如果您需要同步华为云账号资源并选择手动配置的方式添加子账号，则需要先前往华为云控制台，创建自定义权限策略、用户组和子账号，并完成相关授权。操作完成后，即可获取 AK 和 SK。

前提条件

已有华为云资源主账号和密码。

操作流程

步骤一：创建自定义权限策略

华为云权限获取需要分别配置全局级服务（如 IAM 和 TOS 等）和项目级服务（如 ECS 等），因此需要创建两个权限策略。关于全局服务权限和项目服务权限的差异，可参见华为云系统权限说明。

1. 登录华为云IAM控制台。

2. 在页面左侧，选择权限管理>权限。

3. 在页面右上角单击创建自定义策略。
   

4. 创建策略并配置策略参数。

   1. 创建全局级策略并确认。

      • 策略名称：系统自动生成一个默认策略名，您也可以自定义修改，用于标识自定义策略。例如MultiCloudSecurity_1。
      • 策略配置方式：选择 JSON 试图。
      • 策略内容：复制以下脚本，覆盖原有内容。

        {
            "Version": "1.1",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Action": [
                        "obs:*:get*",
                        "obs:*:list*",
                        "obs:bucket:HeadBucket",
                        "obs:bucket:PutEncryptionConfiguration",
                        "obs:bucket:PutBucketVersioning",
                        "obs:bucket:PutBucketAcl",
                        "obs:bucket:PutBucketPolicy"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "iam:tokens:assume",
                        "iam:*:get*",
                        "iam:*:check*",
                        "iam:*:list*"
                    ]
                }
            ]
        }
        

   2. 创建项目级策略并确认。

      • 策略名称：系统自动生成一个默认策略名，您也可以自定义修改，用于标识自定义策略。例如MultiCloudSecurity_2。
      • 策略配置方式：选择 JSON 试图。
      • 策略内容：复制以下脚本，覆盖原有内容。

        {
            "Version": "1.1",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Action": [
                        "ecs:*:get",
                        "ecs:*:list",
                        "ecs:securityGroups:use",
                        "ecs:serverKeypairs:*"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "vpc:*:get",
                        "vpc:*:list",
                        "vpc:routers:get",
                        "vpc:securityGroups:*",
                        "vpc:securityGroupRules:*"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "nat:*:get",
                        "nat:*:list"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "elb:*:get",
                        "elb:*:list"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "eip:*:get",
                        "eip:*:list"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "hss:*:*"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "dcs:whitelist:modify"
                    ]
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "cfw:attackLog:list",
                        "waf:event:get"
                    ]
                }
            ]
        }
        

   更多关于创建华为云自定义策略的信息，请参见创建自定义策略。

步骤二：创建用户组并授权

1. 在华为云IAM控制台页面左侧，选择用户组。
2. 在页面右上角，单击创建用户组。
   
3. 输入用户组名称。例如多云安全平台。
4. 单击确定。
5. 在用户组列表选择创建的用户组，单击授权。
   
6. 勾选步骤一创建两个自定义策略。

   说明

   步骤一中创建的两个策略都要授权给用户组。

7. 单击下一步并确认。
   更多关于创建华为云用户组并授权的信息，请参见创建用户组并授权。

步骤三：创建子账号并获取 AK 和 SK

1. 在华为云IAM控制台页面左侧，选择用户。
2. 在页面右上角，单击创建用户。
   
3. 配置用户基本信息。
   • 用户信息：用户名必填，支持大小写字母、数字、空格、半角句号（.）、短划线（-）和下划线（_），不能以数字或空格开头。其他信息为选填。
   • 访问方式：勾选编程访问。
   • 凭证类型：勾选访问密钥。

     说明

     因该账号不会被用于登录您的云厂商控制台，建议可取消勾选密码。

4. 单击下一步。
5. 选择步骤二中创建的用户组。
6. 单击创建用户。
7. 在下载访问密钥窗口单击确认，下载访问密钥文件。
8. 打开下载的密钥文件，即可获取 AK 和 SK 信息。
   更多关于创建华为云子账号并获取 AK 和 SK 的信息，请参见创建 IAM 用户。