1. 准备用于统一登录和授权的身份对象。

   管理员可进入 全局管理 > 访问控制 > 身份管理，按实际组织和授权方式维护用户、用户组、项目和组织架构。

   对象	用途	准备要点
   用户	登录 ZCF 并访问资源的账号主体。	按需创建用户，并确认用户状态可用。
   用户组	用于同类用户的集中管理和批量授权。	将需要共享同一组权限的用户加入同一用户组。
   项目	用于按业务或协作范围组织用户和授权。	按协作边界创建项目，并添加对应用户或用户组。
   组织架构	用于按部门或组织层级管理用户归属关系。	按实际组织关系维护部门和用户归属。

2. 创建或确认用于访问控制的角色。

   进入 全局管理 > 访问控制 > 身份管理 > 角色，确认已有角色是否满足访问要求；如需自定义权限范围，可创建自定义角色。

   角色定义用户可访问的页面、功能和资源范围。后续为用户、用户组、项目或部门绑定角色后，用户即可获得对应权限。

3. 为用户分配访问权限。

   根据授权范围选择合适的授权方式。为单个用户授权时，可直接绑定角色；为多名用户授权时，建议通过用户组、项目或部门继承角色。

   授权方式	适用场景	处理方式
   通过角色为用户授权	单个用户需要独立权限。	进入用户详情，将角色直接绑定到目标用户。
   通过用户组为用户授权	多名用户需要共享同一组权限。	为用户组绑定角色，再将用户加入该用户组。
   通过项目为用户授权	按业务或协作范围控制权限。	为项目绑定角色，再将用户或用户组加入项目。
   通过组织架构继承角色	按部门或组织层级管理权限。	为部门绑定角色，再将用户维护到对应部门。

4. 在云联邦中接入需要统一访问的组件。

   进入 全局管理 > 云联邦 > 接入平台，按页面提示新增接入平台并保存配置。保存后，在接入平台列表中确认连接状态正常。

   组件接入后，ZCF 才能基于接入关系下发统一认证配置，并在统一门户中展示对应组件入口。

5. 添加 SSO 配置。

   进入全局管理 > 云联邦 > SSO配置。首次进入页面时，确认回退认证方式、配置覆盖影响和删除配置前的准备事项，并点击开始配置。

   可直接使用系统内置的 Default 配置，也可点击添加 SSO 配置创建自定义配置。认证服务器固定为 ZIAM，认证协议固定为 OIDC；请按目标平台类型和身份数据预置方式选择 SCIM、JIT 或同时启用。

6. 向已接入组件下发 SSO 配置。

   在SSO 配置列表中点击配置名称，进入详情后点击下发配置，再通过+ 添加平台选择目标组件。包含 SCIM 时，还需确认同步范围并完成 SCIM 连接测试。

   下发会覆盖目标组件已有的 SSO 配置。下发完成后，在配置详情的平台页签中确认配置状态和同步状态。

7. 使用统一身份认证入口登录 ZCF，并验证组件访问结果。

   用户在登录页选择统一身份认证登录。认证通过后进入统一门户，可按权限切换管理视角，并访问已接入组件。

   如果用户看不到预期菜单或无法访问组件页面，请确认当前管理视角、组件接入状态、SSO 配置状态和用户授权关系。

1. 在登录页选择本地登录。
2. 根据账号类型选择账户登录或租户登录。
3. 输入本地账号和密码。
4. 点击登录。
5. 登录成功后，进入 ZCF 统一门户。

1. 在登录页选择统一身份认证登录。
2. 点击统一身份认证登录。
3. 按页面提示完成账号认证。
4. 认证通过后，进入 ZCF 统一门户。

1. 登录 ZCF。
2. 在主菜单右上角切换至 全局管理。
3. 在全局管理视角下，按需进入 首页、仪表盘与报表、运维、云联邦、访问控制 或 ZNS 网络中心。
4. 如需返回当前可用区范围内的资源和租户相关页面，可在同一位置切换回默认可用区。

1. 登录 ZCF。
2. 在主菜单右上角切换至 全局管理。
3. 在主菜单中点击 首页。

访问控制概览展示用户、用户组、项目和角色的数量、当前账号的登录信息及常用操作入口。

1. 使用具备访问控制权限的账号，通过统一身份认证登录进入 ZCF。
2. 切换至全局管理视角。
3. 进入 访问控制 > 概览。
4. 查看身份对象统计和访问控制入口。

   项目	说明
   用户	当前可被 ZCF 识别和管理的账号主体。
   用户组	用于批量组织用户并承载角色授权的用户集合。
   项目	用于组织身份域内成员协作和角色授权的范围。
   角色	可绑定到用户、用户组、项目或部门，并由接入平台解释的角色对象。

5. 按需通过快捷入口创建用户、用户组、项目或角色，或进入组织架构页面维护部门关系。

1. 进入 全局管理 > 访问控制 > 角色。
2. 在角色列表中，将来源筛选为系统。
3. 搜索目标角色，并进入角色详情页。
4. 查看角色名称、简介和审计记录，确认角色符合接入平台的映射要求。

1. 进入 全局管理 > 访问控制 > 角色。
2. 点击创建角色。
3. 填写角色信息。

   配置项	说明
   名称	输入便于识别角色用途的名称，最多 128 个字符。
   简介	输入角色用途或适用范围，最多 256 个字符。

4. 点击确定。

编辑自定义角色的名称和简介，或删除不再使用的自定义角色。

1. 进入 全局管理 > 访问控制 > 角色。
2. 在角色列表中搜索目标角色。
3. 确认角色来源为自定义，并进入角色详情页。
4. 按需执行管理操作。
   • 修改角色名称或简介时，点击更多操作，选择编辑，修改信息后保存。
   • 删除角色时，先解除该角色与用户、用户组、项目或部门之间不再需要的绑定关系，再点击更多操作，选择删除并确认。

创建部门并设置层级关系，以便按组织架构维护用户归属和角色。

1. 进入 全局管理 > 访问控制 > 组织架构。
2. 点击创建部门。
3. 配置部门参数。

   配置项	说明
   上级部门	按需选择上级部门。未选择时，部门将创建在组织架构的顶层。
   名称	输入部门名称，最多 128 个字符，且不能与现有部门名称重复。
   简介	输入部门职责或适用范围，最多 256 个字符。
   角色	按需选择需要绑定到部门的角色。

4. 点击确定。

   同时绑定角色时，系统会先创建部门，再设置角色关系。如果页面提示创建失败，请先返回组织架构确认部门是否已创建，再进入部门详情补充未成功的角色，避免重复提交。

维护部门信息和层级、直属用户及部门角色。

1. 进入 全局管理 > 访问控制 > 组织架构。
2. 在组织架构树中选择目标部门。
3. 按需维护部门。

   操作	说明
   直属用户	在直属用户页签中添加或移除用户。
   角色	在角色页签中绑定或解绑角色。
   审计	在审计页签中查看部门、直属用户和角色关系的变更记录。
   添加子部门	在当前部门下创建子部门。
   编辑名称简介	修改部门名称或简介。
   移动部门	为当前部门选择新的上级部门。不能将当前部门或其子部门选择为上级部门。
   删除	删除当前部门及其所有子部门。

4. 保存变更，并确认组织架构或详情页中的信息已更新。
5. 如需确认某个用户是否已获得部门角色，进入用户详情的角色页签查看角色来源。

1. 进入 全局管理 > 访问控制 > 用户组。
2. 点击创建用户组。
3. 配置用户组参数。

   配置项	说明
   名称	输入用户组名称，最多 128 个字符，且不能与现有用户组名称重复。建议按部门、岗位或业务职责命名。
   简介	输入用户组用途或适用成员，最多 256 个字符。
   用户	按需选择需要加入用户组的用户。
   项目	按需选择用户组需要加入的项目。
   角色	按需选择需要绑定到用户组的角色。

4. 点击确定。

   同时设置用户、项目或角色时，系统会先创建用户组，再依次设置相关关系。如果页面提示创建失败，请先返回用户组列表确认用户组是否已创建，再进入详情页补充未成功的关系，避免重复提交。

在用户组详情中集中维护成员、项目和角色，统一调整组内用户的授权关系。

1. 进入 全局管理 > 访问控制 > 用户组。
2. 搜索目标用户组，并进入用户组详情页。
3. 按需维护用户组成员、项目和角色。

   页签	说明
   用户	添加或移除用户组成员。
   项目	将用户组加入项目，或从项目中移除用户组。
   角色	为用户组绑定或解绑角色。
   审计	查看用户组成员和角色授权的变更记录。

4. 保存变更，并确认详情页中的成员、项目或角色已更新。
5. 如需修改名称或简介，点击更多操作，选择编辑，修改后保存。
6. 如需删除用户组，确认用户不再需要通过该用户组获得角色或加入项目，再点击更多操作，选择删除并确认。
7. 如需确认某个用户是否已获得用户组角色，进入用户详情的角色页签查看角色来源。

1. 进入 全局管理 > 访问控制 > 项目。
2. 点击创建项目。
3. 配置项目参数。

   配置项	说明
   名称	输入项目名称，最多 128 个字符，且不能与现有项目名称重复。建议使用能够标识业务、团队或协作目标的名称。
   简介	输入项目用途或成员范围，最多 256 个字符。
   用户	按需选择需要直接加入项目的用户。
   用户组	按需选择需要加入项目的用户组。
   角色	按需选择需要绑定到项目的角色。

4. 点击确定。

   同时设置用户、用户组或角色时，系统会先创建项目，再依次设置相关关系。如果页面提示创建失败，请先返回项目列表确认项目是否已创建，再进入详情页补充未成功的关系，避免重复提交。

维护项目关联的用户、用户组和角色，使项目授权关系与实际协作关系保持一致。

1. 进入 全局管理 > 访问控制 > 项目。
2. 搜索目标项目，并进入项目详情页。
3. 按需维护项目成员和角色。

   页签	说明
   用户	添加或移除项目用户。
   用户组	添加或移除项目用户组。
   角色	为项目绑定或解绑角色。
   审计	查看项目成员和角色授权的变更记录。

4. 保存变更，并确认详情页中的成员或角色已更新。
5. 如需修改名称或简介，点击更多操作，选择编辑，修改后保存。
6. 如需删除项目，确认成员不再需要通过该项目获得角色，再点击更多操作，选择删除并确认。
7. 如需确认某个用户是否已获得项目角色，进入用户详情的角色页签查看角色来源。

创建统一身份账号，并设置用户所属的用户组、项目、部门和角色。

1. 进入 全局管理 > 访问控制 > 用户。
2. 点击创建用户。
3. 按页面提示填写用户信息。

   配置项	说明
   用户名	输入 2-64 个字符，仅可使用字母、数字、连字符（-）、下划线（_）和句点（.），不能包含空格，且不能与现有用户名重复。建议使用组织内统一的账号命名规则。
   显示名	输入用于展示和识别用户的名称，最多 128 个字符。
   密码	输入 8-32 位初始密码。
   确认密码	再次输入初始密码，两次输入必须一致。
   简介	按需输入用户职责等信息，最多 256 个字符。
   手机号码	按需选择国际区号并输入手机号码。完整号码不能超过 15 位。
   邮箱	按需输入有效邮箱地址，最多 254 个字符。
   用户组	按需选择用户需要加入的用户组。
   项目	按需选择用户需要直接加入的项目。
   部门	按需选择用户的直属部门。
   角色	按需选择直接绑定到用户的角色。用户已通过用户组、项目或部门获得的角色无需重复选择。

4. 点击确定。

   同时设置用户组、项目、部门或角色时，系统会先创建用户，再依次设置相关关系。如果页面提示创建失败，请先返回用户列表确认用户是否已创建，再进入用户详情补充未成功的关系，避免重复提交。

5. 在用户列表中确认用户状态为启用。

根据用户职责变化，调整其所属用户组、项目和部门，或直接绑定和解绑角色。

1. 进入 全局管理 > 访问控制 > 用户。
2. 搜索目标用户，并进入用户详情页。
3. 如需维护用户信息，点击更多操作，选择编辑或修改密码，完成修改后保存。
4. 点击更多操作，按需选择关系设置操作。

   操作	说明
   用户组设置	调整用户所属的用户组。用户可获得所属用户组绑定的角色。
   项目设置	调整用户直接加入的项目。用户可获得项目绑定的角色。
   部门设置	调整用户直属部门。用户可获得部门绑定的角色。
   角色设置	调整直接绑定到用户的角色。

5. 保存变更。
6. 在用户详情的角色页签中确认角色及其来源。

1. 进入 全局管理 > 访问控制 > 用户。
2. 在用户列表中搜索目标用户。需要同时操作多个用户时，选中目标用户后点击批量操作。
3. 根据管理目标执行操作。

   操作	适用场景
   禁用用户	暂停账号登录和访问，并使当前登录会话失效；保留用户所属关系、角色和审计记录。
   启用用户	恢复账号使用。用户可继续按已有授权访问 ZCF 和已接入组件。
   删除用户	删除不再使用的统一身份账号。删除后，该用户不再显示在用户列表和相关资源的用户选择器中。删除前应确认该账号不再需要登录 ZCF 或已接入组件。

4. 按页面提示确认操作。
5. 在用户列表或审计记录中确认操作结果。

1. 进入 全局管理 > 访问控制 > 用户。
2. 搜索目标用户，并进入用户详情页。
3. 打开角色页签，点击绑定角色。
4. 选择目标角色，并确认该角色已在接入平台中完成所需的权限映射。
5. 保存变更，并确认用户详情中已显示该角色。
6. 如需追踪授权来源，打开审计页签查看变更记录。

查看用户直接绑定或通过用户组、项目和部门获得的角色，确定需要调整的授权关系。

1. 进入 全局管理 > 访问控制 > 用户。
2. 搜索目标用户，并进入用户详情页。
3. 打开角色页签，查看用户直接绑定或通过其他对象获得的角色。
4. 根据角色来源判断调整入口。

   角色来源	调整入口
   直接绑定	在用户详情的角色页签中调整。
   用户组	进入对应用户组详情，调整用户组成员或用户组绑定的角色。
   项目	进入对应项目详情，调整项目成员或项目绑定的角色。
   部门	进入组织架构，调整部门用户或部门绑定的角色。

5. 打开审计页签，查看用户组、项目和角色等关系的变更记录。