IAM 是什么
IAM 是华为云的身份与访问管理服务，管理用户、用户组、委托与策略，并用企业项目做资源维度的分组。与常见的账号内授权体系相比，华为云多了一层企业项目概念：IAM 策略与企业项目叠加生效，权限排查时必须同时看两个维度。
基本信息
| 核心对象 | IAM 用户、用户组、委托与策略 |
|---|---|
| 委托机制 | 把权限授权给其他账号或云服务，支撑免密访问 |
| 企业项目 | 资源按项目分组，与 IAM 策略叠加生效 |
| 区域特性 | 控制台与 API 均按区域访问，命令行调用需显式指定区域 |
| 默认行为 | 未授予的权限默认拒绝，需要显式授权 |
| 统一身份 | 企业可对接统一身份认证，把员工账号与云上权限联动 |
对象与用途对照
| 对象 | 作用 | 典型用法 |
|---|---|---|
| IAM 用户 | 代表人员或程序身份 | 每位运维一个账号，程序单独一个账号 |
| 用户组 | 身份集合，统一绑定策略 | 按运维、开发、财务分组建策略 |
| 委托 | 把权限授予其他账号或云服务 | 云服务代运维、跨账号访问 |
| 企业项目 | 资源分组维度 | 按业务线隔离资源与费用 |
| 策略 | 定义允许的动作与资源范围 | 系统策略起步，按需自定义收窄 |
常用查询命令
常用查询命令
hcloud IAM KeystoneListUsers --cli-region=cn-north-4 # 列出 IAM 用户
hcloud IAM KeystoneListGroups --cli-region=cn-north-4 # 列出用户组
hcloud IAM ListPolicies --cli-region=cn-north-4 # 查看策略清单
# 华为云 CLI 需显式带上区域参数，缺失时会直接报参数错误企业项目与 IAM 策略同时配置时，排查权限问题要两个维度都检查：先看身份是否被授予该操作，再看目标资源是否在对应企业项目下、以及项目级权限是否覆盖该操作。只查一处常常得出错误结论。
给云服务建委托时授权的资源范围要按需收窄：委托一旦建立，被授权方即可按授权范围操作资源，范围过宽等同于把管理权交出去。定期复核委托清单，清理项目结束后不再使用的授权。