创建和使用服务标识
服务标识识别服务或应用程序的方式与用户标识识别用户的方式相似。 您可以创建一个服务 ID，并用它使 IBM Cloud 以外的应用程序能够访问您的 IBM Cloud 服务。 您可以向服务标识分配特定访问策略，以限制使用特定服务的许可权，甚至可以将访问不同服务的许可权组合在一起。 由于服务 ID 不与特定用户绑定，因此如果用户离开组织并从账户中删除，服务 ID 仍会保留。 这样，您的应用程序或服务就能保持正常运行。
创建服务 ID 时，会创建一个唯一的名称和描述，便于在控制台中识别和使用。 创建服务 ID 后，您可以 创建 API 密钥 每个服务 ID 的特定信息，您的应用程序可使用这些信息与 IBM Cloud 服务进行身份验证。 为确保应用程序拥有与 IBM Cloud 服务进行身份验证的适当访问权限，可使用分配给所创建的每个服务 ID 的访问策略。
与服务 ID 关联的访问策略可以在使用该服务 ID 访问特定服务时执行特定操作。 一个服务 ID 可以为不同的身份和支持访问的服务，甚至一个服务的不同实例分配多个策略。 例如，您有两个服务，每个服务分别有两个服务实例。 您可能会为一项服务的所有可用实例分配查看器角色，而只为第二项服务的一个实例分配编辑器角色。 这样，您就可以自定义对多个服务的访问，但只需使用一个 API 密钥即可对所有服务进行身份验证。
所有用户都可以在自己的账户中创建服务 ID。 但是，要允许账户中的用户查看或管理非其个人创建的服务 ID，他们必须拥有 IAM 身份账户管理服务的角色权限。 更多信息，请参阅 IAM 身份服务。
服务 ID 组能更有效地将服务 ID 组织成组，通过减少需要处理的服务 ID 数量来提高列表操作的效率。 服务 ID 组与访问管理不集成，因此不能在 IAM 策略中用于控制访问。
您可以使用访问管理标记为任何身份分配访问权限，以便查看或管理服务 ID。 如需了解更多信息，请参阅 使用标记控制对资源的访问。
如果在 IAM 账户设置中启用了“限制服务 ID 创建”，那么账户中的每个人（包括账户所有者）都将被阻止创建服务 ID，除非为他们分配了明确的访问权限。 有关更多信息，请参阅 限制用户创建服务 ID。
使用控制台创建服务 ID
创建服务 ID 时，必须将其添加到服务 ID 组。 系统会自动为您创建默认组，但您也可以根据需要 创建更多组。 如果不创建任何其他组，服务 ID 将被添加到默认组中。 要创建服务标识，请完成以下步骤：
- 在 IBM Cloud 控制台中，转到管理 > 访问 (IAM)，然后选择服务 ID。
- (可选）从服务 ID 组菜单中选择一个组。 会为您选择默认组。 您不能将服务 ID 移动到另一个组，因此在创建服务 ID 之前，请确保选择了正确的组。
- 单击创建。
- 执行为服务标识创建名称和描述的过程。
- 单击创建。
使用 CLI 创建服务标识
当遇到账户中允许的服务 ID 数量限制时，服务 ID 组就能帮到你。 服务 ID 组提供了一种在不影响系统性能的情况下创建更多服务 ID 的方法，而不是增加这些可能导致性能问题的限制。
创建服务 ID 时，必须将其添加到服务 ID 组。 系统会自动为您创建默认组，但您也可以根据需要创建更多组。 如果您没有指定服务 ID 组，您的服务 ID 将被添加到默认组中。
您无法将服务 ID 移动到另一个组，因此在创建服务 ID 之前，请确保在命令中指定了正确的组。
要创建服务 ID，请使用 ibmcloud iam service-id-create 命令。
使用应用程序接口创建服务 ID
当遇到账户中允许的服务 ID 数量限制时，服务 ID 组就能帮到你。 服务 ID 组提供了一种在不影响系统性能的情况下创建更多服务 ID 的方法，而不是增加这些可能导致性能问题的限制。
创建服务 ID 时，必须将其添加到服务 ID 组。 系统会自动为您创建默认组，但您也可以根据需要创建更多组。 如果您没有指定服务 ID 组，您的服务 ID 将被添加到默认组中。
您无法将服务 ID 移动到另一个组，因此在创建服务 ID 之前，请确保在 API 中指定了正确的组。
要创建服务 ID，请使用 创建服务 ID API 方法。
使用控制台管理服务 ID
您可以随时更改名称和描述来编辑服务 ID。 您还可以根据需要删除和创建新的 API 密钥、更新分配的访问策略或删除服务 ID。
不能将服务 ID 移动到另一个服务 ID 组。 相反，删除服务 ID，然后在要使用的服务 ID 组中创建另一个。
对现有服务 ID 所做的任何更改，如更改分配的策略或删除使用的 API 密钥，都可能导致使用该服务 ID 的应用程序的服务中断。 删除服务 ID 也会删除所有关联的 API 密钥和分配的策略。 该操作无法撤销，可能会导致依赖服务之间的中断。
- 在 IBM Cloud 控制台中，转到管理 > 访问 (IAM)，然后选择服务 ID。
- (可选）从服务 ID 组菜单中选择一个组。 会为您选择默认组。
- 将鼠标悬停在服务 ID 的行上，然后单击操作图标
来管理服务 ID。
要快速分配访问权限或创建 API 密钥，请单击行中服务 ID 的名称。 有关使用 API 密钥的更多信息，请参阅管理服务标识 API 密钥。
使用 CLI 管理服务 ID
您可以使用 CLI 查看服务 ID 的详细信息、更新名称和描述、删除服务 ID 等。
-
要查看服务 ID 的详细信息，请使用
ibmcloud iam service-id命令。 -
要更新服务 ID 的名称和描述，请使用
ibmcloud iam service-id-update命令。 -
要删除服务 ID，请使用
ibmcloud iam service-id-delete命令。删除服务 ID 也会删除所有关联的 API 密钥和分配的策略。 该操作无法撤销，可能会导致依赖服务之间的中断。
有关服务 ID 命令、参数和示例的完整列表，请访问 IAM CLI 文档。
使用应用程序接口管理服务 ID
您可以使用 API 查看服务 ID 的详细信息、更新名称和描述、删除服务 ID 等。
-
要查看服务 ID 的详细信息，请使用 更新服务 ID API 方法。
-
要更新服务 ID 的名称和描述，请使用 更新服务 ID API 方法。
-
要删除服务 ID，请使用 删除服务 ID 和相关 API 密钥 API 方法。
删除服务 ID 也会删除所有关联的 API 密钥和分配的策略。 该操作无法撤销，可能会导致依赖服务之间的中断。
有关服务 ID 方法、可选和必填请求参数的完整列表及示例，请访问 IAM 身份服务 API 文档。
锁定服务标识
为避免服务 ID 被删除导致服务中断或用户无法使用服务，您可以锁定服务 ID。 锁定服务标识还可以防止变更、删除或分配任何策略。 除了有能力锁定服务标识外，还可以锁定单个 API 密钥（与帐户中创建的每个服务标识关联的 API 密钥）。
虽然无法从帐户中删除锁定的服务标识，也无法更新访问策略，但是，锁定的服务标识仍然可以从它们添加到的任何访问组中除去。 这意味着从访问组中除去服务标识时，将除去该访问组中通过其成员资格分配给该标识的任何访问权。
提供锁定和解锁服务 ID 的用户访问权限
为了使用户有权锁定和解锁服务标识以及与服务标识关联的 API 密钥，必须为其分配特定的访问策略。 两种类型的访问策略可以授予相应的访问权：授予帐户中所有服务标识的访问权或授予帐户中特定服务标识的访问权
要分配对帐户中所有服务标识的访问权，请使用以下详细信息来设置帐户管理服务的访问策略：
- “编辑者”或“管理员”角色
- IAM Identity Service
要分配对帐户中特定服务标识的访问权，请使用以下详细信息来设置帐户管理服务的访问策略：
- “编辑者”或“管理员”角色
- IAM Identity Service
- 在资源类型字段中指定
serviceid - 在“资源标识”字段中指定服务标识的标识
要获取特定服务 ID 的标识符，请进入 IBM Cloud 控制台的“管理”>“访问 (IAM)”，然后选择“服务 ID”。 确定要查看其详细信息的服务标识，然后复制标识值。
使用控制台锁定和解锁服务 ID
您必须拥有相应级别的访问权限才能锁定或解锁服务 ID。 要锁定或解锁服务 ID，请完成以下步骤：
- 在 IBM Cloud 控制台中，单击管理 > 访问 (IAM)，然后选择服务 ID。
- 将鼠标悬停在服务 ID 的行上，然后单击操作图标 来锁定或解锁服务 ID。
使用 CLI 锁定和解锁服务 ID
- 要锁定服务 ID，请使用
ibmcloud iam service-id-lock命令锁定服务 ID。 - 要解锁服务 ID，请使用
ibmcloud iam service-id-unlock命令。
您必须具有解锁服务标识所需的相应访问级别。
使用应用程序接口锁定和解锁服务 ID
您必须具有解锁服务标识所需的相应访问级别。
使用控制台创建和处理服务 ID 组
创建服务 ID 时，必须将其添加到服务 ID 组。 系统会自动为您创建默认组，但您也可以根据需要创建更多组。 每个服务 ID 组最多可包含 2,000 个服务 ID，账户中最多可有 100,000 个服务 ID。
使用控制台创建服务 ID 组
要创建服务 ID 组，请完成以下步骤：
- 在 IBM Cloud 控制台中，转到管理 > 访问 (IAM)，然后选择服务 ID。
- 单击创建组。
- 按照流程为服务 ID 组创建名称和描述。
- 单击创建。
使用控制台删除服务 ID 组
要删除服务 ID 组，该组必须为空。 删除组之前，先删除组内的所有服务 ID。 然后，完成以下步骤：
-
在 IBM Cloud 控制台中，转到管理 > 访问 (IAM)，然后选择服务 ID。
-
从服务 ID 组菜单中选择一个组。
不能删除默认服务 ID 组。
-
单击表头中的删除。
-
单击删除以确认。
使用 CLI 创建和处理服务 ID 组
您可以使用控制台创建和管理服务 ID 组。 要查看步骤，请切换到用户界面说明。
使用应用程序接口创建服务 ID 组并与之配合使用
您可以使用控制台创建和管理服务 ID 组。 要查看步骤，请切换到用户界面说明。