华为云用户手册

请求示例 基于委托为企业项目授权。 PUT /v3.0/OS-PERMISSION/subjects/agency/scopes/enterprise-project/role-assignments{ "role_assignments": [ { "agency_id": "as0d9f8asdfasdfa09sd8f9aaa", "enterprise_project_id": "3asdfs0d9f8asdfasdfa09sd8f9aaa", "role_id": "5s0d9f8dafsdfasdfa09sd8f9aaa" } ]}

响应示例 状态码： 200 请求成功。 状态码： 400 请求参数出错。 { "error" : { "message" : "Illegal request", "code" : 400, "title" : "Bad Request" }} 状态码： 401 认证失败。 { "error" : { "message" : "Authentication failed", "code" : 401, "title" : "Unauthorized" }} 状态码： 403 没有操作权限。 { "error" : { "message" : "Forbidden operation", "code" : 403, "title" : "Forbidden" }}

URI PUT /v3.0/OS-PERMISSION/enterprise-projects/{enterprise_project_id}/groups/{group_id}/roles/{role_id} 表1 路径参数 参数 是否必选 参数类型 描述 enterprise_project_id 是 String 企业项目ID。 group_id 是 String 用户组ID。 role_id 是 String 角色ID。 说明： 请确认该角色支持为企业项目授权。查看支持企业项目授权的云服务。

URI DELETE /v3.0/OS-PERMISSION/enterprise-projects/{enterprise_project_id}/groups/{group_id}/roles/{role_id} 表1 路径参数 参数 是否必选 参数类型 描述 enterprise_project_id 是 String 企业项目ID。 group_id 是 String 用户组ID。 role_id 是 String 权限ID。

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 已认证的拥有iam:permissions:revokeRoleFromGroupOnEnterpriseProject细粒度权限或Security Administrator权限的token。同时要求group_id所属账号的domain_id与Token中的domain_id一致。

请求 Request Header参数说明 参数 是否必选 类型 说明 X-Auth-Token 是 String 已认证的拥有Security Administrator权限的token。 Content-Type 是 String 该字段内容填为“application/json;charset=utf8”。 请求样例 curl -i -k -H "X-Auth-Token:$token" -H 'Content-Type:application/json;charset=utf8' -X GET https://iam.myhuaweicloud.com/v3.0/OS-PAP/enterprise-projects/535fb147-6148-4c71-a679-b79a2cb0e.../groups/10d8104f395d43468094753f28692.../roles

响应 Reponse Body参数说明 参数 是否必选 类型 说明 roles 是 JSONArray 权限的详细信息或者列表。 role格式说明 参数 是否必选 类型 说明 display_name 是 String 权限在界面中的名称。 description 是 String 权限的英文描述。 description_cn 是 String 权限的中文描述。 domain_id 是 String 用户组绑定的是自定义策略，该参数为创建该自定义策略用户的租户ID。 用户组绑定的是系统策略，该参数为空：null。 flag 否 String fine_grained，标识系统内置的细粒度权限Role catalog 是 String 权限所属目录。 用户组绑定的是自定义策略时，权限所属目录为“CUSTOMED”。 用户组绑定的是系统预置策略时，权限所属目录为云服务名称，例如：ECS。 policy 是 Dict 权限的详情。请参见：•policy格式说明。 id 是 String 权限的ID。 type 是 String 权限的显示位置，其中： AX表示在全局项目中显示 XA表示在除全局项目外的其他项目中显示 说明： 权限的显示位置只能为AX或者XA，不能在全局项目和其他项目中都显示（AA），或者在全局项目和其他项目中都不显示（XX）。 name 是 String 权限在系统内部的名称。 policy格式说明 参数 是否必选 类型 说明 Version 是 String 策略的版本号。 Statement 是 JSONArray 策略授权语句，限制8个。包括了基本元素：作用（Effect）和权限集（Action）。 Statement格式说明 参数 是否必选 类型 说明 Effect 是 String 允许（Allow）和拒绝（Deny），当策略中既有Allow又有Deny的授权语句时，遵循Deny优先的原则。 Action 是 StringArray 权限集，对资源的具体操作权限，不能超过100个。 格式为： 服务名:资源类型:操作，例如：vpc:ports:create。 “服务名”为产品名称，例如ecs、evs和vpc等，服务名仅支持小写。 “资源类型”和“操作”没有大小写要求，支持通配符号*，用户不需要罗列全部授权项，通过配置通配符号*可以方便快捷地实现授权。 响应样例（响应成功） { "roles": [ { "display_name": "Customed ECS Viewer", "description": "The read-only permissions to all ECS resources, which can be used for statistics and survey.", "domain_id": "9698542758bc422088c0c3eabf...", "catalog": "CUSTOMED", "policy": { "Version": "1.1", "Statement": [ { "Action": [ "ecs:*:get*", "ecs:*:list*", "ecs:blockDevice:use", "ecs:serverGroups:manage", "ecs:serverVolumes:use", "evs:*:get*", "evs:*:list*", "vpc:*:get*", "vpc:*:list*", "ims:*:get*", "ims:*:list*" ], "Effect": "Allow" } ] }, "id": "24e7a89bffe443979760c4e9715c1...", "type": "XA", "name": "custom_9698542758bc422088c0c3eabfc30d1..." } ] }

URI PUT /v3/OS-INHERIT/domains/{domain_id}/groups/{group_id}/roles/{role_id}/inherited_to_projects 表1 路径参数 参数 是否必选 参数类型 描述 domain_id 是 String 用户组所属帐号ID，获取方式请参见：获取帐号、IAM用户、项目、用户组、区域、委托的名称和ID。 group_id 是 String 用户组ID，获取方式请参见：获取帐号、IAM用户、项目、用户组、区域、委托的名称和ID。 role_id 是 String 权限ID，获取方式请参见：获取权限ID。

响应示例 状态码： 200 请求成功。 { "groups" : [ { "createTime" : 1552093271000, "description" : null, "domainId" : "dc7f62ae236c47b8836014c16d64d...", "id" : "e6bde2403bda43e2813a1a6848963...", "name" : "auth" } ] }

响应参数 状态码为 200 时： 表3 响应Body参数 参数 参数类型 描述 groups Array of objects 用户组信息。 表4 ListGroupsForEnterpriseProjectResDetail 参数 参数类型 描述 createTime Integer 用户组创建时间。 description String 用户组描述。 domainId String 帐号ID。 id String 用户组ID。 name String 用户组名称。

URI URI格式 DELETE /v3.0/OS-PAP/enterprise-projects/{enterprise_project_id}/groups/{group_id}/roles/{role_id} URI参数说明 属性 是否必选 类型 说明 enterprise_project_id 是 String 企业项目的ID。 group_id 是 String 用户组的ID。 role_id 是 String 关联的role的ID。

请求 Request Header参数说明 参数 是否必选 类型 说明 X-Auth-Token 是 String 已认证的拥有Security Administrator权限的token。 Content-Type 是 String 该字段内容填为“application/json;charset=utf8”。 请求样例 curl -i -k -H "X-Auth-Token:$token" -H 'Content-Type:application/json;charset=utf8' -X DELETE https://iam.myhuaweicloud.com/v3.0/OS-PAP/enterprise-projects/535fb147-6148-4c71-a679-b79a2cb0e.../groups/10d8104f395d43468094753f28692.../roles/013ad036ee4c4d108327f02cbb479...

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 已认证的拥有iam:permissions:listGroupsOnEnterpriseProject细粒度权限或Security Administrator权限的token。同时要求enterprise_project_id所属帐号的domain_id与Token中的domain_id一致。

URI URI格式 PUT /v3.0/OS-PAP/enterprise-projects/{enterprise_project_id}/groups/{group_id}/roles/{role_id} URI参数说明 属性 是否必选 类型 说明 enterprise_project_id 是 String 企业项目的ID。 group_id 是 String 待授权用户组的ID。 role_id 是 String 权限的ID。只能给用户组授予细粒度权限策略（包括系统策略和自定义策略），细粒度策略即策略版本号为1.1的策略。

请求 Request Header参数说明 参数 是否必选 类型 说明 X-Auth-Token 是 String 已认证的拥有Security Administrator权限的token。 Content-Type 是 String 该字段内容填为“application/json;charset=utf8”。 请求样例 curl -i -k -H "X-Auth-Token:$token" -H 'Content-Type:application/json;charset=utf8' -X PUT https://iam.myhuaweicloud.com/v3.0/OS-PAP/enterprise-projects/535fb147-6148-4c71-a679-b79a2cb0e.../groups/10d8104f395d43468094753f28692.../roles/013ad036ee4c4d108327f02cbb479...

响应 Reponse Body参数说明 参数 是否必选 类型 说明 groups 是 Array 企业项目关联的用户组详情。 groups格式说明 参数 是否必选 类型 说明 group_id 是 String 关联用户组的ID。 group_name 是 String 关联用户组的名称。 group_desc 是 String 关联用户组的描述。 user_num 是 Int 关联用户组中的用户数。 policy_num 是 Int 关联用户组的策略数。 created_at 是 Int 关联用户组创建的时间（Unix时间：毫秒）。 响应样例：查询的企业项目关联了用户组。 { "groups": [ { "group_id": "758b99fa1fa24ec4a297d44e092bd...", "group_name": "Test", "group_desc": "Test", "user_num": 4, "policy_num": 1, "created_at": 1549088526... } ]}

请求 Request Header参数说明 参数 是否必选 类型 说明 X-Auth-Token 是 String 已认证的拥有Security Administrator权限的token。 Content-Type 是 String 该字段内容填为“application/json;charset=utf8” 请求样例 curl -i -k -H "X-Auth-Token:$token" -H 'Content-Type:application/json;charset=utf8' -X GET https://iam.myhuaweicloud.com/v3.0/OS-PAP/enterprise-projects/535fb147-6148-4c71-a679-b79a2cb0ee5d/groups

响应示例 状态码为 200 时: 请求成功。 { "quotas" : { "resources" : [ { "max" : 1000, "min" : 50, "quota" : 50, "type" : "user", "used" : 10 }, { "max" : 300, "min" : 10, "quota" : 20, "type" : "group", "used" : 8 }, { "max" : 20, "min" : 10, "quota" : 10, "type" : "idp", "used" : 9 }, { "max" : 300, "min" : 10, "quota" : 50, "type" : "agency", "used" : 12 }, { "max" : 300, "min" : 128, "quota" : 200, "type" : "policy", "used" : 8 }, { "max" : 500, "min" : 50, "quota" : 200, "type" : "assigment_group_mp", "used" : 8 }, { "max" : 500, "min" : 50, "quota" : 200, "type" : "assigment_agency_mp", "used" : 8 }, { "max" : 5000, "min" : 50, "quota" : 500, "type" : "assigment_group_ep", "used" : 8 }, { "max" : 5000, "min" : 50, "quota" : 500, "type" : "assigment_user_ep", "used" : 8 }, { "max" : 100, "min" : 10, "quota" : 10, "type" : "mapping", "used" : null } ] } }

URI GET /v3.0/OS-QUOTA/domains/{domain_id} 表1 路径参数 参数 是否必选 参数类型 描述 domain_id 是 String 待查询的帐号ID，获取方式请参见：获取帐号、IAM用户、项目、用户组、区域、委托的名称和ID 表2 Query参数 参数 是否必选 参数类型 描述 type 否 String 查询配额的类型，取值范围如下。 user：IAM用户配额 group：用户组配额 idp：身份提供商配额 agency：委托配额 policy：自定义策略配额 assigment_group_mp：一个用户组基于IAM项目可绑定的权限配额 assigment_agency_mp：一个委托可绑定的权限配额 assigment_group_ep：一个用户组基于企业项目可绑定的权限配额 assigment_user_ep：一个用户基于企业项目可绑定的权限配额 mapping：帐号中所有身份提供商映射规则配额

响应参数 状态码为 200 时: 表4 响应Body参数 参数 参数类型 描述 quotas Object 帐号配额信息。 表5 quotas 参数 参数类型 描述 resources Array of objects 资源信息。 表6 resources 参数 参数类型 描述 max Integer 配额最大值。 min Integer 配额最小值。 quota Integer 当前配额。 type String 配额类型。 used Integer 已使用的配额。 其中身份提供商映射规则mapping已使用数量为用户自行设置，暂不返回。

响应消息体 响应消息体通常以结构化格式返回，与响应消息头中Content-type对应，传递除响应消息头之外的内容。 对于获取IAM用户Token（使用密码）接口，返回如下消息体。为篇幅起见，这里只展示部分内容。 { "token": { "expires_at": "2019-02-13T06:52:13.855000Z", "methods": [ "password" ], "catalog": [ { "endpoints": [ { "region_id": "cn-north-1",...... 当接口调用出错时，会返回错误码及错误信息说明，错误响应的Body体格式如下所示。 { "error_msg": "The format of message is error", "error_code": "AS.0001"} 其中，error_code表示错误码，error_msg表示错误描述信息。

Token认证 Token的有效期为24小时，需要使用同一个Token鉴权时，可以缓存起来，避免频繁调用。 Token在计算机系统中代表令牌（临时）的意思，拥有Token就代表拥有某种权限。Token认证就是在调用API的时候将Token加到请求消息头，从而通过身份认证，获得操作API的权限。 Token可通过调用获取IAM用户Token（使用密码）接口获取，调用本服务API需要全局级别的Token，即调用获取IAM用户Token（使用密码）接口时，请求body中auth.scope的取值需要选择domain，如下所示。 { "auth": { "identity": { "methods": [ "password" ], "password": { "user": { "domain": { "name": "IAMDomain" }, "name": "IAMUser", "password": "IAMPassword" } } }, "scope": { "domain": { "name": "IAMDomain" } } }} 获取Token后，再调用其他接口时，您需要在请求消息头中添加“X-Auth-Token”，其值即为获取到的Token。例如Token值为“ABCDEFJ....”，则调用接口时将“X-Auth-Token: ABCDEFJ....”加到请求消息头即可，如下所示。 GET https://iam.cn-north-1.myhuaweicloud.com/v3/auth/projectsContent-Type: application/jsonX-Auth-Token: ABCDEFJ....

AK/SK认证 AK/SK签名认证方式仅支持消息体大小12M以内，12M以上的请求请使用Token认证。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 AK(Access Key ID)：访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名。 SK(Secret Access Key)：与访问密钥ID结合使用的密钥，对请求进行加密签名，可标识发送方，并防止请求被修改。 使用AK/SK认证时，您可以基于签名算法使用AK/SK对请求进行签名，也可以使用专门的签名SDK对请求进行签名。详细的签名方法和SDK使用方法请参见：API签名指南。 签名SDK只提供签名功能，与服务提供的SDK不同，使用时请注意。

响应参数 表3 响应Body参数 参数 参数类型 描述 config Object 配置信息。 表4 config 参数 参数类型 描述 password_regex String 密码强度策略的正则表达式。(当option为password_regex时返回) password_regex_description String 密码强度策略的描述。(当option为password_regex_description时返回)

URI GET /v3/domains/{domain_id}/config/security_compliance/{option} 表1 路径参数 参数 是否必选 参数类型 描述 domain_id 是 String 待查询的帐号ID，获取方式请参见：获取帐号、IAM用户、项目、用户组、区域、委托的名称和ID。 option 是 String 查询条件。该字段内容为：password_regex或password_regex_description。 password_regex：密码强度策略的正则表达式；password_regex_description：密码强度策略的描述。 取值范围： password_regex password_regex_description

请求示例 按照条件查询帐号密码强度策略，option为password_regex。 GET https://iam.myhuaweicloud.com/v3/domains/{domain_id}/config/security_compliance/password_regex 按照条件查询帐号密码强度策略，option为password_regex_description。 GET https://iam.myhuaweicloud.com/v3/domains/{domain_id}/config/security_compliance/password_regex_description

响应示例 状态码为 200 时: 请求成功。 示例1：option为password_regex。 示例2：option为password_regex_description。 示例 1 { "config": { "password_regex": "^(?![A-Z]*$)(?![a-z]*$)(?![\\d]*$)(?![^\\W]*$)\\S{6,32}$" }} 示例 2 { "config": { "password_regex_description": "The password must contain at least two of the following character types: uppercase letters, lowercase letters, digits, and special characters, and be a length between 6 and 32." }}

企业项目管理 接口 说明 查询企业项目关联的用户组 该接口用于查询指定ID的企业项目所关联的用户组。 查询企业项目关联用户组的权限 该接口用于查询指定ID的企业项目所关联用户组的权限，适用于待查询的企业项目已关联了用户组。 基于用户组为企业项目授权 该接口用于给指定ID的企业项目授权，建立企业项目、用户组和权限的绑定关系。 删除企业项目关联用户组的权限 该接口提供删除某个企业项目关联的用户组权限。 查询用户组关联的企业项目 该接口可用于查询用户组所关联的企业项目。 查询用户直接关联的企业项目 该接口可用于查询用户所关联的企业项目。 查询企业项目直接关联用户 该接口可用于查询企业项目直接关联用户。 查询企业项目直接关联用户的权限 该接口可用于查询企业项目直接关联用户的权限。 基于用户为企业项目授权 该接口可用于基于用户为企业项目授权。 删除企业项目直接关联用户的权限 该接口可用于删除企业项目直接关联用户的权限，

安全设置 接口 说明 修改帐号操作保护策略 该接口可以用于管理员修改帐号操作保护策略。 查询帐号操作保护策略 该接口可以用于查询帐号操作保护策略。 修改帐号密码策略 该接口可以用于管理员修改帐号密码策略。 查询帐号密码策略 该接口可以用于查询帐号密码策略。 修改帐号登录策略 该接口可以用于管理员修改帐号登录策略。 查询帐号登录策略 该接口可以用于查询帐号登录策略。 修改帐号控制台访问策略 该接口可以用于管理员修改帐号控制台访问策略。 查询帐号控制台访问策略 该接口可以用于查询帐号控制台访问控制策略。 修改帐号接口访问策略 该接口可以用于管理员修改帐号接口访问策略。 查询帐号接口访问策略 该接口可以用于查询帐号接口访问控制策略。

联邦身份认证管理 接口 说明 通过联邦认证获取Token（SP initiated方式） 通过Openstack Client和ShibbolethECP Client获取联邦认证Token。 通过联邦认证获取Token（IdP initiated方式） 以“Client4ShibbolethIdP”脚本为例，介绍IdP initiated方式获取联邦认证Token的方法。 查询身份提供商列表 该接口可以用于查询身份提供商列表。 查询身份提供商详情 该接口可以用于查询身份提供商详情。 创建身份提供商 该接口可以用于管理员注册身份提供商。 修改SAML身份提供商配置 该接口可以用于管理员更新身份提供商。 删除SAML身份提供商 该接口可以用于管理员删除身份提供商。 查询映射列表 该接口可以用于查询映射列表。 查询映射详情 该接口可以用于查询映射详情。 注册映射 该接口可以用于管理员注册映射。 更新映射 该接口可以用于管理员更新映射。 删除映射 该接口可以用于管理员删除映射。 查询协议列表 该接口可以用于查询协议列表。 查询协议详情 该接口可以用于查询协议详情。 注册协议 该接口可以用于管理员注册协议（将协议关联到某一身份提供商）。 更新协议 该接口可以用于管理员更新协议。 删除协议 该接口可以用于管理员删除协议。 查询Metadata文件 该接口可以用于管理员查询身份提供商导入到IAM中的Metadata文件。 查询Keystone的Metadata文件 该接口可以用于查询keystone的Metadata文件。 导入Metadata文件 该接口可以用于管理员导入Metadata文件。 获取联邦认证unscoped token(IdP initiated) 该接口可以用于通过IdP initiated的联邦认证方式获取unscoped token。 获取联邦认证scoped token 该接口可以用于通过联邦认证方式获取scoped token。 获取联邦认证token(OpenID Connect ID token方式) 该接口可以用于通过OpenID Connect ID token方式获取联邦认证token。 获取联邦认证unscoped token(OpenID Connect ID token方式) 该接口可以用于通过OpenID Connect ID token方式获取联邦认证unscoped token。 查询联邦用户可以访问的帐号列表 该接口用于查询联邦用户可以访问的帐号列表。