文档中心

介绍

多用户访问控制，主要用于帮助用户管理云账户下资源的访问权限，适用于企业内的不同角色，可以对不同的工作人员赋予使用产品的不同权限，当您的企业存在多用户协同操作资源时，推荐您使用多用户访问控制。

适用于下列使用场景：

• 中大型企业客户：对公司内多个员工授权管理；
• 偏技术型vendor或SAAS的平台商：对代理客户进行资源和权限管理；
• 中小开发者或小企业：添加项目成员或协作者，进行资源管理。

多用户访问控制实现了企业或组织内部不同人员乃至不同部门协同地管理和使用BMR资源的功能。在BMR中，我们将集群和定时任务视为资源。协同工作的方式是主用户需要创建子用户，并为子用户分配访问策略。

下面简单介绍一下访问策略：

我们将访问控制策略分为权限和资源两个维度。其中，权限是指用户可执行的动作，如创建、删除，查看，修改等；资源是指集群或定时任务。权限又被分为粗粒度和细粒度两种，粗粒度权限是指不限定具体的资源的权限，一个粗粒度权限可对应多个细粒度权限；而细粒度权限需要选定某一个或多个资源。被赋予某种策略的子用户将会具有相应资源的相应访问权限。

下面举几个策略的例子：

ACL{ //该策略为对全部资源具有READ粗粒度权限；
"resource": ["*"], //资源
"permission": [ //权限
         "READ"
]
}；


ACL{ //该策略为对某个集群具有ScaleCluster（扩缩容）细粒度权限；
"resource": ["cluster/ clusterID"], //资源
"permission": [ //权限
         " ScaleCluster"
]
}。

说明：

• BMR所有资源均归属于主用户，子用户所创建或删除的资源均计费于主用户之下。
• 未对集群模板做权限控制，对集群模板的操作，子用户与主用户权限相同。
• 每次策略变动将在5分钟后生效。

创建子用户

1. 主账号用户登录后在控制台选择“多用户访问控制”进入用户管理页面。

   

2. 在左侧导航栏点击“用户管理”，在“子用户管理列表”页，点击“新建用户”。
3. 在弹出的“新建用户”对话框中，完成填写“用户名”和确认，返回“子用户管理列表”区可以查看到刚刚创建的子用户。

配置策略

权限策略有两种类型：系统权限策略 和 自定义权限策略。分别实现BMR的产品级权限和资源级权限控制。

• 系统策略：百度智能云系统为管理资源而预定义的权限集，这类策略可直接为子用户授权，用户只能使用而不能修改。
• 自定义策略：由用户自己创建，更细化的管理资源的权限集，可以针对单个实例配置权限，更加灵活的满足账户对不同用户的差异化权限管理。

系统策略

点击『策略管理』，进入策略管理页面。系统策略为BMR为用户预置的策略，用户无法进行修改，在右侧搜索框输入”bmr”即可看到全部BMR系统策略。

BMR提供以下四个系统策略，权限范围详细如下：

自定义策略

子用户通过点击“创建策略”，填写策略名称并选择服务类型为“MapReduce BMR”添加自定义策略来进行自定义权限添加，自定义策略的添加有配置策略生成器和编辑策略文件两种方式，其中策略生成器中仅可选择细粒度权限，而编辑策略文件中可选粗粒度和细粒度权限，用户可以根据具体的权限设置修改策略内容。

策略生成器

关于策略生成器，我们可以看到集群和定时任务两种资源。资源对应的复选框为相应资源的细粒度权限，选择完权限后，在资源选择中点击不同的region，可以看到region下的资源，选择资源后，点击完成。

说明：集群和定时任务是并列的两种资源，可以在同一个策略中配置两种资源的权限，也可仅配置其中一个。

编辑策略文件

策略文件本质上是一个JSON文件，文件中permission和resource用来定义权限和资源。为方便用户编辑，在permission列表中，默认列出了全部的粗细粒度权限，用户可根据需求对列表中元素进行删减。

注意： 策略文件中的字段项不可增删（如service、region等），且名称不可改变。

策略文件中，全部字段的含义如下：

用户授权

在“用户管理->子用户管理列表页”的对应子用户的“操作”列选择“添加权限”，并为用户选择系统权限或自定义策略进行授权。

说明： 如果在不修改已有策略规则的情况下修改某子用户的权限，只能通过删除已有的策略并添加新的策略来实现，不能取消勾选已经添加过的策略权限。

相关服务授权

为使子用户能够正常使用BMR服务，还需要为其授予百度智能云内其他相关服务的权限，相关服务的权限策略及影响范围如下：

以上策略，均可在系统策略中找到。

子用户登录

主账号完成对子用户的授权后，可以将链接发送给子用户；子用户可以通过IAM用户登录链接登录主账号的管理控制台，根据被授权的策略对主账户资源进行操作和查看。

其他详细操作参考：多用户访问控制。

权限模型

选择一个粗粒度权限策略表示选择了该粗粒度权限对应的全部细粒度权限。从命名中可以看出，粗粒度权限名为全部大写字符，细粒度权限名为驼峰式命名。

说明：

• LIST_ALL_STEP粗粒度权限可访问全部作业列表，包括集群页面下作业列表；
• READ粗粒度权限，或指定集群ID的ReadStep细粒度权限仅可访问集群页面下作业列表，同时该权限可查看作业详情。