本章節通過簡單的用戶組授權方法，使IAM用戶“James”擁有對應集群的只讀權限。
須知：
- 集群權限僅針對與集群相關的資源（如集群、節點等）有效，您必須確保同時配置了設置命名空間權限，才能有操作Kubernetes資源（如工作負載、Service等）的權限。
- CCE提供了CCE FullAccess和CCE ReadOnlyAccess兩種策略，建議您通過默認的系統策略實現權限管理。
- 如果您需要使用自定義策略，請仔細閱讀自定義策略中可以添加的授權項（Action），如遇問題提交工單處理。
給用戶組授權之前，請您了解用戶組可以添加的CCE系統策略，并結合實際需求進行選擇。
- 您需要擁有一個帳號，僅帳號或授予了CCE Administrator權限且全局設置了Security Administrator角色的IAM用戶，才有權限進入CCE“權限管理”界面對其他IAM用戶進行授權操作。
- 如果目標IAM用戶涉及讀寫權限變更，只能由帳號授權。
- 由于IAM的安全限制，當您通過云容器引擎控制臺的授權配置涉及到帳號IAM授權的修改時，需要您按照頁面上給出的參考策略內容和操作說明，在IAM控制臺進行目標IAM用戶的手動授權。
- 權限設置完成后，需退出重新登錄才能生效。
用戶組是用戶的集合，CCE通過IAM的用戶組功能實現用戶的授權。您在IAM中創建的IAM用戶，需要加入特定用戶組后，IAM用戶才具備用戶組所擁有的權限。
關于創建用戶組并給用戶組授權的方法，可以參考如下操作：
步驟一：創建用戶組
步驟二：為用戶組授權
步驟三：創建IAM用戶并加入用戶組
步驟四：使用IAM用戶登錄并驗證權限
在“統一身份認證IAM”服務控制臺創建用戶組，并授予具有云容器引擎只讀權限的“CCE ReadOnlyAccess”策略。
用戶組是用戶的集合，IAM通過用戶組功能實現用戶的授權。您在IAM中創建的用戶，需要加入特定用戶組后，用戶才具備用戶組所擁有的權限。關于創建用戶組并給用戶組授權的方法，可以參考如下操作。
步驟 1 使用注冊的帳號登錄，登錄時請選擇“帳號登錄”。
步驟 2 在控制臺首頁菜單中單擊“云容器引擎CCE”，進入CCE控制臺。
步驟 3 單擊CCE控制臺左側導航欄中的“權限管理”，單擊“集群權限”頁簽下的“創建用戶組”。
步驟 4 進入“統一身份認證服務”控制臺的“創建用戶組”界面，輸入用戶組名稱（本例以“開發人員組”為例）。
單擊“確定”，用戶組創建完成，界面自動返回用戶組列表，列表中顯示新建的用戶組。
說明：您最多可以創建20個用戶組，如果當前資源配額無法滿足業務需要，您可以申請擴大配額。
步驟 1 在用戶組列表中，單擊新建用戶組右側操作欄的“修改”。
在用戶組修改頁面中，找到用戶組權限管理部分。
步驟 2 根據各區域（資源節點）的授權要求，分別設置每個資源節點的用戶組權限：
- 基于區域（如蘇州、青島），授權后將只在授權區域生效，如果需要所有區域都生效，則所有區域都需要進行授權操作。
步驟 3 在搜索框中搜索“CCE”，勾選需要授予用戶組的權限，本例此處選擇“CCE ReadOnlyAccess”。
步驟 4 單擊“確定”，完成用戶組授權。
IAM用戶與企業中的實際員工或是應用程序相對應，有唯一的安全憑證，可以通過加入一個或多個用戶組來獲得用戶組的權限。關于IAM用戶的創建方式請參見如下步驟。
1. 在統一身份認證服務，左側導航窗格中，單擊“用戶”>“創建用戶”。
2. 在“創建用戶”頁面填寫“用戶信息”。如需一次創建多個用戶，可以單擊“添加用戶”進行批量創建，每次最多可創建10個用戶。
用戶信息 | 說明 |
用戶名 | 必填。IAM用戶登錄的用戶名，此處以“James”和“Alice”為例。 |
郵箱 | “訪問方式”選擇“首次登錄時設置”時必填，選擇其他時選填。IAM用戶綁定的郵箱，可作為子帳戶的登錄憑證，也可由IAM用戶自己綁定。 |
手機號 | 選填。IAM用戶綁定的手機號，可作為子帳戶的登錄憑證，也可由IAM用戶自己綁定。 |
描述 | 選填。記錄IAM用戶相關信息。 |
3. 在“創建用戶”頁面選擇“訪問方式”，完成后單擊“下一步”。
訪問方式 | 配置信息 | 說明 | |
管理控制臺訪問 | 控制臺登錄密碼設置方式 | 首次登錄時設置 | 如果您不是用戶James的使用主體，建議您選擇該方式，輸入用戶的郵箱和手機，用戶James通過郵件中的一次性鏈接登錄，自行設置密碼。 |
自動生成 | 僅在創建單個用戶時適用，如果您本次創建2個及以上的用戶，則不支持此方式。 | ||
自定義 | 如果您是用戶James的使用主體，建議您選擇該方式，設置自己的登錄密碼。 | ||
登錄保護 | 開啟登錄保護 | 開啟登錄保護后，IAM用戶登錄時，除了在登錄頁面輸入用戶名和密碼外（第一次身份驗證），還需要在登錄驗證頁面輸入驗證碼（第二次身份驗證），該功能是一種安全實踐，建議開啟登錄保護，多次身份認證可以提高帳號安全性。 您可以選擇通過手機、郵箱、虛擬MFA進行登錄驗證。 | |
不開啟 | - | ||
編程訪問 | -- | -- | 創建用戶完成后即可下載本次創建的所有用戶的管理訪問密鑰。一個用戶最多擁有兩個訪問密鑰。這些AK/SK可以對進行編程調用，例如，通過API調用方式訪問時，您可能需要使用訪問密鑰。 |
說明：
- 用戶可以使用此處設置的用戶名、郵箱或手機號碼任意一種方式登錄。
- 當用戶忘記密碼時，可以通過此處綁定的郵箱或手機自行重置密碼，如果用戶沒有綁定郵箱或手機號碼，只能由管理員重置密碼。
- 用戶登錄系統時，輸入用戶名和初始密碼后，將進入“首次登錄修改密碼”，需要創建一個新密碼，該功能可以保證用戶的密碼是由使用者本人所設置，防止密碼泄露。
4. 單擊“下一步”，將用戶加入到用戶組（可選）。
? 選擇新創建的用戶組“開發人員組”。將用戶加入用戶組，用戶將具備用戶組的權限，這一過程即給該用戶授權。其中“admin”為系統缺省提供的用戶組，具有管理人員以及所有云服務資源的操作權限。
? 如需創建新的用戶組，可單擊“創建用戶組”，填寫用戶組名稱和描述（可選），創建成功后即可將用戶加入到新創建的用戶組中。
5. 單擊“下一步”，IAM用戶創建成功，用戶列表中顯示新創建的IAM用戶。如果在訪問方式中勾選了“編程訪問”，可在此頁面下載訪問密鑰。
IAM用戶創建完成后，可以使用新用戶的用戶名及身份憑證登錄驗證權限，即“CCE ReadOnlyAccess”權限。
步驟 1 在登錄頁面，單擊右下角的“IAM用戶登錄”。
步驟 2 在“IAM用戶登錄”頁面，輸入帳號名、用戶名及用戶密碼，使用新創建的IAM用戶登錄。
- 帳號名為該IAM用戶所屬帳號的名稱。
- 用戶名和密碼為創建IAM用戶“James”時輸入的用戶名和密碼，首次登錄時需要重置密碼。
如果登錄失敗，您可以聯系您的帳號主體，確認用戶名及密碼是否正確，或是重置用戶名及密碼。
步驟 3 使用IAM用戶“James”登錄成功后，進入控制臺，請先切換至授權區域。
步驟 4 在“服務列表”中選擇“云容器引擎 CCE”，返回CCE控制臺主界面，對IAM用戶James的集群權限進行驗證。
驗證方式（參考）：您可以嘗試創建一個集群或休眠一個已創建的集群，此時如果提示“您的權限不足。”，則表明您為James用戶設置的“CCE ReadOnlyAccess”只讀權限策略已生效。
