統(tǒng)一配置身份權限
在上云初期，提前規(guī)劃合理的企業(yè)身份權限管理方案，就可以在業(yè)務規(guī)模化上云后，降低身份權限管理風險、提升多賬號的管理效率。云治理中心為您提供了引導式的身份權限管理初始化功能，可以對資源目錄中的多個成員進行統(tǒng)一身份權限配置。同時，還根據(jù)最佳實踐，提供了常用的權限配置模板，并形成身份權限管理基線，方便您后續(xù)對企業(yè)的持續(xù)治理。
背景信息
云SSO提供基于阿里云資源目錄RD（Resource Directory）的多賬號統(tǒng)一身份管理與訪問控制，一次性統(tǒng)一配置，即可完成面向多賬號的身份和權限配置。推薦您使用云SSO管理企業(yè)的用戶身份和權限。更多信息，請參見什么是云SSO。
身份權限初始化
登錄云治理中心控制臺。
在左側(cè)導航欄，單擊Landing Zone搭建。
選擇藍圖，然后單擊搭建。
本文以標準藍圖為例。
在配置藍圖頁面的已添加搭建項區(qū)域，單擊云SSO。
說明如果已添加搭建項中沒有目標搭建項，您可以單擊添加搭建項，添加目標搭建項。
配置云SSO參數(shù)。
在基本信息區(qū)域，設置以下參數(shù)：
地域
出于數(shù)據(jù)安全考慮，您可以根據(jù)業(yè)務數(shù)據(jù)的主要存儲地域，就近選擇合適的地域。更多信息，請參見創(chuàng)建目錄。
目錄名稱
目錄名稱必須全局唯一。您可以添加企業(yè)名稱作為前綴避免重名。
登錄超時時間
云SSO用戶使用訪問配置訪問RD賬號時，會話最長能保持多久。單位為秒，取值范圍3600~43200（1小時~12小時），默認值為3600（1小時）。
在訪問配置模板區(qū)域，查看云治理中心內(nèi)置的訪問配置模板。
根據(jù)最佳實踐，云治理中心內(nèi)置了下表所列的常用訪問配置模板，會自動在云SSO創(chuàng)建這些訪問配置。之后您可以在云SSO方便地把這些訪問配置綁定到指定賬號。
訪問配置
權限說明
Administrator
具有賬號內(nèi)全局權限，即管理所有阿里云資源的權限。
Iam
具有訪問控制管理員權限，負責企業(yè)員工在阿里云的身份權限管理。
Billing
具有查詢和管理賬單、賬戶資金管理、發(fā)票合同管理等全部財務管理權限。
AuditAdministrator
具有配置審計、操作審計和日志管理的全部權限，同時有權查看所有阿里云資源現(xiàn)狀。
LogAdministrator
具有日志的管理權限。
LogAudit
具有日志的查看權限。
NetworkAdministrator
具有網(wǎng)絡相關服務的所有權限，并有安全組的權限。
SecurityAudit
具有安全產(chǎn)品的查詢安全數(shù)據(jù)的權限，但不可管理安全產(chǎn)品的配置。
SecurityAdministrator
具有所有安全產(chǎn)品的管理權限。
關于訪問配置的更多信息，請參見訪問配置概述。
管理身份權限
身份權限初始化成功后，您可以查看或修改云SSO的配置信息。
登錄云治理中心控制臺。
在左側(cè)導航欄，選擇。
在訪問配置模板頁簽，查看訪問配置詳情。
在身份提供商信息頁簽，下載身份提供商元數(shù)據(jù)文檔或修改身份提供商配置信息。