CIAM基本概念

CIAM 賬戶 (CIAM Account)

賬(zhang)戶是資源歸(gui)屬(shu)、資源使用(yong)(yong)計(ji)量計(ji)費主體。當用(yong)(yong)戶開始使用(yong)(yong)云服務時，首(shou)先(xian)需要注冊一個賬(zhang)戶。賬(zhang)戶為其(qi)名(ming)下(xia)所擁有(you)的(de)資源付(fu)費，并對其(qi)名(ming)下(xia)所有(you)資源擁有(you)完全(quan)權限(xian)。

默認情(qing)況下，資源只能(neng)被(bei)屬(shu)主訪問，任何其他(ta)用戶(hu)訪問都需要獲得屬(shu)主的(de)顯式(shi)授權。所以從權限管理的(de)角度來看，賬(zhang)戶(hu)就是操作(zuo)系統的(de)root或Administrator，所以我們有時稱它(ta)為“根賬(zhang)戶(hu)”或“主賬(zhang)戶(hu)”。

每個賬戶(hu)創(chuang)建時自(zi)動生成AccessKey/SecretKey，賬戶(hu)使用其AccessKey/SecretKey來訪問其名下(xia)資源。所以賬戶(hu)應(ying)該(gai)小心其保存其密鑰對，任(ren)何情況下(xia)都不應(ying)該(gai)向其他人泄露密鑰對信(xin)息。當用戶(hu)發(fa)現其密鑰對泄露時，應(ying)立即更換。

CIAM子用戶 (CIAM User)

CIAM允許在(zai)一個賬戶(hu)下創建多個CIAM子(zi)用(yong)戶(hu)（可以(yi)對應企業內的員工、系統(tong)或應用(yong)程序）。不(bu)同于CIAM賬戶(hu)，CIAM子(zi)用(yong)戶(hu)不(bu)擁有資源，沒有獨立的計(ji)量計(ji)費，這些由CIAM賬戶(hu)統(tong)一負(fu)責。

CIAM子用(yong)戶(hu)歸隸屬CIAM賬戶(hu)，只能在CIAM賬戶(hu)下(xia)可(ke)見。默認情況(kuang)下(xia)CIAM子用(yong)戶(hu)沒有任何資源訪問權限，CIAM子用(yong)戶(hu)在獲得CIAM賬戶(hu)的(de)授權后方可(ke)訪問其下(xia)的(de)資源。

CIAM群組 (CIAM User Group)

通過CIAM子用(yong)戶(hu)，每個CIAM 賬戶(hu)可以(yi)控(kong)制自己(ji)的(de)資源(yuan)訪問(wen)。通過CIAM群(qun)組(zu)(zu)，可以(yi)將同一個賬戶(hu)下的(de)多個CIAM子用(yong)戶(hu)組(zu)(zu)織起(qi)來，以(yi)CIAM群(qun)組(zu)(zu)為單位管(guan)理(li)資源(yuan)訪問(wen)，可極大簡化(hua)多用(yong)戶(hu)的(de)權限管(guan)理(li)。

CIAM賬戶、群(qun)組和子用戶之間的關系如下(xia)圖所示：

授權策略（CIAM Policy）

授(shou)權策略是一組權限的(de)集合，它以一種(zhong)(zhong)策略語言形式來(lai)描(miao)述，每種(zhong)(zhong)授(shou)權策略描(miao)述特定資(zi)源的(de)訪問權限。

通過給用(yong)戶(hu)(hu)或(huo)群組(zu)附加授權(quan)策略，用(yong)戶(hu)(hu)或(huo)群組(zu)中的所有用(yong)戶(hu)(hu)就(jiu)能獲(huo)得授權(quan)策略中指定的訪問權(quan)限。

一個典(dian)型(xing)的授(shou)權策略如下：

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "cec:Describe*",
            "Resource": "ccs:cec:cn-hangzhou:*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cos:ListObjects",
                "cos:GetObject"
            ],
            "Resource": [
                "ccs:cos:*:*:mybucket",
                "ccs:cos:*:*:mybucket/*"
            ]
        }
    ]
}

用戶(hu)的資源訪問控制便(bian)是將各(ge)種云(yun)資源通過(guo)授權策(ce)略綁定(ding)至其他用戶(hu)。

資源

資源是云服務抽(chou)象(xiang)出來的操作對象(xiang)， 比如COS的桶或者(zhe)對象(xiang)， CEC實例(li)等， 資源格式定義如下：

 ccs::::

• ccs：云平臺縮寫；
• service-name：云服務名稱，如CEC，COS等；
• region： 數據中心名稱；
• account-Id：賬號Id；
• resource-relative-Id：每個服務定義的資源描述，在COS里，"ccs:cos::123456789:bucket/1.txt" 表示一個對象；

操作

操作是對云服務的(de)資源進行(xing)訪問的(de)動作的(de)抽(chou)象， 比如在COS某個(ge)桶(tong)里面上傳(chuan)文件，關(guan)閉CEC某個(ge)實例等，操作格(ge)式定義如下：

:

• service-name：云服務名稱，如CEC，COS等；
• action：跟具體的服務相關，對應云服務的某個接口名，比如 cec:StopInstance（停止云主機實例）， cos:GetObject（下載cos文件）；