腾讯云身份管理 - 应用身份服务

适用范围

需开通机器身份管理能力。

通过添加云账号，将腾讯云主账号托管至 IDaaS，并在腾讯云 CAM 控制台完成身份提供者和系统角色的配置，实现 IDaaS 对该账号下云角色的自动发现和同步。

添加云账号信息。

a. 在左侧导航栏选择资产管理 > 资产管理 > 云身份。

b. 单击添加云账号。

c. 在云厂商中选择腾讯云，填写以下信息：

参数	说明
站点	根据腾讯云账号站点选择中国站或国际站。默认为中国站。
账号ID	待添加腾讯云账号的主账号 ID，必须为精确 12 位数字。
身份提供商名称	即将在腾讯云 CAM 中创建的 OIDC 身份提供商的名称。名称前缀 `idaas-eiam-` 由系统固定，只需填写后缀部分。后缀仅支持英文字母、数字、点号（.）、下划线（_）和短横线（-），且首尾必须为英文字母或数字。需确认与 CAM 中已有身份提供商的名称不存在冲突。可通过目标云账号的 CAM 控制台，单击身份提供商 > 角色 SSO 查看已有名称。

d. 单击下一步。

统一身份配置。

参考 IDaaS 界面提示，在腾讯云目标云账号的 CAM 控制台完成以下配置：

a. 配置身份提供者。

IDaaS 界面会展示以下参数，请将这些参数填入腾讯云 CAM 对应配置项，创建 OIDC 身份提供商：

参数	说明
身份提供商名称	上一步填写的名称（含 `idaas-eiam-` 前缀），用于在 CAM 中创建同名身份提供商。
身份提供商URL	IDaaS 签发的 OIDC Issuer 地址，填入 CAM 身份提供商的提供商 URL 字段。
客户端ID	IDaaS 的 Audience 标识，填入 CAM 身份提供商的受众（Audience）字段。
签名公钥	IDaaS 自动获取的 JWKS 格式签名公钥，界面以遮码方式展示。单击复制按钮获取完整内容，填入 CAM 身份提供商的签名公钥字段。

说明

身份提供商 URL 格式为 https://<portal_address>/api/v2/iauths_system/oauth2，其中 <portal_address> 可在 IDaaS 管理控制台的用户门户列查看。

b. 新建角色。

在 CAM 控制台创建角色，选择上一步创建的身份提供商，并设置使用条件（将 IDaaS 界面中的 Audience 值填入条件字段）。角色名称请使用 IDaaS 界面中提供的固定名称 idaas-eiam-system-role。

重要

系统角色名称 idaas-eiam-system-role 不可更改，IDaaS 依据此名称进行角色配置校验。

c. 创建自定义策略。

IDaaS 界面会展示系统生成的策略内容，请复制该策略内容，在 CAM 控制台通过策略生成器创建自定义策略。

d. 授权角色权限。

在 CAM 控制台中，为步骤 b 创建的角色关联步骤 c 创建的自定义策略。

单击开始检测，IDaaS 开始检测系统角色相关配置是否正确。
- 检测通过：显示成功提示。单击确定，完成云账号添加。
- 检测失败：显示错误原因，请根据提示检查并修改配置后，单击重新检测。

说明

如配置未完成但已退出上述界面，可在资产管理 > 资产管理界面中找到添加的云账号，单击操作列中的云角色管理，依次单击详情、配置系统角色，根据界面提示继续完成配置。

配置完成后，可在资产管理 > 资产管理界面中查看当前添加的云账号。在目标云账号的操作列下单击云角色管理，可查看系统角色。

将目标云账号下的 CAM 角色托管到 IDaaS，实现统一的角色管理和访问控制。

在资产管理 > 资产管理 > 云身份界面选择已托管的云账号，单击操作列中的云角色管理。

说明
若目标云账号未托管，请先完成添加云账号。
单击添加云角色。

a. 角色名称：在下拉列表中选择要托管至 IDaaS 的 CAM 角色。下拉列表自动拉取该腾讯云账号下的可用 CAM 角色。

b. 信任策略：按照 IDaaS 界面提示，在该云账号的 CAM 控制台中完成角色的信任策略配置。
单击确定，完成云角色添加。

配置完成后，可在资产管理 > 资产管理 > 云身份界面中查看当前添加的云账号。在目标云账号的操作列下单击云角色管理，可查看当前添加的云角色。

说明

遵循最小权限原则，为托管的 CAM 角色配置精准的权限策略，仅授予其完成业务所必需的最小权限，避免使用过于宽泛的授权。

取消目标云账号下某个 CAM 角色在 IDaaS 中的托管。

取消腾讯云账号在 IDaaS 中的托管。

说明

删除云账号前，需先删除该账号下所有用户创建的云角色。

在资产管理 > 资产管理 > 云身份界面中找到目标云账号，单击操作列中的删除。