• 本地用户：云平台中创建的用户，支持加入组织、加入项目、绑定角色等操作。
• 第三方用户：通过第三方认证同步到云平台的用户，支持加入组织、加入项目、绑定角色、变更为本地用户等操作。

• 平台角色：用户绑定平台角色后，将拥有对应区域的管理权限。平台角色的权限仅在用户自身管控的区域内生效。
• 项目角色：用户加入项目并绑定项目角色后，将拥有该项目的使用权限，管控项目内的数据。

• AD认证：

  AD（Active Directory）是面向Windows Standard Server、Windows Enterprise Server以及Windows Datacenter Server的目录服务, 为日益多样化的企业办公应用提供了一套独立、标准的登录认证系统。

  通过AD服务器可将AD用户/组织同步到ZStack Cloud云平台用户列表/组织架构，并支持使用指定的AD登录属性直接登录ZStack Cloud云平台。

• LDAP认证：

  LDAP（Lightweight Directory Access Protocol）是轻量目录访问协议，可提供标准的目录服务, 为日益多样化的企业办公应用提供了一套独立、标准的登录认证系统。

  通过LDAP服务器可将LDAP用户同步到ZStack Cloud云平台用户列表，并支持使用指定的LDAP登录属性直接登录ZStack Cloud云平台。

• OIDC认证：

  OIDC（OpenID Connect）是一套基于OAuth2协议构建的身份认证协议，允许客户端验证用户身份并获取基本的用户配置信息。

  通过OIDC服务器可将用户信息按照映射规则同步至云平台，并支持OIDC认证系统用户免密登录云平台。

• OAuth2认证：

  OAuth2（Open Authorization 2.0）是一套授权协议标准，可认证并授权用户访问相关资源。云平台暂仅支持通过授权码模式进行授权。

  通过OAuth2服务器可将用户信息按照映射规则同步至云平台，并支持OAuth2认证系统用户免密登录云平台。

• CAS认证：

  CAS（Central Authentication Service）是一套单点登录协议，允许网站应用对用户进行鉴权。

  通过CAS服务器可将用户信息按照映射规则同步至云平台，并支持CAS认证系统用户免密登录云平台。

• 创建项目需指定资源配额、回收策略，添加项目成员等。
• 云平台内的基本资源（计算规格、镜像、网络等），建议提前共享或创建。

• 默认流程：项目成员提交工单--->admin审批工单。此流程适用于以下几种场景：
  • 未设置工单流程的工单，将使用默认流程提交工单。
  • 修改项目周期类型的工单，将使用默认流程提交工单。
  • 修改项目配额类型的工单，将使用默认流程提交工单。
  • 删除自定义工单流程，将使用默认流程自动重新提交工单。
• 自定义流程：项目成员提交工单--->自定义审批工单--->admin/项目负责人审批工单。此流程适用于以下几种场景：
  • 申请云主机、删除云主机、修改云主机配置类型的工单，优先使用设置的自定义工单流程提交工单。
  • 修改有效状态的工单流程，将使用修改后的自定义工单流程自动重新提交工单。
  • 修改已失效状态的工单流程，需要使用修改后的自定义工单流程手动重新提交工单。

为了更高效地管理云平台，平台成员（平台管理员/普通平台成员）可配合超级管理员共同维护云平台。ZStack Cloud提供平台管理员角色、监控大屏角色等系统角色方便用户使用，也可创建自定义角色满足各种使用场景，细粒度到API级别。

以项目为导向进行资源规划，可为一个具体项目建立独立的资源池。通过对项目生命周期进行管理（包括确定时间、确定配额、确定权限等），以更细粒度更自动化的方式提高云资源利用率，同时加强项目成员间的协作性。

为了更高效地为每个项目提供基础资源支持，项目成员（项目负责人/项目管理员/普通项目成员）可对云平台资源提出工单申请，根据每个项目自定义工单审批流程，对工单进行审批，最终由admin/项目负责人/部门运营管理员/自定义审批人员进行审批，支持申请云主机、删除云主机、修改云主机配置、修改项目周期和修改项目配额五种工单类型。

区域通常对应某地的一个真实数据中心。在对区域进行资源隔离的基础上，可对每个区域指定相应的区域管理员，实现各地机房的独立管理，同时admin可对所有区域进行巡查和管理。

第三方认证是ZStack Cloud云平台提供的第三方登录认证服务，支持无缝接入第三方登录认证系统，相应账户系统可通过云平台登录页面直接登录，便捷使用云资源，目前支持添加AD/LDAP/OIDC/OAuth2/CAS服务器。

• 无限制：创建项目后，项目内资源默认一直处于启用状态。
• 指定时间回收：
  • 项目有效期限不足14天时，项目成员登录云平台后智能操作助手将弹出项目即将过期的提醒信息。
  • 项目过期后，项目内资源按照指定的控制策略回收，回收策略有以下三种：禁止项目成员登录、禁止项目成员登录且停止项目资源、删除项目。
• 指定费用回收：项目费用达到限额时，项目内资源按照指定的控制策略回收，回收策略有以下三种：禁止项目成员登录、禁止项目成员登录且停止项目资源、删除项目。

• 允许登录时间：支持设置每天/每周某几天项目内成员可登录项目的时间。设置后，项目内成员仅可在允许登录时间段内登录项目。
• 禁止登录时间：支持设置每天/每周某几天项目内成员不可登录项目的时间。设置后，项目内成员在禁止登录时间段内无法登录项目。

• 启用安全组限制前，需确保项目拥有至少1个安全组配额。
• 启用安全组限制后，将为该项目创建一个默认安全组。

• admin从主登录界面登录云平台

  使用Chrome浏览器或FireFox浏览器打开主登录界面（http://management_node_ip:5000/#/login），admin输入相应用户名和密码登录云平台。

  如图 1所示：

  
  
  

• 租户管理中的用户（平台管理员/平台成员/项目负责人/项目管理员/普通项目成员/部门运营管理员）从租户登录入口登录云平台
  使用Chrome浏览器或FireFox浏览器打开项目登录界面（http://management_node_ip:5000/#/project），输入相应用户名和密码登录云平台。其中，包括两种入口：

  • 本地用户：云平台创建的用户，通过本地入口登录。
  • AD/LDAP用户：通过第三方认证同步到云平台的第三方用户，通过AD/LDAP用户入口登录。

  登录成功后，选择需要管理的平台或项目，即可登录到对应的管理界面。

  如图 2所示：