IBM Cloud 用户管理 API - 邀请用户 - 禁止答案

【问题标题】：IBM Cloud User Management API - Invite users - ForbiddenIBM Cloud 用户管理 API - 邀请用户 - 禁止
【发布时间】：2020-05-29 07:31:41
【问题描述】：

我在尝试通过 REST API 邀请用户加入 ibm 云帐户时遇到错误。该错误表明 IMS 帐户 无效。有人知道什么是 IMS 帐户吗？

这是我的要求：

curl -X POST \
  https://user-management.cloud.ibm.com/v2/accounts/&MYACCOUNT/users \
 -H 'Authorization: Bearer $TOKEN' \
  -H 'Content-Type: application/json' \
    -d '{
      "users": [
      {
        "email": "myuser@ibm.com",
        "account_role": "Member"
      }],
      "iam_policy": [
      {
        "roles": [
        {
          "id": "crn:v1:bluemix:public:iam::::role:Viewer"
        }]
      }]
    }'

以及响应：

{
    "trace": "558156745",
    "errors": [
        {
            "code": 9999,
            "message": "Not Authenticated.",
            "more_info": "IMS account id from token is incorrect."
        }
    ]
}

任何想法如何处理这个？

【问题讨论】：

那是什么类型的政策？你传入的是什么类型的令牌？有经验吗？消息说您未通过身份验证。提供更多详情
我正在传递一个授权类型为urn:ibm:params:oauth:grant-type:apikey 且有效的访问令牌。相同的访问令牌适用于其他 api 调用
您是否有权邀请用户并授予该策略？
我是该帐户的所有者，但 api 密钥来自主企业帐户。是这个问题吗？

标签： ibm-cloud

【解决方案1】：

API keys on IBM Cloud 与用户绑定，也可以用于服务 ID、特定服务等。用户 ID 和服务 ID 的 API 密钥可用于generate an IAM (authentication) token。

当您调用 REST API 并使用令牌时，会检查令牌是否未过期、是否属于有效用户以及是否拥有执行所需功能所需的权限。

如果您想邀请用户加入某个帐户并希望在该邀请过程中授予权限，则需要使用有权邀请该特定帐户的用户 ID。对于企业层次结构中的任何帐户，包括企业帐户，它都可以是不同的。最重要的是，需要授予所需角色或资源访问权限的权限。如果缺少一个，它会给出一条错误消息（并不总是最好的）。

【讨论】：