组织-华为云

合作伙伴中心-关于系统预置的客户经理角色权限的说明

关于系统预置的客户经理角色权限的说明预置的客户经理角色的权限是固定的，不支持修改此角色的权限范围，有查询子客户消费记录的权限，没有代金券管理的权限的，也没有伙伴账单权限；客户经理默认只能管理自己名下的客户，当同时分配客户经理角色和其他角色后，客户经理将能管理全部客户；通过给子客户分配客户经理，来达到操作员账号对指定子客户信息查看等权限管控的目的，其他角色均不支持做类似的权限控制。父主题：组织成员

合作伙伴中心组织成员

合作伙伴中心-组织人员登录伙伴中心:操作步骤

操作步骤进入华为云官网首页。单击“登录”，进入登录页面。单击登录页面的“ IAM 用户”。输入登录信息后，单击“登录”，进入伙伴中心。表1 登录信息参数说明租户名/原华为云账号输入合作伙伴的账号名。合作伙伴的账号名需要咨询管理员获取。 IAM用户名/邮件地址输入组织人员的账号名或者邮箱。组织人员的账号名需要咨询管理员获取。 IAM用户密码输入管理员提供的初始密码。新创建的组织人员首次登录时，需要根据页面提示修改密码。

合作伙伴中心组织成员

交换数据空间 EDS-为DMAP数小二实例关联组织:添加访问DMAP数小二实例的成员

添加访问DMAP数小二实例的成员登录交换数据空间官网。单击“管理控制台”，进入交换数据空间控制台界面。在页面左侧导航栏选择“DMAP数小二”，然后选择需要添加成员的实例，单击实例卡片上的“系统设置”。选择在为实例关联组织中绑定的DMAP数小二实例的组织，单击组织下的“成员管理”。图2 成员管理在“成员管理”页面，单击“创建成员”。参考表1填写成员信息，填写完成后，单击“下一步”。表1 添加成员参数说明参数名称参数说明成员姓名成员的姓名。最多可输入20个字符。必填项。成员账号管理员为成员设置的账号。输入账号前半部分，后面默认带组织域名后缀。必填项。账号默认带组织域名后缀，如“zhangsan01@abc.orgid.top”。手机号成员的手机号码。非必填项，当邮箱地址未填写时手机号必须填写。当使用组织成员账号通过域名直接访问DMAP数小二时，手机号为必填项，用于身份验证。邮箱地址成员的邮箱地址。非必填项，当手机号未填写时邮箱地址必须填写。成员工号成员的工号。非必填项。设置密码组织管理员为成员设置的账号密码，支持选择“自动生成密码”或“手工输入密码”。手工输入的密码格式需满足以下要求：至少包含8个字符。至少含字母和数字，不能包含空格。说明：成员首次登录需修改密码。成员设置成功后，通过为DMAP数小二成员配置系统角色或为DMAP数小二成员配置自定义角色为成员配置DMAP数小二权限。

交换数据空间 EDS 购买DMAP数小二实例并关联组织

交换数据空间 EDS-为DMAP数小二实例关联组织:为实例关联组织

为实例关联组织登录交换数据空间官网。单击“管理控制台”，进入交换数据空间控制台界面。在页面左侧导航栏选择“DMAP数小二”，然后选择DMAP数小二实例，单击实例卡片上的“系统设置”，进入设置组织页面。已开通过组织，选择需要关联的组织，单击“提交”。未开通过组织，执行如下操作。开通该组织的账号会自动作为此DMAP数小二实例的系统管理员。单击“创建组织”。在“创建组织”页面，并单击“下一步”。名称由1~60个中文、英文、数字及合法字符组成。设置组织的域名。输入组织简称，可使用2~30位字母、数字或它们的组合，如abc，后缀名为固定的.orgid.top，如图1所示。单击“下一步”。域名是指网址中“www.”之后的内容，如: www.example.com中的example.com即为域名；或电子邮件地址中“@”符号之后的内容，如username@example.com中的example.com即为域名。域名设置后管理员为组织创建成员时，成员的管理式华为账号默认带有域名后缀，如设置的组织域名为abc.orgid.top，创建的成员账号为xxx@abc.orgid.top。OrgID支持使用自有域名，可在域名管理中添加域名并在创建成员时选择账号后缀的域名。图1 设置组织域名阅读“管理式华为账号”相关声明，单击“同意”。组织创建成功。单击“去关联”，选择租户要关联的组织。

交换数据空间 EDS 购买DMAP数小二实例并关联组织

组织 ORGANIZATIONS-关闭账号:约束与限制

约束与限制只有创建的账号才可以关闭，无法关闭邀请的账号。已设置为委托管理员的账号无法关闭，如需关闭请先取消委托管理员。管理账号在30天内仅可以关闭组织中10%的成员账号，最多支持关闭200个成员账号，最多可以同时关闭3个成员账号。创建新账号时，不能使用关闭中状态的账号所关联的手机号、邮箱。如果账号中存在预付费资源（一般为包年/包月计费模式，先付费后使用）则无法关闭，请提前确认并退订相关包年/包月资源后，再进行关闭账号操作。如何退订资源请参见退订使用中的资源。如果账号中存在欠费资源则无法关闭，请及时进行充值还款后，再进行关闭账号操作。如何充值还款请参见充值还款。

组织 ORGANIZATIONS

组织 ORGANIZATIONS-查看账号记录:查看账号列表

查看账号列表以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台。进入账号管理页，选择“账号列表”页签。在列表中可查看组织中的全部账号及其相关信息。在列表中单击账号名，可查看账号的详细信息。在列表中的操作列，可对账号进行移动、移除、关闭操作。邀请加入组织的账号可执行移动和移除操作，在组织中创建的账号可执行移动和关闭操作。在列表左上方单击“添加”，可进行邀请现有账号和创建新账号加入组织的操作。图1 账号列表

组织 ORGANIZATIONS

组织 ORGANIZATIONS-移除成员账号:移除须知

移除须知组织管理员从组织中移除成员账号或成员账号主动退出组织之前，您需要了解以下内容：已设置为委托管理员的账号无法从组织中移除或主动退出组织，需先取消委托管理员。当某个成员账号离开组织后，组织策略施加的权限限制将不再影响该账号，这意味着该账号可能拥有比之前更多的权限。当组织已启用可信服务，成员账号离开组织后将无法再使用该服务与组织集成的相关功能。当某个成员账号离开组织后，该账号不再有权访问其属于该组织时的数据。但是，组织的管理账号仍可以访问这些数据。如果该成员账号重新加入组织，则其将可以再次访问这些数据。当成员账号离开组织时，所有附加到该账号的标签都将被删除。仅通过邀请方式加入组织的成员账号可以被移除和主动退出组织，通过组织云服务创建的账号无法被移除，也无法主动退出组织。

组织 ORGANIZATIONS 账号管理

配置审计 CONFIG-添加预定义组织合规规则:操作场景

操作场景在使用资源合规时，如果您是组织管理员或Config服务的委托管理员，您可以添加组织类型的资源合规规则，直接作用于您组织内的成员账号中。当组织资源合规规则部署成功后，会在组织内成员账号的规则列表中显示此组织合规规则。且该组织合规规则的修改和删除操作只能由创建规则的组织账号进行，组织内的其他账号只能触发规则评估和查看规则评估结果以及详情。您可以选择Config提供的系统内置预设策略或者自定义策略来创建组织类型的资源合规规则，本章节指导您如何使用系统内置的预设策略来快速添加组织合规规则。

配置审计 CONFIG 组织合规规则

配置审计 CONFIG-添加预定义组织合规规则:操作步骤

操作步骤以组织管理员账号或者Config服务的委托管理员账号登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击左侧的“资源合规”，进入“资源合规”页面。选择“组织规则”页签，单击“添加规则”，进入“基础配置”页面，基础配置完成后，单击“下一步”。图1 基础配置表1 基础配置参数说明参数说明策略类型选择“预设策略”。预设策略即服务已开发的策略，在下方的预设策略列表中直接选择所需预设策略，快速完成规则创建。支持输入策略名称或标签进行搜索。预设策略详情见系统内置预设策略。规则名称规则名称默认复用所选择预设策略的名称，不能与已存在的合规规则名称重复，如有重复需自行修改。合规规则名称仅支持数字、字母、下划线和中划线。规则简介规则简介默认复用所选择预设策略的简介，也可自行修改。目前对合规规则简介的内容不做限制。进入“规则参数”页面，规则参数配置完成后，单击“下一步”。图2 规则参数表2 合规规则参数说明参数说明触发类型用于触发资源合规规则。触发类型有：配置变更：在指定的云资源发生更改时触发规则评估。周期执行：按照您设定的频率运行。过滤器类型用于指定资源类型参与规则评估。过滤器类型分为：指定资源：指定资源类型下的所有资源均参与规则评估。所有资源：账号下的所有资源均参与规则评估。仅当“触发类型”选择“配置变更”时需配置此参数。指定资源范围过滤器类型选择“指定资源”后，需选择指定资源范围。服务：选择资源所属的服务；资源类型：选择对应服务下的资源类型；区域：选择资源所在的区域。仅当“触发类型”选择“配置变更”时需配置此参数。过滤范围使用过滤范围可指定资源类型下的某个具体资源参与规则评估。过滤范围开启后您可通过资源ID或标签指定过滤范围。仅当“触发类型”选择“配置变更”时需配置此参数。周期频率设置合规规则周期执行的频率。仅当“触发类型”选择“周期执行”时需配置此参数。规则参数此处的“规则参数”和第一步所选的“预设策略”相对应，是对第一步所选的预设策略进行具体参数设置。例如：第一步预设策略选择“资源具有指定的标签”，指定一个标签，不具有此标签的资源，视为“不合规”，则这里的规则参数就需要指定具体的标签键和值作为判断是否合规的依据。有的“预设策略”需要添加规则参数，有的“预设策略”不需要添加规则参数。例如：已挂载的云硬盘开启加密（volumes-encrypted-check）。目标目标决定了此组织合规规则配置的部署位置。组织：将策略部署到您组织内的所有成员账号中。当前账号：将策略部署到当前登录的账号中。创建组织类型的资源合规规则时请选择“组织”。排除账号输入需要排除的组织内的部分账号ID，使得该组织合规规则不在排除的账号中部署。仅当“目标”选择“组织”时可配置此参数。进入“确认规则”页面，确认规则信息无误后，单击“提交”按钮，完成预定义组织合规规则的创建。图3 确认规则合规规则创建后会立即自动触发首次评估。

配置审计 CONFIG 组织合规规则

配置审计 CONFIG-添加预定义组织合规规则:约束与限制

约束与限制每个账号最多可以添加500个合规规则。添加、修改组织合规规则和触发规则评估需要开启资源记录器，资源记录器处于关闭状态时，组织合规规则仅支持查看和删除操作。非组织成员账号无法在Config控制台的“资源合规”页面中看到“组织规则”页签。仅被资源记录器收集的资源可参与资源评估，为保证资源合规规则的评估结果符合预期，强烈建议您保持资源记录器的开启状态，不同场景的说明如下：如您未开启资源记录器，则资源合规规则无法评估任何资源数据。历史的合规规则评估结果依然存在。如您已开启资源记录器，但仅在资源记录器监控范围内勾选部分资源，则资源合规规则仅会评估所选择的资源数据。关于如何开启并配置资源记录器请参见：配置资源记录器。

配置审计 CONFIG 组织合规规则

组织 ORGANIZATIONS-SCP原理介绍:SCP分类

SCP分类 SCP按照策略创建者可分为两类，分别是系统策略和自定义策略。系统策略华为云服务在组织预置了常用SCP，称为系统策略。组织管理员给组织单元或账号绑定SCP时，可以直接使用这些策略。系统策略只能使用，不能修改。现有的SCP系统策略请参见：SCP系统策略列表。自定义策略如果系统策略无法满足授权要求，管理账号可以根据各服务支持的授权项，自行创建和修改自定义策略。自定义策略是对系统策略的扩展和补充。目前Organizations云服务支持策略编辑器和JSON视图两种自定义策略配置方式。

组织 ORGANIZATIONS

组织 ORGANIZATIONS-SCP原理介绍:权限控制原理

权限控制原理划定权限边界 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作权限，而是规定了成员账号或组织单元包含的成员账号的授权范围。IAM策略授予权限的有效性受SCP限制，只有在SCP允许范围内的权限才能生效。SCP禁止的权限操作，即便授予IAM用户权限，用户也不能执行相关操作。比如成员账号A绑定了某一条SCP，SCP允许操作A的权限，拒绝操作B的权限。那么成员账号A可以给自己名下的IAM用户授予操作A的权限，不能授予操作B的权限，即便授予了操作B的权限，也无法生效。交集有效权限边界的叠加遵从交集有效准则，父OU的SCP与子OU（或账号）的SCP共同允许的权限，作为子OU的最终权限边界。如下图所示，左侧的椭圆表示附加到父OU的SCP，它允许权限A、B和C。右侧椭圆表示子OU（或账号）绑定SCP允许的权限，子OU（或账号）允许权限C、D和E。由于附加到父OU的SCP不允许D或E，因此父OU下的所有子OU和账号都不能使用它们，即使子OU的SCP明确允许D和E，它们最终仍然会被父OU的SCP阻止。子OU（或账号）的SCP不允许A或B，因此，子OU（或账号）将阻止这些权限。最终，子OU的权限是父OU权限和子OU（或账号）绑定SCP的权限交集，即下图中的权限C。如果椭圆右侧是一个成员账号，则交集是授予该账号中的用户和用户组的最大权限集合。如果椭圆右侧是OU，则交集是该子OU可继承的最大权限集合。图1 SCP原理图筛选继承组织单元或账号绑定的SCP包括两部分，直接绑定的策略和继承的策略。某组织单元绑定的SCP，会继承给该组织单元下的所有子级OU和账号。账号和组织单元的权限边界，由所有上级OU的SCP和自身直接绑定的SCP共同决定。如下图所示，Account y隶属于OU3，Account y的权限边界是由继承自Root，OU1和OU3的SCP与Account y绑定的SCP共同决定。图2 SCP继承规则如果要在成员账号级别允许使用某个云服务的操作，则必须在账号和根组织单元之间的每个层级上允许该操作。这意味着，必须在根组织单元和账号之间的每个层级，附加允许该操作的SCP。您可以使用下列任一策略执行此操作：添加拒绝策略。拒绝策略会使用默认附加到每个OU和账号上的FullAccess SCP。此SCP将覆盖默认的隐式Deny，并明确允许所有权限从根组织单元传递到每个账号，除非创建并附加到相应OU或账号的其他SCP明确了拒绝权限。策略中的显式Deny始终优先于Allow。具有拒绝策略的OU层级以下的任何账号都不能使用被拒绝的操作，也无法在组织结构中较低的层级中添加该权限。添加允许策略。添加允许策略并删除默认附加到每个OU和账号的FullAccess SCP后，除非策略中明确允许，否则任何OU和账号都不允许任何操作权限。要允许使用某个云服务的操作，必须创建SCP并将它们附加到账号及其层级之上的每个OU，直至附加到根组织单元为止（包括根组织单元）。层次结构中的每个SCP（从根组织单元开始）必须明确允许在OU及其下面的账号中使用该操作。SCP中的显式Allow会覆盖隐式Deny。拒绝优先当组织单元和账号绑定多条SCP时，账号权限优先遵从拒绝语句。比如成员账号A同时绑定了两条SCP，分别是允许全部操作和禁止查看账单操作。此时执行查看账单操作，鉴权规则会优先遵从拒绝操作，即成员账号A不能查看账单。详细说明请参考显式拒绝和隐式拒绝的区别。默认允许组织启用SCP时，默认会为所有OU和账号附加全部权限（FullAccess策略），默认允许所有操作。除非您为OU或账号附加其他的明确拒绝策略。

组织 ORGANIZATIONS

组织 ORGANIZATIONS-SCP原理介绍:显式拒绝和隐式拒绝的区别

显式拒绝和隐式拒绝的区别 Effect（效果）包含两种：Allow（允许）和Deny（拒绝），分别表示允许或拒绝执行某操作的权限。当没有策略设置权限为Allow和Deny时，默认情况即为Deny权限，称为隐式拒绝。当有策略授权Allow权限，且没有其他策略Deny该权限时，Allow的权限才能生效。如果策略设置权限为Deny，则为显式拒绝。显式的Deny始终优先于Allow。例如，父OU的SCP，它允许权限A、B和C，但是子OU的SCP允许权限A、B，拒绝权限C，则该子OU的账号以及以下层级的账号，均无法使用权限C。用户在发起访问请求时，鉴权规则如下：图3 系统鉴权逻辑图用户发起访问请求。系统优先寻找Deny指令。如果找到一个适用的Deny指令，系统将返回Deny决定。如果没有找到Deny指令，系统将寻找适用于请求的任何Allow指令。如果找到一个Allow指令，系统将返回Allow决定。如果找不到Allow指令，最终决定为Deny，鉴权结束。

组织 ORGANIZATIONS

组织 ORGANIZATIONS-云桌面 Workspace:条件（Condition）

条件（Condition）条件键（Condition）是SCP生效的特定条件，包括条件键条件键和运算符运算符。条件键表示SCP语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键全局条件键。服务级条件键（前缀通常为服务缩写，如workspace:）仅适用于对应服务的操作，详情请参见表4。单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个 VPC终端节点发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，SCP才能生效。支持的运算符请参见：运算符运算符。云桌面定义了以下可以在SCP的Condition元素中使用的条件键，您可以使用这些条件键进一步细化SCP语句应用的条件。表4 云桌面支持的服务级条件键服务级条件键类型单值/多值说明 workspace:AccessMode string 多值根据请求参数中指定的接入方式过滤访问，有效的条件值应为INTERNET、DEDICATED、BOTH。 workspace:CreateOrderType string FALSE 根据请求参数中指定的创建订单类型过滤访问，有效的条件值应为createDesktops、addVolumes、createDehHosts、rebuildDesktops、createDesktopPool、expandDesktopPool、applyDesktopsInternet、createExclusiveHosts、subscribeUserSharer、createApps。 workspace:ChangeOrderType string FALSE 根据请求参数中指定的变更订单类型过滤访问，有效的条件值应为resizeDesktops、expandVolumes、meteredToPeriod、ADD_VOLUME、EXTEND_VOLUME、RESIZE、CHANGE_IMAGE、ADD_SUB_RESOUR CES 、DELETE_SUB_RESOURCES。 workspace:AssociatePublicIp boolean FALSE 按照关联eip开关值筛选桌面绑定eip的权限。

组织 ORGANIZATIONS 企业应用

组织 ORGANIZATIONS-弹性云服务器 ECS:条件（Condition）

条件（Condition）条件键（Condition）是SCP生效的特定条件，包括条件键和运算符。条件键表示SCP语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键。服务级条件键（前缀通常为服务缩写，如ecs:）仅适用于对应服务的操作，详情请参见表4。单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个VPC终端节点发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，SCP才能生效。支持的运算符请参见：运算符。 E CS 定义了以下可以在SCP的Condition元素中使用的条件键，您可以使用这些条件键进一步细化SCP语句应用的条件。表4 ECS支持的服务级条件键服务级条件键类型单值/多值说明 ecs:imageID string 多值根据请求参数中指定的镜像ID过滤访问。 ecs:FlavorId string 多值根据请求参数中指定的规格ID过滤访问。 ecs:VpcId string 多值根据请求参数中指定的网络ID过滤访问。 ecs:SubnetId string 多值根据请求参数中指定的子网ID过滤访问。 ecs:KmsKeyId string 多值根据请求参数中指定的加密密钥ID过滤访问。 ecs:ServerId string 单值根据云服务器ID过滤访问。 ecs:SSHKeyPairName string 单值根据请求参数中指定的SSH密钥对的名称过滤访问。 ecs:AvailabilityZone string 单值根据请求参数中指定的可用区名称过滤访问。 ecs:PortId string 多值根据请求参数中指定的portId过滤访问。 ecs:SupportAgentType string 多值根据请求中指定的agent类型过滤访问。 ecs:ImageSupportAgentType string 多值根据请求中指定的镜像支持的agent类型过滤访问。 ecs:VolumeId string 单值根据请求中指定的卷ID过滤访问。 ecs:ImageType string 单值根据请求中指定镜像的类型过滤访问（如：公共镜像、私有镜像、共享镜像、市场镜像）。 ecs:OsType string 单值根据请求中指定镜像的操作系统类型过滤访问（如：Linux、Windows）。 ecs:OsVersion string 单值根据请求中指定镜像的操作系统版本过滤访问（如：CentOS 7.3 64bit）。 ecs:ImagePlatform string 单值根据请求中指定镜像的平台过滤访问（如：Windows、Ubuntu、Red Hat、SUSE、CentOS）。

组织 ORGANIZATIONS 计算

云服务器内容精选

组织

7*24

备案

专业服务

退订

建议反馈

售前咨询热线