数据开发治理平台 WeData 用户账号和权限管理

一、概述

WeData 用户管理整体分为三层：腾讯云账号、WeData 项目级成员、WeData 平台级成员，并分别通过腾讯云 CAM 策略、项目级角色、平台级角色进行用户访问权限控制。如下表所示：

二、腾讯云账号

使用数据开发治理平台 WeData 前，你需要通过 CAM 访问管理或集团账号管理对组织成员进行管理。

·主账号：在 CAM 中，主账号默认作为所有云资源的归属及使用计量计费的基本主体, 负责组织中子账号的创建、授权和管理等操作，默认拥有账号下腾讯云所有资源。

·子账号：由主账号进行创建、统一管理和付费。在 CAM 中，子账号默认不拥有资源，必须由所属主账号进行授权，授权后，子账号将在获得的权限范围内管理主账号下的资源。

·角色：CAM 的角色可以理解为一种虚拟用户，与子用户、协作者或接收消息者这类实体用户不同。角色同样可被授予策略。角色可以是任一腾讯云账号代入，并不是唯一地与某个账号绑定关联。角色没有关联的持久证书（密码或访问密钥），主账号仅在申请角色时需要使用持久证书，在用户担任某个角色时，主账号则会动态创建临时证书并为用户进行相应访问时提供该临时证书，用户即可通过控制台和 API 两种方式使用角色。

用户可以通过腾讯云控制台进行登录，也可以通过 SSO 进行单点登录。

如果想要授权 WeData 的访问权限，需要在 CAM 上给子账号或角色关联 QcloudWeDataFullAccess 或者 QcloudWeDataReadOnlyAccess 策略。

更多详情请参见 CAM 相关文档 或 集团账号管理。

三、WeData 用户

WeData 用户分为项目级成员和平台级成员。无论是哪种类型的成员，均支持通过腾讯云控制台登录的主账号、子账号，以及子账号扮演的角色；也支持通过角色 SSO 登录的账号（暂未适配用户 SSO 登录场景）。

1. 用 CAM 普通主、子账号登录，WeData 页面展示具体的主、子账号。

2. 用 CAM 角色扮演登录，WeData 页面展示具体的角色名称。

3. 通过角色 SSO 登录，WeData 页面展示具体的角色名称。

4. 通过微软 EntraID 角色 SSO 登录，WeData 页面正常显示角色名称，也可以展示具体的 EntraID（需配置白名单）。详情请参见 如何通过 EntraID 登录。

以上场景支持混合登录，如通过 EntraID 角色 SSO 登录，通过控制台使用 WeData；同时通过 CAM 子账号调用 OpenAPI 和 Terraform 接口。

注意：说明：

注意：1. 子账号角色扮演、角色 SSO 登录场景下，无法获取邮箱、电话、短信信息，不支持这些告警方式。

注意：2. 若主账号开启了 EntraID 白名单，目前只支持绑定 DLC 存算引擎。

四、WeData 项目级成员

腾讯云账号进入 WeData 项目，需要添加为 WeData 的项目级用户，并关联项目级角色。

·腾讯云主账号，默认为 WeData 所有项目的项目管理员，无需用户手动操作。

·腾讯云子账号，默认不是 WeData 的项目内成员，需要创建项目，或者由项目管理员将其手动添加到已有项目。

五、WeData 平台级成员

·用户创建项目或者加入已有项目，都会自动成为 WeData 的平台级用户，默认角色为“无”。

·如果想要授予平台级菜单的访问权限，可以手动添加角色为“资产管理员”等。

六、创建腾讯云主账号

·注册：如果你还没有注册过腾讯云主账号，进入 腾讯云 首页，单击页面右上角免费注册，详情可参见 注册指南。

·实名认证：腾讯云主账号需要进行实名制认证后，才可以购买和使用腾讯云的产品，详情可参见 认证指南。

七、创建腾讯云子账号

1. 使用主账号登录腾讯云 访问管理 CAM 控制台，在左侧导航中，选择用户 > 用户列表。

2. 在“用户列表”页面下，单击新建用户即可创建子账号，包括子用户和协作者。

3. 创建成功后，CAM 会为该子账号生成登录信息，可单击查看用户详情后，选择安全并进行密码重置。

注意：说明：

注意：如果你需要多人协同开发，请为其他协作成员创建 CAM 子账号。

八、为子账号授权 WeData 产品访问权限

1. 使用主账号登录腾讯云 访问管理 CAM 控制台，在左侧导航中，选择用户 > 用户列表。

2. 在“用户列表”页面下，选择子账号，在操作列中单击授权。搜索选择 QcloudWeDataFullAccess 策略或者 QcloudWeDataReadOnlyAccess 策略。

3. 单击确定，即可授权子账号 WeData 访问权限。

4. 将子账号登录所需信息告知协作成员：登录入口、主账号 ID、以及登录用户名和密码。

九、创建项目

注意：说明：

注意：仅 WeData 主账号管理员有创建项目的权限，创建成功后会自动成为该项目的项目管理员。

1. 使用 WeData 主账号管理员账号登录 WeData 控制台 ，进入项目列表页面，单击创建项目。

2. 配置项目参数

2.1 创建方式可选择“创建并配置项目”与“仅创建项目”两种项目创建方式。

2.2 在创建界面中配置各项参数，参数说明如下表所示：

3. 创建成功后，该子账号会自动成为项目的项目管理员。

十、添加到已有项目

1. 使用项目管理员账号登录 WeData 控制台 ，进入项目列表，选择项目并进入项目管理模块。

2. 选择成员与角色管理菜单，添加子账号作为项目成员并为其分配项目级角色。

3. 单击角色管理，你可以查看 WeData 项目级角色的权限列表。

十一、自动添加

如果子账号创建或加入项目，将自动成为 WeData 的平台级用户，成员角色默认为“无”。

十二、手动添加

1. 使用主账号或者拥有 WeData 全读写访问权限的子账号登录 WeData 控制台，在左侧导航中选择用户管理 > 成员管理。

2. 在成员管理列表下，单击添加。

3. 进入添加用户界面，将 CAM 的子用户添加为 WeData 的用户。添加成功的用户角色默认为 “无”。

4. 如果你想授予该子用户创建项目、购买执行资源组、管理用户等权限，单击编辑按钮。

进入添加角色界面，修改其成员角色

5. 单击角色管理，你可以查看 WeData 全局级角色的权限列表，以及新增自定义平台角色。