子账号功能说明

功能说明

子账号对接模式主要的作用是控制开发者管理员账户的权限，通过使用子账号对接模式可以在开发者管理员账户的权限范围内创建子账号，给不同的子账号分配不同的权限从而实现授权管理的目的。

为什么要使用子账号对接模式

子账号需要解决的一个核心问题是如何在不暴露开发者AccessToken的情况下安全的授权别人访问设备。因为一旦开发者的AccessToken暴露出去会带来安全风险，别人可以有机会操作开发者管理员账户下所有的设备资源。

子账号功能是一种长期有效的权限控制机制，通过分出不同权限的子账号，将不同的权限分给不同的用户，这样一旦子账号泄露也不会造成全局的信息泄露。

基本概念

以下是子账号对接模式的一些基本概念：

子账号：从乐橙开放平台开发者账号中创建出来的子账号，每个子账号有一个Id。

授权策略（Policy）：用来定义权限的规则，比如预览某个设备。

资源（Resource）：用户可以访问的资源，比如序列号为469631729的设备，或者序列号为469631729的设备的第1个通道；

子账号授权策略（Policy）配置

Policy当中有一个Statement。Statement里面规定了相应的permission、resource。

下面是一个授权策略（Policy）示例：

{
    "statement": [
        {
            "permission": "Ptz,Talk,Config",
            "resource": [
                "dev:469631729",
                "cam:544229080:1"
            ]
        },
        {
            "permission": "Real",
            "resource": [
                "dev:470686804"
            ]
        }
    ]
}

这个Policy把开发者管理员账号下的469631729、544229080、470686804等设备资源进行授权，并且分别支持Ptz,Talk,Config,Real权限。

配置细则

Statement

通过Statement描述授权语义，每条包含对Permission、Resource的描述。每次请求系统会逐条依次匹配检查，如果匹配成功的都为通过，该条请求即鉴权通过。如果没有任何条目匹配成功，该条请求被禁止访问。

permission

Resource

Resource是指乐橙开放平台上被授权的某个具体对象，resource的规则是 {resourceType}:{resourceId}；

1. resourceType: 表示资源类型，现在只有2种资源类型，dev（设备）、cam（通道）；

2. resourceId：表示资源Id，dev类型的resourceId是设备序列号，cam类型的resourceId是设备序列号:通道号。

隶属关系

cam资源隶属于dev资源，子账户对dev资源的权限可传递到cam资源。例如，有2个资源dev:544229080和cam:544229080:1，cam:544229080:1隶属于dev:544229080；如果开发者把dev:544229080资源的Real权限授权给子账户，则该子账户默认对cam:544229080:1拥有Real权限。