多用户访问控制

概述

针对企业不同职能角色需协同使用百度大脑AI服务的要求，当前AI产品已接入百度智能云多用户访问控制(Identity and Access Management, IAM)服务。

场景说明：

某企业的A账户购买了多种资源。该企业拥有许多员工，包括开发人员、测试人员、运维人员等，由于每个员工的工作职责不同，所以需要的权限也不同，且员工不需要对操作产生的费用单独支付。

功能介绍

通过使用多用户访问控制功能，可以对企业内不同的工作人员授予AI产品的不同权限，例如，只读，运维，管理，也可细化到资源级别；功能具体表现如下：

1. 主账号和子用户共享AI应用、配置、资源、数据、账户余额，且子用户不需要对操作产生的费用单独支付
   
2. 子用户创建的鉴权应用：主账号可管理所有子用户创建的鉴权应用，但无法对子用户创建的应用做二次分配，且子用户A无法于应用列表查看子用户B创建的应用。
   
3. 主账号创建的鉴权应用：可通过授权分配给不同的子用户进行查看和管理，并监控其用量，。

使用流程

请您先登录AI控制台，在右上角头像找到“多用户访问控制－子用户管理”，创建并管理账户下的全部子用户，为其配置AI控制台权限，并获取子用户登录链接。

创建子用户

1. 登录百度智能云管理控制台，选择“多用户访问控制”。

2. “用户管理-子用户”中点击“创建子用户”，填写子用户登录所使用的账号密码即可。

   • 填写子用户名（账号）
   • 如通过控制台页面访问，请选择控制台密码访问-手动输入
   • 输入子用户登录密码

子用户权限管理

完成子用户创建后，需对该子用户进行授权，请分别授予控制台管理权限和财务相关权限

1. 选择子用户，点击"编辑权限“。

2. 可按需为子用户配置多个策略，勾选并点击确认后，即为子用户开通权限。权限开通可能存在延迟，请耐心等待

• 当前AI控制台相关的系统策略有3种：

• 财务相关系统策略有3个：

• 自定义策略：如需按应用粒度授权给子用户管理，需在策略管理创建策略（按策略生成器创建）：
  
  a. 点击【添加权限】，选择您要授予的应用所属服务，并在区域中选择全局，随后请勾选该权限策略包含的应用。如需对权限进行时间限制，请点击下方按钮【添加条件】。
  

b. 完成勾选并点击确认后即完成自定义策略的创建。随后您可通过将该策略授予子用户，使其获得该策略所包含应用的管理权限。
c. 注意：您无法将子用户创建的应用，通过授权进行分配。

子用户登录

1. 获取子用户登录链接,主账号可从子用户管理，顶部获取子用户的登录链接。子用户必须通过该链接才能进入到正确的登录页面。
   
2. 子用户登录，输入子用户创建时填写的子用户名、密码。
   

3. 登录成功后，请选择有访问权限的AI服务控制台进入使用。

子用户信息管理

修改子用户基本信息

选择需要管理的子用户，点击用户名或者“管理”，进入子用户详情页。

子用户操作日志

操作日志：显示子用户最近一次的控制台访问记录。

删除子用户

在“用户管理”的“子用户”页中，选择对应的子用户，点击删除，即可删除该子用户。

注意：选择删除，子用户对应的权限、密码也会随之删除，将无法恢复，所以在未能明确不需要子用户时，建议使用子用户的禁用功能。

禁用子用户

在某些场景下，你需要临时禁用子用户对AI控制台的访问权限，此时你可以使用子用户禁用功能。在“用户管理”的“子用户”页签中，选择对应的子用户，点击禁用，即可禁止该子用户使用。后续你也可以重新激活该子用户，恢复其访问权限。

注意：选择禁用，该子用户将无权限进行任何操作。

附录

1. 可单独赋完全管理权限的AI产品及对应的系统策略权限名称如下：

2. 可单独赋权管理权限的AI产品及对应的系统策略权限名称如下：