华为云镜像服务IMS从入门到实战：跨账号共享、跨区域复制与API自动化对接全解析

1. 认识华为云镜像服务IMS

镜像服务（Image Management Service，简称IMS）是华为云提供的镜像生命周期管理工具。它不仅仅是简单的镜像存储功能，更是连接计算资源与部署运维的关键桥梁。通过IMS，用户可以灵活便捷地使用公共镜像、私有镜像或共享镜像快速创建弹性云服务器，同时还能通过弹性云服务器或外部镜像文件创建私有镜像，实现业务环境的标准化交付与快速复制。

需要先登录华为云控制台，点击：华为云控制台，还没有账号，点击：注册并关联，已有账号点击：登录后关联

IMS的核心价值体现在以下几个方面：其一，标准化交付能力。通过将预装好应用软件和系统配置的云服务器制作为私有镜像，可以实现多台云服务器的一致化部署，避免重复安装配置带来的差异与错误。其二，数据迁移与灾备支撑。无论是将线下物理服务器或虚拟机迁移到华为云，还是在不同区域之间进行数据备份，IMS都提供了可靠的镜像制作与复制能力。其三，跨团队协作支持。通过镜像共享功能，不同账号或同一账号下的不同项目团队可以复用彼此构建好的镜像资源，提升协作效率。其四，全流程自动化能力。IMS提供完整的RESTful API接口，配合官方提供的多种语言SDK，可以将镜像管理无缝集成到CI/CD流水线中。

2. IMS核心概念与基本操作

在深入对接实践之前，有必要先厘清IMS的几个核心概念。镜像类型方面，IMS支持系统盘镜像、数据盘镜像、整机镜像和ISO镜像四种类型。系统盘镜像包含操作系统和预装软件，用于创建云服务器的系统盘；数据盘镜像仅包含业务数据，用于创建云硬盘；整机镜像同时包含系统盘和数据盘，适合整体环境备份与迁移；ISO镜像则用于从光盘镜像文件安装操作系统。镜像格式方面，IMS支持vhd、vmdk、qcow2、raw、vhdx、qcow、vdi、qed、zvhd和zvhd2等多种格式，覆盖了主流虚拟化平台和云平台的镜像格式。

IMS的基本操作流程围绕镜像生命周期展开。从创建镜像开始，可以通过云服务器创建、外部镜像文件导入、云备份创建等多种方式生成私有镜像。镜像创建完成后，位于私有镜像列表，可以用于创建云服务器或云硬盘。如果需要与其他账号共享镜像，可以通过共享功能将镜像共享给指定的项目ID。如果需要在不同区域使用镜像，则可以通过跨区域复制功能将镜像复制到目标区域，复制后生成新的镜像ID。当镜像不再需要时，可以将其删除释放资源。整个生命周期中的所有操作均可通过控制台手动执行，也可以通过API自动化调度。

3. 外部镜像文件导入华为云

将本地或第三方云平台上的镜像迁移到华为云，是IMS最常用的场景之一。整个过程分为三个步骤：准备镜像文件、上传到OBS、导入IMS生成私有镜像。

3.1 镜像文件格式与准备要求

华为云IMS对外部镜像文件的格式有明确要求。支持的格式包括vhd、vmdk、qcow2、raw、vhdx、qcow、vdi、qed、zvhd和zvhd2。其中，zvhd2是华为云推荐的格式，在导入效率和兼容性方面表现最佳。如果现有镜像文件是其他格式，需要使用转换工具（如qemu-img）进行格式转换后再上传。镜像文件大小限制方面，常规导入最大支持128GB，快速导入最大支持1TB。在导入前还需要对镜像内部进行必要的优化配置：对于Windows镜像，建议安装Cloudbase-Init工具以便在云服务器创建时进行初始化配置，安装virtio驱动以保证磁盘和网络的性能；对于Linux镜像，需要设置网卡属性为DHCP、清理网络规则文件、安装并配置Cloud-Init工具、修改grub文件磁盘标识方式为UUID。

3.2 上传镜像文件到OBS

镜像文件准备完毕后，需要上传到华为云对象存储服务（OBS）的个人桶中。注意OBS桶和镜像文件的存储类别必须是标准存储，归档存储或低频访问存储会导致导入失败。推荐使用OBS Browser+工具进行上传，该工具支持断点续传和批量上传，尤其适合大文件传输。上传时需记录下镜像文件所在的桶名称和对象名称，后续导入时需要用到。如果希望使用快速导入功能，对于raw格式镜像还需同时生成位表文件，对于zvhd2格式则需确保已经按照华为云要求完成了镜像优化。

3.3 导入私有镜像

上传完成后登录IMS控制台，单击右上角"创建私有镜像"，进入创建私有镜像页面。在"镜像类型和来源"区域，创建方式选择"导入私有镜像"，镜像类型根据业务需求选择系统盘镜像或数据盘镜像。从列表中先选择保存镜像文件的桶，再选择对应的镜像文件。如果镜像文件格式为raw或zvhd2且大小超过128GB，可以勾选"开启快速通道"启用快速导入。在配置信息区域，需要明确指定操作系统类型，设置镜像名称，可选择KMS加密以及添加标签便于管理。单击立即创建后，IMS后台会开始处理镜像文件。对于常规导入，系统会进行驱动注入等优化操作，耗时相对较长；对于快速导入，系统跳过优化步骤，速度更快但需要用户自行确保镜像已完成所有必要配置。镜像状态从"创建中"变为"正常"时，表示导入成功。

4. 跨账号共享镜像实战

跨账号共享是IMS对接实践中非常重要的功能。当不同账号之间需要复用彼此构建好的镜像资源时，共享功能提供了简洁安全的解决方案。需要注意的是，镜像共享的范围只能在区域内进行，同一区域的账号之间可以直接共享，跨区域则需要先复制再共享。

4.1 获取目标账号的项目ID

共享镜像的第一步是获取接收方账号的项目ID。项目ID是华为云中用于标识项目空间的唯一标识符。接收方账号可以登录华为云控制台，在"我的凭证"页面中查看项目ID。项目ID与区域相关，需要获取与待共享镜像所在区域对应的项目ID。如果接收方账号在目标区域下有多个项目，可以选择任意一个或多个项目进行共享。

4.2 执行镜像共享操作

镜像提供方登录IMS控制台，单击"私有镜像"页签进入镜像列表页面。勾选需要共享的私有镜像，支持单次勾选多个镜像进行批量共享。单击镜像列表上方的"共享"按钮，在弹出的共享镜像窗口中输入接收方的项目ID。如果需要添加多个镜像接受者，请使用英文逗号间隔，单次最多可以输入100个项目ID。单击确定后，共享操作即完成，镜像状态中的共享标记会更新。共享操作不会生成新的镜像副本，接收方看到的是同一份镜像资源，镜像所有者保持不变。

4.3 接受共享镜像

接收方登录IMS控制台，在左上角切换区域为镜像共享所在的区域。单击"共享镜像"页签进入镜像列表页面。在共享镜像列表中会看到提供方共享过来的镜像，镜像状态可能显示为"待接受"。勾选需要接受的镜像，单击"接受"完成共享镜像的接收。接受后，该镜像将显示在共享镜像列表中，可以像使用私有镜像一样用它来创建云服务器。如果不需要该共享镜像，也可以选择拒绝或删除共享记录。共享镜像在被接受后，接收方可以基于它创建云服务器，但无法删除镜像本身或修改其配置，这些操作权限仍归属于镜像所有者。

4.4 跨区域共享镜像的两种方案

由于共享镜像只能在区域内进行，如果需要跨区域跨账号共享镜像，有两种实现方案。方案一：先复制镜像到目标区域，再共享。镜像提供方先将源区域的私有镜像通过跨区域复制功能复制到目标区域，复制完成后目标区域会生成一个新镜像（具有新的镜像ID），然后再将该新镜像共享给目标账号。方案二：先共享镜像，再跨区域复制到目标区域。镜像提供方先将源区域的私有镜像共享给目标账号，目标账号接受共享后，再在源区域将共享镜像复制到目标区域。两种方案各有优劣，方案一由提供方主导复制和授权，方案二由接收方承担复制操作，实际选择取决于双方的协作关系和安全策略。

5. 跨区域复制镜像全流程

跨区域复制镜像解决了镜像只能在创建区域使用的限制，是实现业务多区域部署、跨区域灾备的核心技术手段。复制镜像到目标区域后，目标区域会生成新的镜像，该镜像具有独立的新镜像ID，可以在目标区域自由使用。

5.1 IAM委托创建与权限配置

执行跨区域复制前，需要先创建IAM委托。委托的作用是授权IMS服务能够访问目标区域的资源。登录IAM控制台，在左侧导航栏单击"委托"，然后单击"创建委托"。委托名称可以填写如"ims_copy_agency"，委托类型选择"云服务"，云服务在下拉列表中选择"镜像服务 IMS"，持续时间选择"永久"。单击"完成"后，在授权的确认弹窗中单击"立即授权"。根据要复制的镜像类型勾选相应的系统策略：复制系统盘镜像和数据盘镜像时选择IMS CrossCopyAgencyPolicy，复制整机镜像时选择IMS CrossCopyAgencyCBRPolicy。需要特别注意的是，授权时建议选择细粒度的系统策略而非Tenant Administrator这类宽泛权限，遵循最小权限原则可以降低安全风险。如果历史已存在权限过大的委托，建议进行优化调整，删除不必要的宽泛权限，替换为精确的策略。

5.2 执行跨区域复制操作

完成委托创建后，登录IMS控制台，切换到源镜像所在区域。在私有镜像列表中，找到需要复制的镜像，在操作列单击"更多"，选择"复制"。支持批量跨区域复制功能目前主要在"华北-北京一"区域可用，其他区域可能需要单镜像逐一操作。在复制镜像对话框中填写以下参数：目的区域选择目标区域，目的项目选择目标项目，IAM委托选择上一步创建的委托名称，可选参数中输入相关描述。值得注意的是，ISO镜像、加密镜像、状态为"创建中"或"已冻结"的镜像不支持跨区域复制。整机镜像的跨区域复制涉及云服务器备份或云备份的数据复制，会产生相应的CSBS或CBR按需费用，且复制时间与网络速度、镜像大小、并发任务数等因素有关，需要耐心等待。单击确定后系统提交复制任务，可以切换到目的区域的私有镜像页面，待镜像状态变为"正常"时表示复制成功。

5.3 整机镜像跨区域复制的特殊处理

对于不支持直接跨区域复制的整机镜像场景，存在一种变通方案：先使用整机镜像创建云服务器，再分别创建系统盘镜像和数据盘镜像，然后将系统盘镜像和数据盘镜像分别跨区域复制到目标区域，最后在目标区域基于这两个镜像创建云服务器。这种方案虽然步骤较多，但能够实现整机镜像的跨区域迁移。对于使用云服务器备份创建的整机镜像，还有一个特殊限制：仅支持对当前区域生成的备份执行跨区域复制操作，不支持对复制操作产生的备份再次执行跨区域复制。

6. IMS API对接与自动化实践

IMS提供了完整的RESTful风格API，支持用户通过编程方式对镜像进行创建、查询、删除、更新等操作。API的调用方法遵循华为云API的统一规范，使用Token认证方式完成认证鉴权。通过API对接，可以将镜像管理集成到自动化运维平台或CI/CD流水线中。

6.1 API认证与调用基础

调用IMS API之前需要先获取IAM Token。Token的有效期为24小时，建议在应用程序中缓存Token并在过期前刷新，避免频繁调用认证接口。获取Token后，在调用IMS API时需要在请求头中添加"X-Auth-Token"字段，值为获取到的Token字符串。IMS的API终端节点（Endpoint）因区域而异，可以从华为云地区和终端节点文档中查询。API调用统一使用HTTPS协议，确保传输过程中的数据安全。

6.2 Python SDK示例：创建私有镜像

华为云官方提供了多种语言的SDK，包括Python、Java、Go、Node.js等，能够大幅简化API调用的复杂度。以下是一个使用Python SDK从云服务器创建私有镜像的完整示例：

# 导入华为云Python SDK依赖包
from huaweicloudsdkcore.auth.credentials import BasicCredentials
from huaweicloudsdkims.v2.region.ims_region import ImsRegion
from huaweicloudsdkims.v2 import *

# 替换为实际的认证信息和配置
AK = "your_ak_here"
SK = "your_sk_here"
PROJECT_ID = "your_project_id_here"
ECS_INSTANCE_ID = "your_ecs_instance_id_here"

# 初始化认证凭证
credentials = BasicCredentials(ak=AK, sk=SK, project_id=PROJECT_ID)

# 创建IMS客户端
ims_client = ImsClient.new_builder() \
    .with_credentials(credentials) \
    .with_region(ImsRegion.CN_NORTH_4) \
    .build()

# 构建创建镜像的请求体
create_request = CreateImageRequest()
create_image_body = CreateImageRequestBody()
create_image_body.name = "my-python-created-image"
create_image_body.description = "通过Python SDK从云服务器创建的测试镜像"
create_image_body.instance_id = ECS_INSTANCE_ID
create_image_body.tags = ["environment:test", "source:python-sdk"]
create_request.body = create_image_body

# 调用API创建镜像
try:
    response = ims_client.create_image(create_request)
    print("镜像创建请求已提交，job_id: %s" % response.job_id)
except Exception as e:
    print("镜像创建失败: %s" % e)

6.3 异步任务查询与结果获取

IMS的镜像创建操作是异步执行的，调用创建接口后返回的是job_id，需要通过查询job详情来确认镜像是否创建成功，以及获取最终的image_id。

from huaweicloudsdkcore.exceptions import exceptions

# 查询异步任务状态
show_job_request = ShowJobRequest()
show_job_request.job_id = "job_id_from_previous_response"

try:
    job_response = ims_client.show_job(show_job_request)
    if job_response.status == "SUCCESS":
        print("镜像创建成功")
        # 从job响应体中提取image_id
        image_id = job_response.entities.get("image_id")
        print("镜像ID: %s" % image_id)
    else:
        print("镜像创建中，当前状态: %s" % job_response.status)
except exceptions.ClientRequestException as e:
    print("查询任务状态失败: %s" % e)

除了创建镜像，IMS API还支持查询镜像列表、更新镜像信息、删除镜像、导出镜像、添加镜像标签等操作。所有API接口都遵循相同的调用模式，掌握基础调用逻辑后可以快速扩展其他功能。

6.4 Java SDK示例：镜像管理操作

对于Java技术栈的开发团队，华为云同样提供了完善的Java SDK支持。以下代码示例展示了使用Java SDK查询镜像列表和删除镜像的核心流程：

import com.huaweicloud.sdk.core.auth.BasicCredentials;
import com.huaweicloud.sdk.ims.v2.ImsClient;
import com.huaweicloud.sdk.ims.v2.model.*;

public class ImsExample {
    public static void main(String[] args) {
        String ak = "your_ak_here";
        String sk = "your_sk_here";
        String projectId = "your_project_id_here";

        BasicCredentials auth = new BasicCredentials()
                .withAk(ak).withSk(sk).withProjectId(projectId);

        ImsClient client = ImsClient.newBuilder()
                .withCredential(auth)
                .withRegion(ImsRegion.valueOf("cn-north-4"))
                .build();

        // 查询镜像列表
        ListImagesRequest listRequest = new ListImagesRequest();
        listRequest.setImagetype("private");
        ListImagesResponse listResponse = client.listImages(listRequest);
        System.out.println("私有镜像数量: " + listResponse.getImages().size());

        // 删除指定镜像（使用前请确认镜像未被使用）
        String imageIdToDelete = "your_image_id_here";
        DeleteImageRequest deleteRequest = new DeleteImageRequest();
        deleteRequest.setImageId(imageIdToDelete);
        DeleteImageResponse deleteResponse = client.deleteImage(deleteRequest);
        System.out.println("镜像删除请求已提交: " + deleteResponse.getJobId());
    }
}

无论是Python还是Java SDK，其底层都是调用IMS的RESTful API。理解API的请求结构和响应格式，有助于在SDK未覆盖的特定场景下直接构造HTTP请求进行对接。

7. IMS安全加固与权限精细化管控

安全性是镜像服务使用中不可忽视的重要维度。从镜像文件的来源到镜像的使用范围，再到访问权限的分配，每个环节都需要纳入安全考量的范围。

7.1 镜像加密与传输安全

华为云IMS支持使用KMS（密钥管理服务）对私有镜像进行加密。创建镜像时勾选"KMS加密"并从密钥列表中选择一个密钥名称，镜像数据将使用指定的用户主密钥进行加密存储。加密镜像在用于创建云服务器时，系统会自动进行解密，对用户使用体验无影响但大幅提升了数据安全性。在传输层面，IMS的所有API接口和SDK调用均支持HTTPS协议，推荐始终使用HTTPS进行通信，避免镜像数据在公网传输过程中被截获或篡改。

7.2 IAM精细化权限管理

通过IAM进行精细化权限管理是IMS安全实践的核心。默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组并授予相应的策略后才能使用IMS资源。IMS支持的系统策略包括IMS FullAccess（所有操作权限）和IMS ReadOnlyAccess（只读权限），但对于企业级应用场景，更建议使用自定义策略进行细粒度授权。自定义策略以API接口为粒度进行权限拆分，可以精确到某一个操作、某一类资源甚至配合条件键进行访问控制。例如，可以创建一条策略允许IAM用户仅能对带有特定标签的镜像进行管理，或限制只能使用指定的密钥类型进行镜像加密。

在跨区域复制场景中，委托权限的精细化尤为重要。历史版本中很多用户配置了Tenant Administrator或IMS Administrator这样的宽泛权限来满足跨区域复制需求，这种做法存在较大的安全风险。华为云已提供细粒度的系统策略IMS CrossCopyAgencyPolicy和IMS CrossCopyAgencyCBRPolicy，分别对应系统盘/数据盘镜像的复制和整机镜像的复制。建议将原有委托中的宽泛权限删除，替换为上述细粒度策略，实现最小权限原则下的安全管控。

7.3 共享镜像前的安全检查

在将私有镜像共享给其他账号之前，务必确认镜像内部已清除敏感数据和文件。镜像共享的本质是授予其他账号对同一份镜像数据的访问权限，如果镜像内部包含了数据库连接字符串、API密钥、证书文件等敏感信息，接收方将能够获取这些数据。推荐的做法是在制作共享镜像之前，使用专用的清理工具或脚本对镜像进行脱敏处理，确保共享出去的镜像是安全的、可对外公开的。

8. IMS实践总结与常见问答

华为云IMS作为基础设施层面的核心服务，其对接使用的复杂度主要体现在对镜像格式规范的理解、跨账号协作流程的掌握以及API自动化能力的集成。通过本文的全面解析，相信读者已经对IMS的各个功能模块有了系统性的认识。外部镜像导入时注意格式转换和驱动优化，跨账号共享时理解区域限制与项目ID的作用，跨区域复制时提前配置好IAM委托和最小权限策略，API对接时选用官方SDK并正确处理异步任务，在每个环节都遵循安全最佳实践。将这些知识融会贯通，可以构建出高效、安全、自动化的镜像管理体系，让云上业务部署更加敏捷可靠。

问答1：IMS支持哪些外部镜像文件格式？

IMS支持vhd、vmdk、qcow2、raw、vhdx、qcow、vdi、qed、zvhd和zvhd2格式。其中zvhd2是华为云推荐的格式，在导入效率和兼容性方面表现最佳。如果镜像大小超过128GB，需要使用快速导入功能，此时仅支持raw和zvhd2格式。

问答2：如何实现跨区域的镜像共享？

由于镜像共享只能在同区域内进行，跨区域共享镜像需要两步操作：方案一是先将源区域的镜像跨区域复制到目标区域，然后在目标区域将新镜像共享给目标账号；方案二是先将镜像共享给目标账号，目标账号接受共享后，再将其跨区域复制到目标区域。两种方案均可实现跨区域跨账号共享镜像。

问答3：跨区域复制镜像时为什么需要创建IAM委托？

跨区域复制镜像时，IMS服务需要获得授权才能将镜像数据写入目标区域的存储系统中。IAM委托的作用就是授予IMS服务在目标区域的操作权限。创建委托时需要选择镜像服务IMS作为受托方，并授予相应的权限策略（如IMS CrossCopyAgencyPolicy）。复制完成后委托不删除，后续可重复使用。

问答4：通过API创建镜像后如何获取镜像ID？

IMS的镜像创建操作是异步执行的，调用API创建镜像接口后返回的是job_id而非直接的image_id。需要调用异步任务查询接口传入job_id，当查询到任务状态为SUCCESS时，从响应体的entities.image_id字段中获取最终的镜像ID。完整的代码实现可参考本文第6节的Python SDK示例。

问答5：共享镜像和跨区域复制镜像有什么区别？

共享镜像不会生成新的镜像副本，接收方看到的是和源镜像相同ID的同一份资源，镜像所有者保持不变，适用于同区域内账号间镜像复用。跨区域复制镜像会在目标区域生成新的镜像副本，新镜像具有独立的新镜像ID，复制完成后源区域镜像的后续变更不会同步到目标区域，适用于跨区域业务部署或数据备份场景。两种功能常结合使用以实现跨区域跨账号的镜像流转。

问答6：跨区域复制整机镜像会产生额外费用吗？

会产生。跨区域复制整机镜像时，IMS会将关联的云服务器备份或云备份数据进行复制，这个过程会产生CSBS或CBR的按需费用。费用取决于备份数据的大小和复制后的存储时长。系统盘镜像和数据盘镜像的跨区域复制不产生额外费用，仅消耗存储空间。