链平台提供基础的数据存储能力、网络通信能力、共识机制、虚拟机、可编辑的智能合约、软硬件资源运维监控、SDK接口等基础能力或组件.底层区块链接入应满足如下要求：a) 应经过区公共数据管理部门审核；b) 应符合集约化和兼容性要求，可适配多种底层云平台；c) 应符合底层区块链平台纳管接口标准要求。2、底层区块链标准纳管接口底层区块链应通过标准纳管接口接入政务区块链平台，标准纳管接口应包括统一安全接口、统一运营接口、统一资源接口、统一跨链接口、统一监管接口。统一安全接口：支持对不同底层区块链的统一身份认证和鉴权。统一运营接口：支持统一运营监控，支持查看联盟/节点运行状态、联盟/节点资源占用情况、支持上链业务分析等。统一资源接口：支持统一区块链资源管理，包括对联盟链、应用链、节点、智能合约等的管理。统一跨链接口：支持跨链互认证、跨链事务等。统一监管接口：支持统一审计日志、敏感词审计等。特色功能接口：除标准纳管接口外，政务区块链平台还应提供相关特色功能接口供上层应用调用，以支持个性化管理和服务。3、底层区块链统一管理联盟管理支持联盟管理，包括联盟创建、底层链选择和联盟链准入/退出；支持联盟监控，包括联盟状态、联盟拓扑图、区块浏览、交易浏览、交易速率、底层链分布统计和跨链业务分析统计；支持跨链管理，包括跨链认证、跨链交换、跨链互操作和跨链数据迁移。节点管理包括节点扩容/缩容、节点的启动与停止和节点运行状态等监控（包括地址、端口、运行状态、共识状态等）。应用链管理支持应用链创建申请、加入审批、政务数据申请、政务数据审批、跨系统数据请求融合、可信计算等功能。访问管理支持公共管理和服务机构租户管理和维护、身份认证、权限管理和资源配额分配；灵活配置和管理账号对链和节点的访问权限，管理并配置不同的访问连接方式和协议，以更好地提供客户端的接入和数据传输。跨链管理具备管理跨链合约、跨链存证和跨链路由的能力，可建立或停止链间的通信，控制区块链与外部世界间建立安全链路，管理可信数据接入等。合约管理支持合约开发/调试、合约自动生成、合约编译与自动部署、合约安全形式化验证、合约运行态可视化、合约共享/评审/发布、合约版本管理、合约导出模板、合约代码到可视化组件生成的功能，为智能合约提供集成开发环境。数据管理支持区块链数据资源管理，包括数据资产SaaS服务、可视化分析、大屏展示定制与服务、文件归档管理、报表生成与展示、数据目录融合与治理、链上与链下数据分析等。流程管理支持公共管理和服务机构发起联盟链创建、联盟加入/退出、资源扩缩容、跨链业务等的申请和会签，并由区公共数据管理部门进行审批。运营管理运营管理应满足如下要求：支持业务发起方分布、业务调用统计、业务趋势分析、联盟参与统计画像和跨链数据请求分析；支持联盟/节点监控，包括区块链状态、节点状态、拓扑图、区块/交易浏览等；支持资源治理，包括链资源监控、节点资源监控、合约资源监控、应用资源监控、资源发放/回收、链下线/休眠等。运维管理运维管理应满足如下要求：支持资源监控，包括链资源监控、节点资源监控、合约资源监控和应用资源监控；支持告警日志，包括告警查看/处理、审计日志和运行日志。安全管理管理网络安全，包括客户端和节点，节点与节点间的双向认证和可靠的通信；管理数据安全，如交易使用用户私钥签名，保证交易内容无法篡改；管理存储安全，如数据多节点存储，节点间数据同步机制保障数据的正确复制，提供数据归档工具。监管审计应支持对政务区块链用户的监管审计功能，包括管理日志审计、行为审计等。4、统一公共服务组件政务区块链公共组件支持内置政务相关公共区块链组件，如分布式身份、可验证凭证、可信数据交换、可信数据计算 、同态加密、零知识证明等。支持组件浏览、安装、卸载、发布等。政务区块链智能合约仓库仓库中可内置常用的政务相关智能合约模板，如上链存证、查询验真、政务协同等常用模板，以便于上层政务区块链应用进行快速集成使用。仓库应支持合约模板浏览、合约模板管理、合约安装部署、合约仓库、定制合约等。政务区块链应用仓库政务区块链应用仓库支持不同应用场景**同使用的应用上架，供多个参与方下载使用，其应满足以下要求：a) 支持内置常用的政务区块链应用供平台用户直接下载使用，如政务协同、目录管理、数字存档等；b) 支持政务区块链应用的浏览、安装、卸载等；c) 支持政务区块链应用的上架、审核和下架。5、智能大屏可视化监控系统应支持智能大屏可视化监控系统，方便对平台资源和业务运行情况进行全局监控。6、用户管理和交互系统应支持提供多种平台上的用户管理和交互系统，例如PC端、浏览器、手机APP等。综上，通过统一政务区块链基础设施，一地政府公共数据管理部门可以加强区块链政务应用的顶层设计，做到全域区块链统一政务标准、统一资源分配治理、统一身份认证、统一运营监管、统一生态协同，达到区块链算存传管用的安全性、稳定性、兼容性和统一化。管理部门、使用部门、企业等参与者通力合作，有望探索出一条与数字经济时代相适应的治理新模式。

【功能模块】权限管理【操作步骤&问题现象】1、自定义了一个app项目，需要给这个app项目配置业务权限2、 进入管理-》应用管理后，app配置里没有可用模块，BO模块里有 permission模块，如果我要给自定义的app配置角色和角色菜单权限（业务权限），这个要怎么操作？【截图信息】【日志信息】（可选，上传日志内容或者附件）

 华为云鲲鹏云服务兼容性认证流程指导华为云鲲鹏云服务兼容性认证总体流程如下：步骤：一、加入华为云鲲鹏凌云伙伴计划注意事项：1、使用的华为云账号必须经过企业实名认证2、使用的华为云账号不能是BP账号，即华为云经销商伙伴账号3、鲲鹏应用开发者HCIA认证是伙伴计划对伙伴的要求，必须陈诺在未来6个月内达成，否则驳回。鲲鹏凌云伙伴权益具体可查看：https://www.huaweicloud.com/partners/kunPeng/关于HCIA考试说明：ØHCIA认证目的：由于华为鲲鹏凌云伙伴是技术型伙伴，待方案/软件鲲鹏商用落地后，为更好的服务客户，需要求伙伴也具有基本的鲲鹏技术支持能力，因此要求至少2人通过鲲鹏HCIA认证；ØHCIA考试费用：加入凌云伙伴并有方案通过认证后，可免费申请鲲鹏HCIA考试券（认证完成后，联系认证接口人申请，2张/方案，每企业最多5张）ØHCIA学习考试材料：https://edu.huaweicloud.com/training/#kunpeng4、公司简介请简要说明清楚公司主营业务、技术能力、聚焦行业领域以及所在领域软件解决方案情况，以便审核人员判断。二、鲲鹏方案认证申请提交（填写要求更多详情请见附件）注意事项：1、只有伙伴已提交了鲲鹏凌云计划申请后才可提交鲲鹏方案认证申请，但无需等待鲲鹏凌云伙伴计划申请审批完成；2、只有鲲鹏凌云伙伴计划申请审批通过后，方案认证流程才可审批。3、方案名称必须与软著保持一致，即贵司认证产品必须有软著来保证产品归属权，如当前软著在申请中，请按附件模板提供软著声明（加盖公章与签名生效）三、关于一测双证（华为云鲲鹏云服务+华为云Stack X.X（鲲鹏））说明1、基于华为云鲲鹏云服务或者华为云Stack认证测试的方案，如果方案在客户交付场景中存在公有云，同时也存在混合云（私有云）部署场景时，可申请评估一测双证，即经过一次测试，获取2张方案认证证书（华为云鲲鹏云服务+华为云Stack（鲲鹏）认证证书），但需认证组织团队对方案是使用云服务进行评估，如果使用到的云服务在华为云公有云和华为云Stack同时支持且无差异时，可实现一测双证。2、申请一测双证办法：        2.1、一般在认证方案审核阶段，审核经理会与伙伴沟通方案的交付模式，如存在公有云+混合云（私有云）场景，且在经过评估认证是使用的云服务无差异时，在方案审核阶段即可设置方案是否需要一测双证，如认证测试完成，经过认证专家团队评估通过，则在会签后发放2张方案认证证书，即鲲鹏云服务+华为云Stack（鲲鹏）2张兼容性认证证书。        2.2、如方案已完成认证，发放的是单认证，可联系华为侧认证测试接口人申请评估追加证书发放，如经过评估可行，则可由认证团队负责人在系统侧追加证书发放。四、通过华为云Stack（鲲鹏）认证方案证书申请华为云Stack技术伙伴计划可快速获得Stack技术伙伴证书1、存在混合云（私有云）交付项目的ISV伙伴可申请华为云Stack伙伴技术伙伴计划，如需获得伙伴证书，须有方案通过华为云Stack方案技术认证，如已在鲲鹏凌云伙伴计划在获得了华为云Stack（鲲鹏）兼容性认证证书，等同满足了伙伴必须有方案通过华为云Stack方案技术认证的要求，即可快速获取伙伴计划证书。2、相应的，前期申请了华为云Stack技术伙伴计划且通过了华为云Stack X.X（鲲鹏）方案认证证书，再申请鲲鹏凌云伙伴计划，也意味着满足了伙伴必须有方案通过鲲鹏方案认证的要求。

https://mp.weixin.qq.com/s?__biz=MzA5MjM5OTYzNA==&mid=2247487697&idx=1&sn=48e3dfd776ea773ed0e6a6a707286813&chksm=906ce1aca71b68baa282e9f275152194d124526dccd8229448be3b216dc029aa6322c69c1d18&token=1364773178&lang=zh_CN#rd

现象：通过IAM获取的Token调用VIS的API报错APIGW.0301，报错信息：{“error_msg”:“Incorrect IAM authentication information: decrypt token fail xxx”，“error_code”: “APIGW.0301”，“request_id”:“XXXX”}；原因：获取的token无法通过校验。推荐处理方式：（1）先确认获取的Token是否对应该账号，以及Token拷贝使用的过程中是否有遗失部分字符的情况；（2）如果确认步骤（1）没有问题后，联系华为IAM服务人员根据“request_id”进行定位。

现象：通过IAM获取的Token调用调用VIS的API报错VIS.0001, 报错信息{“error_msg”:“The authentication token is abnormal”，“error_code”: “VIS.0001”}；可能原因：用户获取的Token是domain级别的，需要获取project级别的Token。推荐处理方式：（1）首先确认获取Token的方式是否正确，针对各个region进行资源创建时，使用的Token是domain级别的。例如{   "auth": {     "identity": {       "methods": ["password"],       "password": {         "user": {           "name": "James",           "password": "**********",           "domain": {             "name": "A-Company"           }         }       }     },     "scope": {       "domain": {         "name": "A-Company"       }     }   } }如果是domain级别的Token，需要重新获取project级别token，具体可以参见官网资料： 视频接入服务 VIS > API参考> 如何调用API> 认证鉴权，如下：{   "auth": {     "identity": {       "methods": ["password"],       "password": {         "user": {           "name": "James",           "password": "**********",           "domain": {             "name": "A-Company"           }         }       }     },     "scope": {       "project": {         "name": "cn-north-1"       }     }   } }

上次教了实习生一个方案之后，这小子跟运营妹子的关系是越走越近，时不时地撒把狗粮，在我司真正实现了研发运营一家亲~（上回你没看？戳上文剧情回顾：万万没想到，一个技术方案帮实习生追到了运营妹子 ）这回想跟大家聊的，是最近一个可以说有些惊心动魄的项目。自从我开始在华为云网站自学API的技术解决方案之后，我就变成了公司的云服务器技术专家，老板或运维部门想要查询个数据什么的都来找我。近期有一个运营项目的系统正在开发中，运营方规划了一个数据BI模板，列出了需要监测和分析的数据维度，老板干脆让我每周出一份数据报表来支持各方的数据获取和数据分析。让研发出数据报表？这不是逼着李逵绣花么？但是，我能轻易拒绝吗？前几回高光时刻带来的成就感和光环还没褪去呢，不能怂！于是我提了一个方案：可以把云服务器的监控仪表内嵌到我们自己的系统里，这样大家可以随时查询，也方便。老板听了这个方案表示很开心，并同意加入到项目排期中，数据查询功能与系统同期上线，以便及时跟踪运营结果。在老板的笑容里，我看到季度奖金在向我招手。说干就干，执行力咱还是有的。用1天的时间就把程序写完了，在测试的时候发现了一个问题，数据过不来！因为通过内嵌系统登陆云服务器需要经过各种认证，步骤多不说，如果要想实现人人可查询还存在泄密的危险。这可怎么办，系统上线的日期临近，不能因为我这部分影响到项目进展啊！当初拍着胸脯提（chui）的方（niu）案（13），难道就要失败了？不行，再查查！我专门联系了华为云的技术专家，得知可以通过IAM自定义代理免密登录到云服务Console页面，省去认证环节，直接登陆云服务器进行数据查询和获取。那怎么做免密登录呢？他给了我一份文档，内容是这样的： 一、前提条件步骤 1：创建账号I**mainA下的IAM用户userB，并授予Security Administrator和Agent Operator权限（全局服务-全局项目）。将userB的用户名和密码配置到企业系统的配置文件中，密码建议加密存储，以便获取认证token并进一步调用IAM其他Open API。备注：有关创建IAM用户和授权相关操作请参见：创建IAM用户 和 创建用户组并授权  步骤2：创建联邦代理所需委托IAMAgency。委托类型选择“普通账号”，委托的账号填写“DomainA”。备注：有关创建委托相关操作请参见：创建委托（委托方操作） 二、华为云联邦代理登录步骤1：调用IAM API获取STS token1）使用IAM全局域名（iam.myhuaweicloud.com）调用IAM服务的API（POST /v3.0/OS-CREDENTIAL/securitytokens）获取STS token。填写"session_user"参数，发起一个POST请求。POST  https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens请求示例{     "auth": {         "identity": {             "assume_role": {                 "agency_name": "IAMAgency",                 "domain_name": "I**mainA",                 "duration-seconds": 3600,                 "session_user": {                     "name": "SessionUserName"                 }             },             "methods": [                 "assume_role"             ]         }     } }2）获取并记录请求响应体中的STS token信息：credential.access , credential.secret, credential.securitytoken响应示例{   "credential": {     "access": "E6DX0TF2ZREQ4ZAVM5CS",     "expires_at": "2020-01-08T02:56:19.587000Z",     "secret": "w9ePum0qdfac39ErLD0UdjofYkqort6Iw2bmR6Si",     "securitytoken": "gQpjbi1ub3J0aC0..."   } }步骤2：调用IAM API获取logintoken1）使用IAM全局域名（iam.myhuaweicloud.com）调用IAM服务的API（POST /v3.0/OS-AUTH/securitytoken/logintokens）获取logintoken。发送一个POST请求。POST  https://iam.myhuaweicloud.com/v3.0/OS-AUTH/securitytoken/logintokens请求示例{     "auth": {         "securitytoken": {             "access": "LUJHNN4WB569PGAPBDFT",             "id": "gQpjbi1ub3J0a...",             "secret": "7qtrm2cku0XubixiVkBOcvMfpnu7H2mLNCUsuFR8"         }     } }2）获取请求响应头中的X-Subject-LoginToken信息。通过委托获取临时访问密钥和securitytoken且请求体中填写session_user.name参数。返回示例{   "logintoken": {     "assumed_by": {       "user": {         "domain": {           "id": "0659ef9c9c80d4560f14c009acf9c4a0",           "name": "I**mainB"         },         "id": "0659ef9d4d00d3b81f26c009fee32b57",         "name": "IAMUserB",         "password_expires_at": "2020-02-16T02:44:57.000000Z"       }     },     "domain_id": "05262121fb00d5c30fbec013bc17a4a0",     "expires_at": "2020-01-23T03:27:26.728000Z",     "method": "federation_proxy",     "session_id": "0012c8e6adda4ce787e90585d10e3e63",     "session_name": "SessionUserName",     "user_id": "07826f367b80d2474ff9c013a48903ee",     "user_name": "I**mainA/IAMAgency"   } }步骤3：构建联邦代理登录地址，完成免密登录联邦代理登录地址的构建规则为：https://auth.huaweicloud.com/authui/federation/login?service={target_console_url}&logintoken={logintoken}&idp_login_url={enterprise_system_loginURL}构建参数说明： {target_console_url}为目的云服务console地址的urlencode编码结果。{logintoken}为步骤2中获取到的logintoken的urlencode编码结果。 {enterprise_system_loginURL}是选填参数，为企业客户自身的登录系统地址的urlencode编码结果。 按照文档的指引，我最终顺利解决了这个问题，项目如期上线，运营方也可以通过免密登陆自己查询和分析运营数据，及时作出优化调整，省时省事还安全。在月度例会上，我因此再一次得到了老板的肯定，开心的同时，也在心里暗想：“看来不能松懈，还得多学习啊~” 据了解，目前API Explorer平台已开放EI企业智能、计算、应用服务、网络、软件开发平台、视频等70+云服务，共上线2000+个API、6000+个错误码。在前期试运行期间，华为云API Explorer平台上的API接口也已被多家企业成功接入。点击查看详情：《华为云一站式API解决方案平台API Explorer上线》华为云API Explorer平台在未来几个月会实现更多功能，比如支持SDK示例代码、CLI等特性，同时也会开放更多的云服务API接口，连接更多开发者实现创新、拓宽创新边界。【拓展阅读】【API进阶之路】因为不会创建云服务器，我被实习生摆了一道【API进阶之路】前浪的绝地反击与自我证明【API进阶之路】甩锅大会上，我是如何绝地求生的【API进阶之路】一个技术预案，让老板当场喊出了“奥利给”【API进阶之路】万万没想到，一个技术方案帮实习生追到了运营妹子!【API进阶之路】一个技术盲点，差点让整个项目翻车【API进阶之路】老板给我涨薪30%！如何通过SDK接口搞定千万级流量直播【API进阶之路】半天搞定百万条手机号归属地查询，竟影响了公司战略方向！【API进阶之路】无法想象！大龄码农的硬盘里有这么多宝藏【API进阶之路】高考要考口语？一场10w+刷屏活动是如何用多模态评测API做出来的【API进阶之路】帮公司省下20万调研费！如何巧用情感分析API实现用户偏好调研【API进阶之路】逆袭！用关键词抽取API搞定用户需求洞察【华为云API学习赛】为入门初学者量身定制的学习平台，以赛带学，学以致用。参赛、邀请都有丰富奖品，还有机会拿P40 5G手机~API入门学习赛·AI人脸识别l   报名地址l   奖项设置API入门学习赛·探险寻宝之旅l   报名地址l   奖项设置

上次教了实习生一个方案之后，这小子跟运营妹子的关系是越走越近，时不时地撒把狗粮，在我司真正实现了研发运营一家亲~（上回你没看？戳上文剧情回顾：万万没想到，一个技术方案帮实习生追到了运营妹子） 这回想跟大家聊的，是最近一个可以说有些惊心动魄的项目。自从我开始在华为云网站自学API的技术解决方案之后，我就变成了公司的云服务器技术专家，老板或运维部门想要查询个数据什么的都来找我。 近期有一个运营项目的系统正在开发中，运营方规划了一个数据BI模板，列出了需要监测和分析的数据维度，老板干脆让我每周出一份数据报表来支持各方的数据获取和数据分析。 让研发出数据报表？这不是逼着李逵绣花么？但是，我能轻易拒绝吗？前几回高光时刻带来的成就感和光环还没褪去呢，不能怂！于是我提了一个方案：可以把云服务器的监控仪表内嵌到我们自己的系统里，这样大家可以随时查询，也方便。 老板听了这个方案表示很开心，并同意加入到项目排期中，数据查询功能与系统同期上线，以便及时跟踪运营结果。在老板的笑容里，我看到季度奖金在向我招手。 说干就干，执行力咱还是有的。用1天的时间就把程序写完了，在测试的时候发现了一个问题，数据过不来！因为通过内嵌系统登陆云服务器需要经过各种认证，步骤多不说，如果要想实现人人可查询还存在泄密的危险。 这可怎么办，系统上线的日期临近，不能因为我这部分影响到项目进展啊！当初拍着胸脯提（chui）的方（niu）案（13），难道就要失败了？ 不行，再查查！我专门联系了华为云的技术专家，得知可以通过IAM自定义代理免密登录到云服务Console页面，省去认证环节，直接登陆云服务器进行数据查询和获取。 那怎么做免密登录呢？他给了我一份文档，内容是这样的： 一、前提条件 步骤 1：创建账号I**mainA下的IAM用户userB，并授予Security Administrator和Agent Operator权限（全局服务-全局项目）。 将userB的用户名和密码配置到企业系统的配置文件中，密码建议加密存储，以便获取认证token并进一步调用IAM其他Open API。备注：有关创建IAM用户和授权相关操作请参见：创建IAM用户（https://support.huaweicloud.com/usermanual-iam/zh-cn_topic_0046611303.html） 和 创建用户组并授权 （https://support.huaweicloud.com/usermanual-iam/zh-cn_topic_0046611269.html） 步骤2：创建联邦代理所需委托IAMAgency。 委托类型选择“普通账号”，委托的账号填写“DomainA”。备注：有关创建委托相关操作请参见：创建委托（委托方操作）（https://support.huaweicloud.com/usermanual-iam/zh-cn_topic_0046613147.html） 二、华为云联邦代理登录步骤1：调用IAM API获取STS token1）使用IAM全局域名（iam.myhuaweicloud.com）调用IAM服务的API（POST /v3.0/OS-CREDENTIAL/securitytokens）获取STS token。填写"session_user"参数，发起一个POST请求。POST  https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens请求示例{     "auth": {         "identity": {             "assume_role": {                 "agency_name": "IAMAgency",                 "domain_name": "I**mainA",                 "duration-seconds": 3600,                 "session_user": {                     "name": "SessionUserName"                 }             },             "methods": [                 "assume_role"             ]         }     } } 2）获取并记录请求响应体中的STS token信息：credential.access , credential.secret, credential.securitytoken响应示例{   "credential": {     "access": "E6DX0TF2ZREQ4ZAVM5CS",     "expires_at": "2020-01-08T02:56:19.587000Z",     "secret": "w9ePum0qdfac39ErLD0UdjofYkqort6Iw2bmR6Si",     "securitytoken": "gQpjbi1ub3J0aC0..."   } }步骤2：调用IAM API获取logintoken1）使用IAM全局域名（iam.myhuaweicloud.com）调用IAM服务的API（POST /v3.0/OS-AUTH/securitytoken/logintokens）获取logintoken。发送一个POST请求。POST  https://iam.myhuaweicloud.com/v3.0/OS-AUTH/securitytoken/logintokens请求示例{     "auth": {         "securitytoken": {             "access": "LUJHNN4WB569PGAPBDFT",             "id": "gQpjbi1ub3J0a...",             "secret": "7qtrm2cku0XubixiVkBOcvMfpnu7H2mLNCUsuFR8"         }     } } 2）获取请求响应头中的X-Subject-LoginToken信息。通过委托获取临时访问密钥和securitytoken且请求体中填写session_user.name参数。返回示例{   "logintoken": {     "assumed_by": {       "user": {         "domain": {           "id": "0659ef9c9c80d4560f14c009acf9c4a0",           "name": "I**mainB"         },         "id": "0659ef9d4d00d3b81f26c009fee32b57",         "name": "IAMUserB",         "password_expires_at": "2020-02-16T02:44:57.000000Z"       }     },     "domain_id": "05262121fb00d5c30fbec013bc17a4a0",     "expires_at": "2020-01-23T03:27:26.728000Z",     "method": "federation_proxy",     "session_id": "0012c8e6adda4ce787e90585d10e3e63",     "session_name": "SessionUserName",     "user_id": "07826f367b80d2474ff9c013a48903ee",     "user_name": "I**mainA/IAMAgency"   } } 步骤3：构建联邦代理登录地址，完成免密登录联邦代理登录地址的构建规则为：https://auth.huaweicloud.com/authui/federation/login?service={target_console_url}&logintoken={logintoken}&idp_login_url={enterprise_system_loginURL}构建参数说明：l   {target_console_url}为目的云服务console地址的urlencode编码结果。l   {logintoken}为步骤2中获取到的logintoken的urlencode编码结果。l   {enterprise_system_loginURL}是选填参数，为企业客户自身的登录系统地址的urlencode编码结果。 按照文档的指引，我最终顺利解决了这个问题，项目如期上线，运营方也可以通过免密登陆自己查询和分析运营数据，及时作出优化调整，省时省事还安全。在月度例会上，我因此再一次得到了老板的肯定，开心的同时，也在心里暗想：“看来不能松懈，还得多学习啊~” 据了解，目前API Explorer平台已开放EI企业智能、计算、应用服务、网络、软件开发平台、视频等70+云服务，共上线2000+个API、6000+个错误码。在前期试运行期间，华为云API Explorer平台上的API接口也已被多家企业成功接入。点击查看详情：《华为云新功能上线，体验还能拿码豆》华为云API Explorer平台在未来几个月会实现更多功能，比如支持SDK示例代码、CLI等特性，同时也会开放更多的云服务API接口，连接更多开发者实现创新、拓宽创新边界。【拓展阅读】【API进阶之路】因为不会创建云服务器，我被实习生摆了一道【API进阶之路】前浪的绝地反击与自我证明【API进阶之路】甩锅大会上，我是如何绝地求生的【API进阶之路】一个技术预案，让老板当场喊出了“奥利给”【API进阶之路】万万没想到，一个技术方案帮实习生追到了运营妹子!【API进阶之路】一个技术盲点，差点让整个项目翻车【API进阶之路】老板给我涨薪30%！如何通过SDK接口搞定千万级流量直播【API进阶之路】半天搞定百万条手机号归属地查询，竟影响了公司战略方向！【API进阶之路】无法想象！大龄码农的硬盘里有这么多宝藏【API进阶之路】高考要考口语？一场10w+刷屏活动是如何用多模态评测API做出来的【API进阶之路】帮公司省下20万调研费！如何巧用情感分析API实现用户偏好调研【API进阶之路】逆袭！用关键词抽取API搞定用户需求洞察【华为云API学习赛】为入门初学者量身定制的学习平台，以赛带学，学以致用。参赛、邀请都有丰富奖品，还有机会拿P40 5G手机~API入门学习赛·AI人脸识别l   报名地址l   奖项设置API入门学习赛·探险寻宝之旅l   报名地址l   奖项设置

权限管理如果您需要对华为云上购买的RDS资源，为企业中的员工设置不同的访问权限，为达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制华为云资源的访问。通过IAM，您可以在华为云账号中给员工创建IAM用户，并授权控制他们对华为云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望开发人员拥有RDS的使用权限，但是不希望他们拥有删除RDS等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用RDS，但是不允许删除RDS的权限，控制他们对RDS资源的使用范围。如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用RDS服务的其它功能。IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。关于IAM的详细介绍，请参见IAM产品介绍。RDS权限默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。RDS部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果在“所有项目”中设置权限，则该权限在所有区域项目中都生效。访问RDS时，需要先切换至授权区域。根据授权精程度分为角色和策略。角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对RDS服务，管理员能够控制IAM用户仅能对某一类数据库资源进行指定的管理操作。多数细粒度策略以API接口为粒度进行权限拆分，RDS支持的API授权项请参见策略及授权项说明 。如表1所示，包括了RDS的所有系统权限。表1 RDS系统策略策略名称/系统角色描述类别依赖关系RDS FullAccess关系型数据库服务所有权限。系统策略无。RDS ReadOnlyAccess关系型数据库服务资源只读权限。系统策略无。RDS ManageAccess关系型数据库服务除删除操作外的DBA权限。系统策略无。RDS Administrator关系型数据库服务管理员。系统角色依赖Tenant Guest和Server Administrator角色，在同项目中勾选依赖的角色。表2列出了RDS常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。表2 常用操作与系统权限的关系操作RDS FullAccessRDS ReadOnlyAccessRDS ManageAccessRDS Administrator创建RDS实例√x√√删除RDS实例√xx√查询RDS实例列表√√√√表3 常用操作与对应授权项操作名称授权项备注创建数据库实例rds:instance:createrds:param:list界面选择VPC、子网、安全组需要配置：vpc:vpcs:listvpc:vpcs:getvpc:subnets:getvpc:securityGroups:get创建加密实例需要在项目上配置KMS Administrator权限。变更数据库实例的规格rds:instance:modifySpec无。扩容数据库实例的磁盘空间rds:instance:extendSpace无。单机转主备实例rds:instance:singleToHa若原单实例为加密实例，需要在项目上配置KMS Administrator权限。重启数据库实例rds:instance:restart无。删除数据库实例rds:instance:delete无查询数据库实例列表rds:instance:list无。实例详情rds:instance:list实例详情界面展示VPC、子网、安全组，需要对应配置vpc:*:get和vpc:*:list。修改数据库实例密码rds:password:update无。修改端口rds:instance:modifyPort无。修改内网IPrds:instance:modifyIp界面查询剩余ip列表需要：vpc:subnets:getvpc:ports:get修改实例名称rds:instance:modify无。修改运维时间窗rds:instance:modify无。手动主备倒换rds:instance:switchover无。修改同步模式rds:instance:modifySynchronizeModel无。切换策略rds:instance:modifyStrategy无。修改实例安全组rds:instance:modifySecurityGroup无。绑定/解绑公网IPrds:instance:modifyPublicAccess界面列出公网ip需要：vpc:publicIps:getvpc:publicIps:list设置回收站策略rds:instance:setRecycleBin无。查询回收站rds:instance:list无。开启、关闭SSLrds:instance:modifySSL无。开启、关闭事件定时器rds:instance:modifyEvent无。读写分离操作rds:instance:modifyProxy无。申请内网域名rds:instance:createDns无。备机可用区迁移rds:instance:create备机迁移涉及租户子网下的IP操作，若为加密实例，需要在项目上配置KMS Administrator权限。表级时间点恢复rds:instance:tableRestore无。透明数据加密（Transparent Data Encryption，TDE）权限rds:instance:tde仅用于SQL Server数据库实例。修改主机权限rds:instance:modifyHost无。查询对应账号下的主机rds:instance:list无。获取参数模板列表rds:param:list无。创建参数模板rds:param:create无。修改参数模板参数rds:param:modify无。应用参数模板rds:param:apply无。修改指定实例的参数rds:param:modify无。获取指定实例的参数模板rds:param:list无。获取指定参数模板的参数rds:param:list无。删除参数模板rds:param:delete无。重置参数模板rds:param:reset无。对比参数模板rds:param:list无。保存参数模板rds:param:save无。查询参数模板类型rds:param:list无。设置自动备份策略rds:instance:modifyBackupPolicy无。查询自动备份策略rds:instance:list无。创建手动备份rds:backup:create无。获取备份列表rds:backup:list无。获取备份下载链接rds:backup:download无。删除手动备份rds:backup:delete无。复制备份rds:backup:create无。查询可恢复时间段rds:instance:list无。恢复到新实例rds:instance:create界面选择VPC、子网、安全组需要配置：vpc:vpcs:listvpc:vpcs:getvpc:subnets:getvpc:securityGroups:get恢复到已有或当前实例rds:instance:restoreInPlace无。获取实例binlog清理策略rds:binlog:get无。合并binlog文件rds:binlog:merge无。下载binlog文件rds:binlog:download无。删除binlog文件rds:binlog:delete无。设置binlog清理策略rds:binlog:setPolicy无。获取数据库备份文件列表rds:backup:list无。获取历史数据库列表rds:backup:list无。查询数据库错误日志rds:log:list无。查询数据库慢日志rds:log:list无。下载数据库错误日志rds:log:download无下载数据库慢日志rds:log:download无开启、关闭审计日志rds:auditlog:operate无。获取审计日志列表rds:auditlog:list无。查询审计日志策略rds:auditlog:list无。生成审计日志下载链接rds:auditlog:download无。获取主备切换日志rds:log:list无。创建数据库rds:database:create无。查询数据库列表rds:database:list无。查询指定用户的已授权数据库rds:database:list无。删除数据库rds:database:drop无。创建数据库帐户rds:databaseUser:create无。查询数据库帐户列表rds:databaseUser:list无。查询指定数据库的已授权帐户rds:databaseUser:list无。删除数据库帐户rds:databaseUser:drop无。授权数据库帐户rds:databasePrivilege:grant无。解除数据库帐户权限rds:databasePrivilege:revoke无。任务中心列表rds:task:list无。删除任务中心任务rds:task:delete无。包周期下单bss:order:update无。用户标签操作rds:instance:modify无

本人通过个人账户新创建了个IAM账户，现想通过IAM账户登陆华为云平台上物联网平台的开发中，但是在跳转登陆过程中失败（IAM账户已经加入admin分组），一直无法进入OC平台，请问什么原因，如何解决？

智慧园区设备终端伙伴认证介绍1         概述华为智慧园区解决方案致力于为客户打造一个数字化、智慧化的园区，方案包含应用、平台、联接、端四层架构，其中“端”侧指应用在园区场景的各种弱电子系统，包括SA、FA、CA、OA、BA等。智慧园区解决方案南向伙伴即指其产品已与华为沃土数字平台南向接口完成预集成，并通过华为验证要求的业界厂家。本文档即用于介绍如何成为华为智慧园区南向终端伙伴，以及相应的操作指导。2        认证说明 认证流程整个认证流程可分为4个阶段，即：注：1.         华为SPC平台登录地址： http://partner.huawei.com/2.         华为智慧园区合作伙伴自助认证平台登录地址：https://openlab.huawei.com，平台登录需使用SPC注册账号。3.         伙伴在一个方案中可包含多个产品设备，认证完后如有新产品或换代产品，可再次发起测试并发布。4.         单产品测试通过后即会提供华为智慧园区沃土数字平台互通测试报告（后续会增加单产品技术认证证书）。5.         伙伴与华为的园区联合方案认证通过后，该方案即在华为Market Place上市发布，供一线销售人员使用，同时会颁发智慧园区“沃土数字平台南向终端”伙伴证书。具体操作步骤可参考附件1“智慧园区南向终端伙伴SPC系统操作指导”&附件2“华为智慧园区合作伙伴认证测试指导书V0.9”。3. 认证证书认证完成后，将会给伙伴颁发两类证书，一类为伙伴身份证书，证书样式见下：第二类为单产品的技术认证证书（暂只提供测试报告） 4         伙伴权益成为华为智慧园区沃土数字平台伙伴后，伙伴将享受到如下权益：

从我们登录华为云的那一刻起，就开始了与统一身份认证服务（Identity and Access Management，简称IAM）的密切接触，为啥这么说？因为连华为云的登录页面都是IAM的程序猿小哥哥做的！今天这一课我们就来聊一聊这个功能强大又操作便捷的云服务--IAM。谁能用IAM？是你，就是屏幕对面的你！权限管理--如果将你账号里的各种资源类比成一块大水果蛋糕，而你想把草莓味的只分给小A，又想把抹茶味的分给小B和小C一起吃，这就是一个典型的权限管理问题，IAM会把你的权限管理得明明白白，小A的蛋糕绝不让小B和小C看到。账号安全管理--当你在华为云上购买的资源越来越多，一定会越来越担心“盗号风险”，连家里防盗门锁都升级了，华为云的账号安全怎能不升级？了解IAM的账号安全管理，给你的资源加上多重保险，妈妈再也不用担心我的账号安全！委托--如果将你账号里的资源看成一个豪宅，而你想找一个专业的管家帮你打理豪宅内外的琐事，这就是一个典型的委托管理问题，来找IAM，帮你把你的各类委托分配的清清楚楚，如果你对你找的管家不满意，随时可以“解雇”他，取消委托关系。身份提供商--什么？一个富二代刚刚继承了家族巨额财产还有多家上市企业？霸道总裁不想为公司员工逐一创建IAM用户又点名要使用华为云？安排！身份提供商让你的员工完美单点登录，再也不用辛苦记住无数个账号密码！划重点了，如此强大怎么收费？免费！！！就是这么任性！权限管理--他只能做你同意的事使用IAM，你可以将账号内不同的资源按需分配给你创建的IAM用户，IAM用户使用自己独立的用户名和密码登录，向密码共享说NO！实现安全而精细的权限管理，同时满足企业对权限最小化的安全管控要求。例如图1：控制用户Charlie能管理项目B的VPC，而让用户James只能查看项目B中VPC的数据。了解更多请猛戳→给IAM用户授权。当前已有大量云服务支持通过IAM进行资源管理，同时在IAM内置多个云服务系统权限，如果系统权限不满足您的要求您还可以创建自定义策略。为了您的权限管理更加便捷，IAM还在不断探究新方向，总之，权限管理这一块，IAM为您承包！图1 权限管理模型账号安全管理--全力保障你的账号安全当您开始使用华为云的一刻起，保障您的账号安全就是我们首要的任务！IAM为您提供多种账号安全保护功能，您可以根据自己的需求进行开启或关闭：设置登录验证策略和密码策略，从源头保护您的账号。开启敏感操作保护，您及子用户在进行敏感操作时都需要进行身份验证。设置访问控制策略，限制用户只能从特定IP地址区间、网段及VPC Endpoint访问华为云。委托--让其他账号或者云服务管理你的资源账号委托您可以使用IAM提供的委托功能，将自己账号中的资源操作权限委托给更专业、高效的其他华为云账号，被委托的账号可以根据权限代替您进行资源运维工作。当委托关系发生变化时，您可以随时修改或撤消对代运维公司的授权。下图中账号A即为委托方，账号B为被委托方。了解更多请猛戳→委托某个云账号管理您账号下的资源云服务委托由于华为云各服务之间存在业务交互关系，一些云服务需要与其他云服务协同工作，需要您创建云服务委托，将操作权限委托给该服务，让该服务以您的身份使用其他云服务，代替您进行一些资源运维工作。了解更多请猛戳→委托某个云服务管理您账号下的资源例如：在使用Elasticsearch服务时，Elasticsearch服务请求获取您其他云服务和资源的权限，创建委托并授权后，在发生故障转移时，Elasticsearch可以使用这个委托将您的弹性IP绑定到主Elasticsearch实例，帮助您进行资源运维。身份提供商--实现企业员工一键登录上云当您希望本企业员工可以使用企业内部的认证系统登录华为云，而不需要在华为云中重新创建用户时，您可以使用IAM的身份提供商功能，建立您所在企业与华为云的信任关系，通过联合认证使员工使用企业已有账号直接登录华为云，实现单点登录。了解更多请猛戳→身份提供商身份提供商这个词可能您不太熟悉，但您的生活中一定在经常使用这个功能，举个简单的例子：小明今天第一次在“饿得很”外卖平台点外卖，觉得注册账号很麻烦，看到界面上有个按钮“使用某宝账号登录”，点击之后按照引导在某宝授权，就直接登录了“饿得很”外卖，省去了再填一遍个人信息的麻烦。这就是一个典型的联邦身份认证的场景，其中某宝是“身份提供商 IdP”，饿得很外卖平台是“服务提供商 SP”，SP和IdP通过用户授权建立信任关系实现用户单点登录，但SP不获取、储存用户信息，只获取IdP验证用户身份的结果。欢迎围观更多IAM信息IAM控制台IAM产品介绍IAM用户指南IAMAPI参考今天的小课初步介绍了IAM的基本功能，下一期，带你玩转IAM的授权功能！一起期待吧！

发文的版块名：视频服务 - 融合视频发文的标题名：遇到会话超时后，重新走登录认证流程后，紧接着的请求还是会报会话超时错误帖子内容链接：https://bbs.huaweicloud.com/forum/thread-48041-1-1.html