应用身份服务：托管云账号

第一步：发起托管

在云平台特权管理 > 云账号管理页签点击托管云账号，页面会提示：选择需要纳入 PAM 特权管理的云账号，托管后可为其配置权限模板，授权用户进行 SSO 登录或按需进行 JIT 申请。若列表中还没有可选云账号，先点击添加云账号。

第二步：填写云账号信息

添加云账号的第一步为云账号信息，需要确认三项内容：

• 云厂商：当前支持阿里云。

• 账号类型：可选当前账号或其他账号。选择当前账号时，系统会自动带出当前登录的阿里云账号 ID，并显示「应用身份服务授权：授权成功」；选择其他账号时需要手动填写目标云账号的账号 ID。

• 身份提供商名称：即将在云账号 RAM 中创建的 OIDC 身份提供商名称，命名规则为必须以 idaas-eiam- 为前缀，最多 128 个字符，创建后不可更改，建议保留系统默认值 idaas-eiam-oidc-provider。

第三步：完成统一身份配置

第二步统一身份配置即在目标云账号中创建供 IDaaS 使用的系统角色。页面说明为：为实现安全自动的云集成，IDaaS 需您在对应云账号中创建一个专用 RAM 角色，并授予最小只读权限；IDaaS 将扮演该角色完成自动发现并同步云角色列表、拉取主机与容器等云资产信息、校验身份提供商的合规性等工作。该步骤包含四个子操作：

1. 创建权限策略。前往阿里云 RAM 控制台的权限管理 > 权限策略，点击新增权限策略，切换到脚本编辑模式，粘贴页面给出的 JSON 策略内容。该策略为最小必要权限，主要包含 RAM 的 List/GetRole/CreateRole/UpdateRole/CreatePolicy/CreateSAMLProvider/DeleteSAMLProvider/AttachPolicyToRole/DetachPolicyFromRole/GetPolicy，以及 VPC、ECS、容器服务的只读查询权限（DescribeVpcs、DescribeVSwitches、ecs:Describe*、cs:List* 等）。

2. 新建角色。前往身份管理 > 角色创建角色，可信主体类型选择身份提供商，并选中上一步创建的 OIDC 身份提供商 idaas-eiam-oidc-provider。角色名称可以不填，默认使用 idaas-eiam-system-role，创建后不允许修改。

3. 授权角色权限。把第 1 步创建的权限策略授予第 2 步创建的角色。

4. 检测配置结果。回到 IDaaS 页面点击开始检测，检测通过后即完成托管。

第四步：确认托管结果

完成后回到云账号列表，可以看到该云账号的记录，列表包含云账号名称、云账号 ID、云账号类型、协议类型（阿里云为 SAML 2.0）、权限模板数量、托管状态、特权管理状态开关和操作列。托管状态显示为托管完成即表示可以正常使用；特权管理状态开关控制该云账号是否对外提供 SSO 与申请能力，关闭后该账号下的授权全部暂停生效。

点击列表操作列的管理进入云账号详情页，页面上半部分是云账号基本信息（云账号名称、托管状态、云账号类型、创建时间、更新时间、云账号 ID、云账号 UID、描述），下半部分是该账号下的权限模板列表。