组织 ORGANIZATIONS-华为云

组织 ORGANIZATIONS-数据湖探索 DLI:条件（Condition）

条件（Condition）条件（Condition）是自定义SCP生效的特定条件，包括和。条件键表示SCP语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：。服务级条件键（前缀为服务缩写，如dli:）仅适用于对应服务的操作，详情请参见表5。单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个 VPC终端节点发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，SCP才能生效。支持的运算符请参见：。 DLI 定义了以下可以在自定义SCP的Condition元素中使用的条件键，您可以使用这些条件键进一步细化SCP语句应用的条件。表5 DLI支持的服务级条件键服务级条件键类型单值/多值说明 dli:VpcId string 单值根据虚拟网络ID筛选访问权限。

组织 ORGANIZATIONS 大数据

组织 ORGANIZATIONS-云桌面 Workspace:条件（Condition）

条件（Condition）条件键（Condition）是SCP生效的特定条件，包括条件键条件键和运算符运算符。条件键表示SCP语句的Condition元素中的键值。根据适用范围，分为全局级条件键和服务级条件键。全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键全局条件键。服务级条件键（前缀通常为服务缩写，如workspace:）仅适用于对应服务的操作，详情请参见表4。单值/多值表示API调用时请求中与条件关联的值数。单值条件键在API调用时的请求中最多包含一个值，多值条件键在API调用时请求可以包含多个值。例如：g:SourceVpce是单值条件键，表示仅允许通过某个VPC终端节点发起请求访问某资源，一个请求最多包含一个VPC终端节点ID值。g:TagKeys是多值条件键，表示请求中携带的所有标签的key组成的列表，当用户在调用API请求时传入标签可以传入多个值。运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，SCP才能生效。支持的运算符请参见：运算符运算符。云桌面定义了以下可以在SCP的Condition元素中使用的条件键，您可以使用这些条件键进一步细化SCP语句应用的条件。表4 云桌面支持的服务级条件键服务级条件键类型单值/多值说明 workspace:AccessMode string 多值根据请求参数中指定的接入方式过滤访问，有效的条件值应为INTERNET、DEDICATED、BOTH。 workspace:CreateOrderType string FALSE 根据请求参数中指定的创建订单类型过滤访问，有效的条件值应为createDesktops、addVolumes、createDehHosts、rebuildDesktops、createDesktopPool、expandDesktopPool、applyDesktopsInternet、createExclusiveHosts、subscribeUserSharer、createApps。 workspace:ChangeOrderType string FALSE 根据请求参数中指定的变更订单类型过滤访问，有效的条件值应为resizeDesktops、expandVolumes、meteredToPeriod、ADD_VOLUME、EXTEND_VOLUME、RESIZE、CHANGE_IMAGE、ADD_SUB_RESOUR CES 、DELETE_SUB_RESOURCES。 workspace:AssociatePublicIp boolean FALSE 按照关联eip开关值筛选桌面绑定eip的权限。

组织 ORGANIZATIONS 企业应用

组织 ORGANIZATIONS-已对接组织的可信服务

已对接组织的可信服务以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台，进入可信服务页，即可查看可信服务列表。下表列出了可与华为云Organizations一起使用的云服务。表1 已对接组织的可信服务列表服务名称功能简介是否支持委托管理员相关文档配置审计（Config）配置审计服务支持基于组织创建合规规则、合规规则包、资源聚合器等功能，组织管理员或Config服务的委托管理员可以统一进行配置并直接作用于组织内的所有成员账号中。是组织合规规则组织合规规则包资源聚合器资源访问管理（ RAM ）资源访问管理服务支持基于组织共享资源能力，当您的账号由组织管理时，您可以与组织内的所有账号共享资源，组织内账号无需接受邀请即可使用共享资源。是启用与组织共享资源云审计（ CTS ）云审计服务支持基于组织配置组织追踪器功能，组织管理员或CTS服务的委托管理员可以配置组织追踪器作用于整个组织，实现多账号安全审计等云审计能力。是组织追踪器应用运维管理服务（ AOM ）应用运维管理服务提供多账号聚合类型Prometheus实例的创建功能。当同组织下多个成员账号均已接入云服务指标时，组织管理员或AOM服务的委托管理员可以通过该功能统一监控同一组织下多个成员账号的云服务指标。是 Prometheus实例 for 多账号聚合实例云备份服务（CBR）云备份服务支持基于组织的统一策略管理能力，组织管理员或CBR服务的委托管理员可以通过创建组织备份策略和组织复制策略，为组织内成员账号统一设置备份策略和复制策略。是组织策略管理云监控服务（CES）云监控服务支持基于组织跨账号查看我的看板功能，组织管理员或CES服务的委托管理员可以查看其组织下所有账号的看板。是跨账号查看我的看板云防火墙服务（CFW）云防火墙服务具备安全可靠的跨账号数据汇聚和资源访问能力，组织管理员或CFW服务的委托管理员可以对组织内所有成员账号的EIP进行统一的资产防护。是多账号管理数据安全中心（DSC）数据安全中心服务具备安全可靠的跨账号数据汇聚和资源访问能力，组织管理员或DSC服务的委托管理员可以对组织内所有成员账号进行统一的数据安全防护，而无需登录每个成员账号。是多账号管理企业主机安全服务（HSS）主机安全服务具备安全可靠的跨账号数据汇聚和资源访问能力，组织管理员或HSS服务的委托管理员可以对组织内所有成员账号进行统一的工作负载安全防护。是账号管理 IAM 身份中心（IdentityCenter） IAM身份中心为用户提供基于组织的多账号统一身份管理与访问控制。可以统一管理企业中使用华为云的用户，一次性配置企业的身份管理系统与华为云的单点登录，以及所有用户对组织下账号的访问权限。是什么是IAM身份中心云日志服务（LTS）云日志服务联合组织服务推出多账号日志汇聚中心，组织管理员或LTS服务的委托管理员可以在LTS将组织下指定账号的日志流复制到自己的账号中，实现多账号日志的集中存储和分析，满足安全合规、集中分析等不同场景下的诉求。是多账号日志汇聚中心安全云脑（SecMaster）安全云脑支持基于组织的多账号空间托管能力，组织管理员或安全云脑服务的委托管理员创建空间托管时，可以选择组织下的一个或多个账号进行托管。是创建托管访问分析（AccessAnalyzer）访问分析提供组织级的访问分析功能，组织管理员或委托管理员可以在组织内创建和管理访问分析器，用于识别组织内与外部共享的资源等。是暂无云运维中心（COC）云运维中心基于组织的跨账号能力，支持组织管理员或服务委托管理员在云运维中心查看其组织内成员的运维态势和资源情况，并支持对资源进行跨账号的作业任务执行。是跨账号运维态势感知跨账号资源管理父主题：可信服务管理

组织 ORGANIZATIONS 可信服务管理

组织 ORGANIZATIONS-创建账号:通过委托登录创建的账号

通过委托登录创建的账号鼠标移动至右上方的用户名，选择“切换角色”。图3 切换角色在“切换角色”页面中，输入创建的账号名称。图4 输入创建的账号名称输入账号名称后，系统将会按照顺序自动匹配创建账号时输入的委托名称。匹配的委托名称中，也会出现以cbc_开头的委托名称，该委托主要用于企业主账号对企业费用的统一管理，对子账号进行委托授权。需要选用创建账号时输入的委托名称。单击“确定”，切换至创建的新账号中。

组织 ORGANIZATIONS 账号管理

组织 ORGANIZATIONS-创建账号:创建账号

创建账号以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台，进入组织管理页面。单击组织结构树上方的“添加”，单击“添加账号”。图1 添加账号在弹窗中，选择“创建新账号”。输入账号名称和手机号，账号描述根据需要选择输入。注意，创建的账号名称不能与已有账号名称重复。系统会默认提供委托名，可以保持默认，或者进行自定义修改。图2 新建账号（可选）为账号添加标签。标签以键值对的形式表示，用于标识账号，便于对账号进行分类和搜索。一个账号最多添加20个标签。标签的设置说明如表1所示。表1 标签说明参数说明举例键输入标签的键，同一个账号标签的键不能重复。键可以自定义，也可以选择预先在标签管理服务（TMS）创建好的标签的键。键命名规则如下：不能为空。长度为1~128个字符。由英文字母、数字、下划线、中划线、UNICODE字符（\u4E00-\u9FFF）组成。 Key_0001 值输入标签的值，标签的值可以重复，并且可以为空。标签值的命名规则如下：可以为空。长度为1~225个字符。由英文字母、数字、下划线、点、中划线、UNICODE字符（\u4E00-\u9FFF）组成。 Value_0001 单击“确定”，创建成功的账号将会显示在列表中。

组织 ORGANIZATIONS 账号管理

组织 ORGANIZATIONS-标签策略快速入门:操作步骤

操作步骤以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台。在组织中启用标签策略。创建标签策略。首次使用建议创建一个简单的标签策略，例如：定义标签键为“ABC”。使用标签键的大小写形式来定义合规性，也就是说为资源添加的标签的键为“ABC”则符合规范，添加“abc”、“Abc”等其他大小写形式的标签则为不合规，标签策略将阻止不合规标签的添加操作。添加执行标签策略的资源类型，例如云监控服务的告警规则（ces:alarm），表示此标签策略仅对组织成员账号这一资源类型生效。当前支持标签策略的云服务和资源类型请参见：支持标签策略的云服务。当您为此资源添加不合规的标签时，标签策略将阻止此操作，您必须将标签修改至符合标签策略规范才可以添加成功。图1 创建标签策略将创建的标签策略绑定至一个资源较少的可用于测试的成员账号中，具体请参见绑定标签策略。图2 绑定标签策略使用此成员账号登录华为云，进入云监控服务控制台，创建告警规则并为其添加标签，验证标签策略是否生效。为告警规则添加标签“ABC”，标签添加成功。为告警规则添加标签“abc”，界面提示此标签校验不合规，需修改后再次提交，表示标签策略已生效且验证无误。当您在创建资源时添加不合规的标签，标签策略将阻止标签添加操作，同时资源也无法创建成功；当您为已创建的资源添加不合规标签时，标签策略仅会阻止标签添加操作，不会对资源产生影响。

组织 ORGANIZATIONS 标签策略管理

组织 ORGANIZATIONS-在CTS事件列表查看云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务 (OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

组织 ORGANIZATIONS 使用CTS审计组织操作事件

组织 ORGANIZATIONS-SCP语法介绍:运算符

运算符运算符与条件键、条件值一起构成完整的条件判断语句，当请求信息满足该条件时，策略才能生效。运算符可以增加后缀“IfExists”，表示对应请求值为空或满足条件的请求值均使策略生效，如“StringEqualsIfExists”表示请求值为空或请求值等于条件值均使策略生效。运算符为字符串型运算符，表格中如未增加说明，不区分大小写。 String类型表3 String类型运算符类型运算符说明 String StringEquals 请求值与任意一个条件值相同（区分大小写）。 StringNotEquals 请求值与所有条件值都不同（区分大小写）。 StringEqualsIgnoreCase 请求值与任意一个条件值相同。 StringNotEqualsIgnoreCase 请求值与所有条件值都不同。 StringMatch 请求值符合任意一个条件值的正则表达式（区分大小写，正则表达式仅支持*和?）。 StringNotMatch 请求值不符合所有条件值的正则表达式（区分大小写，正则表达式仅支持*和?）。示例：禁止用户名为ZhangSan的请求者删除和修改资源共享实例。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:delete", "ram:resourceShares:update" ], "Condition": { "StringEquals": { "g:DomainName": [ "ZhangSan" ] } } } ] } Number类型表4 Number类型运算符类型运算符说明 Number NumberEquals 请求值等于任意一个条件值。 NumberNotEquals 请求值不等于所有条件值。 NumberLessThan 请求值小于任意一个条件值。 NumberLessThanEquals 请求值小于或等于任意一个条件值。 NumberGreaterThan 请求值大于任意一个条件值。 NumberGreaterThanEquals 请求值大于或等于任意一个条件值。 Date类型表5 Date类型运算符类型运算符说明 Date DateLessThan 请求值早于任意一个条件值。 DateLessThanEquals 请求值早于或等于任意一个条件值。 DateGreaterThan 请求值晚于任意一个条件值。 DateGreaterThanEquals 请求值晚于或等于任意一个条件值。示例：请求者禁止在2022年8月1日前访问RAM服务。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:*:*" ], "Condition": { "DateLessThan": { "g:CurrentTime": [ "2022-08-01T00:00:00Z" ] } } } ] } Bool类型表6 Bool类型运算符类型运算符说明 Bool Bool 条件值可选值：true、false。请求值等于条件值。 Null类型表7 Null类型运算符类型运算符说明 Null Null 条件值可选值：true、false。条件值为true，要求请求值不存在或者值为null；条件值为false，要求请求值必须存在且值不为null。 IP类型表8 IP类型运算符类型运算符说明 IP IpAddress 指定IP地址或者IP范围。 NotIpAddress 指定IP地址或者IP范围之外的所有IP地址。示例：拒绝IP地址在10.27.128.0到10.27.128.255范围内的请求修改指定的永久访问密钥。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "iam:credentials:updateCredentialV5" ], "Condition": { "IpAddress": { "g:SourceIp": [ "10.27.128.0/24" ] } } } ] } “IfExists”运算符后缀除Null运算符以外，您可以在任何条件运算符名称的末尾添加IfExists，例如：StringEqualsIfExists。如果请求的内容中存在条件键，则依照策略所述来进行匹配。如果该键不存在，则该条件元素的匹配结果将为true。

组织 ORGANIZATIONS 服务控制策略介绍

组织 ORGANIZATIONS-SCP语法介绍:策略参数

策略参数策略参数包含Version和Statement两部分，下面介绍策略参数详细说明。表1 策略参数说明参数是否必选含义值 Version 必选策略的版本。 5.0（不可自定义） Statement：策略的授权语句 Statement Sid 可选策略语句标识符。您可为语句数组中的每个策略语句指定Sid值。用户自定义字符串。 Effect：作用必选定义Action中的操作权限是否允许执行。 Allow：允许执行。 Deny：不允许执行。说明：当同一个Action的Effect既有Allow又有Deny时，遵循Deny优先的原则。当Effect为Allow时，不能有Condition元素。 Action：授权项 Allow时必选。 Deny时与NotAction二选一。操作权限。格式为“服务名:资源类型:操作”。授权项支持通配符号*，通配符号*表示所有。参数中的通配符*和?只能单独使用或放在字符串结尾处。它不能出现在字符串的开头或中间部分。例如“vpc:subnets:list”：表示查看VPC子网列表权限，其中vpc为服务名，subnets为资源类型，list为操作。 NotAction Allow时不可选。 Deny时与Action二选一。 Deny时，NotAction列出的操作或服务不受当前策略影响，即除了NotAction列表中的操作之外，其他操作deny。格式同Action。 Condition：条件 Allow时不可选。使策略生效的特定条件，包括条件键和运算符。格式为“条件运算符:{条件键：[条件值1,条件值2]}”。如果您设置多个条件，同时满足所有条件时，该策略才生效。示例: "StringEndWithIfExists":{"g:UserName":["specialCharactor"]}：表示当用户输入的用户名以"specialCharactor"结尾时该条statement生效。 Resource：资源类型可选未指定时，Resource默认为“*”，策略应用到所有资源。策略所作用的资源。 Allow时，只能为“*”。 Deny时，可选择“*”或具体资源，格式为“服务名:region:domainId:资源类型:资源路径”, 资源类型支持通配符号*，通配符号*表示所有。示例："ecs:*:*:instance:*"：表示所有的E CS 实例。 SCP中不支持以下元素： Principal NotPrincipal NotResource

组织 ORGANIZATIONS 服务控制策略介绍

组织 ORGANIZATIONS-使用前必读:基本概念

基本概念账号用户注册时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用用户进行日常管理工作。账号用户注册时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用用户进行日常管理工作。用户由账号在IAM中创建的用户，是云服务的使用人员，具有身份凭证（密码和访问密钥）。在我的凭证下，您可以查看账号ID和IAM用户ID。通常在调用API的鉴权过程中，您需要用到账号账号、用户和密码等信息。区域（Region）指云资源所在的物理位置，同一区域内可用区间内网互通，不同区域间内网不互通。通过在不同地区创建云资源，可以将应用程序设计的更接近特定客户的要求，或满足不同地区的法律或其他要求。从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。详情请参见区域和可用区。可用区（AZ，Availability Zone）一个可用区是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。项目区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号账号中该区域的所有资源。如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中创建资源，然后以子项目为单位进行授权，使得用户仅能访问特定子项目中的资源，使得资源的权限控制更加精确。图1 项目隔离模型同样在我的凭证下，您可以查看项目ID。企业项目企业项目是项目的升级版，针对企业不同项目间的资源进行分组和管理，是逻辑隔离。企业项目中可以包含多个区域的资源，且项目中的资源可以迁入迁出。关于企业项目ID的获取及企业项目特性的详细信息，请参见《企业管理用户指南》。

组织 ORGANIZATIONS

组织 ORGANIZATIONS-使用前必读:终端节点

终端节点终端节点（Endpoint）即调用API的请求地址，不同服务不同区域的终端节点不同，您可以从地区和终端节点中查询所有服务的终端节点。 Organizations的终端节点如表1所示。Organizations是全局级服务，数据全局一份，在全局项目中存储，Organizations所有的API都可以使用全局服务的Endpoint调用。表1 Organizations的终端节点区域名称区域终端节点（Endpoint） All All organizations.myhuaweicloud.com

组织 ORGANIZATIONS

组织 ORGANIZATIONS-创建账号:请求示例

请求示例创建账号 POST https://{endpoint}/v1/organizations/accounts { "name" : "C9Qzukfn6FIyxAmC3dQclrwZW34UDu_rPSRrCQ4aGFm0-r1zC2RDHt5oHA-aY21B", "tags" : [ { "key" : "keystring", "value" : "valuestring" } ] }

组织 ORGANIZATIONS

组织 ORGANIZATIONS-创建账号:响应示例

响应示例状态码： 202 Successful { "create_account_status" : { "account_id" : "0a6d25d23900d45c0faac010e0fb4de0", "account_name" : "paas_iam_573331", "completed_at" : "2022-08-24T06:41:15Z", "created_at" : "2022-08-24T06:41:15Z", "id" : "h-awjp43m7bz3b8jgy5v61jrfwakt3og8w", "state" : "in_progress", "failure_reason" : "string" } }

组织 ORGANIZATIONS

组织 ORGANIZATIONS-创建账号:请求参数

请求参数表1 请求Header参数参数是否必选参数类型描述 X-Security-Token 否 String 如果正在使用临时安全凭据，则此header是必需的，该值是临时安全凭据的安全令牌（会话令牌）。表2 请求Body参数参数是否必选参数类型描述 name 是 String 账号名称 email 否 String 邮箱 phone 否 String 手机号码 agency_name 否 String 委托名称 description 否 String 描述信息。

组织 ORGANIZATIONS

组织 ORGANIZATIONS-创建账号:响应参数

响应参数状态码： 202 表3 响应Body参数参数参数类型描述 create_account_status CreateAccountStatusDto object 包含有关在组织中创建账号的CreateAccount请求的状态。表4 CreateAccountStatusDto 参数参数类型描述 account_id String 如果账号创建成功，则为新账号的唯一标识符（ID）。 account_name String 账号名称 completed_at String 创建账号和完成请求的日期和时间。 created_at String 请求创建账号的日期和时间。 id String 请求的唯一标识符（ID）。您可以从创建账号的初始CreateAccount请求的响应中获得此值。 state String 创建账号的异步请求的状态，in_progress：处理中，succeeded：成功，failed：失败。 failure_reason String 如果请求失败，则说明失败原因。

组织 ORGANIZATIONS

云服务器内容精选

组织 ORGANIZATIONS

7*24

备案

专业服务

退订

建议反馈

售前咨询热线