华为云用户手册

总览 开通Live服务后，登录 视频直播 控制台，进入“总览”页面。 可以看到Live操作指引流程、资源统计及数据趋势图、计费模式和文档的快速访问入口。 图1 总览页面 在该页面可以查看如下信息，也可以单击界面右上角的“使用指南”，查看操作文档。 操作指引 通过操作指引，可以快速访问Live 域名 管理页面，推流和播放操作文档。 资源统计 今日下行流量（KB）：今日所有播放域名使用播放加速产生的下行流量总和。 今日下行带宽峰值（bps）：今日所有播放域名使用播放加速产生的下行带宽峰值。 数据趋势：查询近期直播用量趋势。 下行流量：所有播放域名在查询时间段内，使用播放加速消耗的总下行流量。 下行带宽：所有播放域名在查询时间段内，使用播放加速消耗的总下行带宽。 上行带宽：所选播放域名在查询的时间段内，对应推流端产生的总上行带宽。 可将鼠标放置在图表上，查看具体数值，滚动鼠标滚轮可整体加长或缩短展示横轴的时间段。 计费模式：用户当前的CDN计费方式。可以单击“变更”，变更CDN计费方式。也可以单击“购买套餐包”，购买价格更优惠的套餐包使用。 客户等级为V0和V1的账户暂不支持变更计费方式，只能按流量计费。如需了解客户等级信息，详见客户等级体系。 文档快速访问入口：各类文档的快速访问入口。

推流 下面以OBS推流工具为例进行低时延直播推流演示。 获取低时延直播推流地址。 登录视频直播控制台，在左侧导航树中选择“域名管理”，进入域名管理页面。 在对应的低时延直播推流域名行单击“管理”，进入基本信息页面获取低时延直播推流地址。 示例如图1所示，其中“StreamName”为自定义的，如推流地址： rtmp://livepush-test.huaweicloud.com/live/huawei09。 图1 推流地址 图中域名仅为示例，实际使用时，您需要使用已配置的低时延直播推流域名。 运行OBS工具，单击右下角的“设置”。 图2 设置 在左侧菜单栏中选择“输出”。 请您按照要求设置以下参数，其余参数保持默认值即可。 “输出模式”设置为“高级”。 “码率控制”设置为“ABR”。 “比特率”设置为“2000 Kbps”。 “关键帧间隔”设置为“1”。 “CPU 使用预设”设置为“ultrafast”。 “配置”设置为“baseline”。 “微调”设置为“zerolatency”。 由于低时延直播推流端不推包含B帧的流，所以您需要在OBS推流端中关闭B帧。 图3 输出设置 在左侧菜单栏选择“直播”，输入步骤1获取的直播推流URL。 图4 直播设置 推流地址分两部分输入“URL”和“流名称”中。具体填写规则如下： “服务器”：填写包含AppName前的地址，如"rtmp://livepush-test.huaweicloud.com/live/"。 “推流码”：填写包含“StreamName”后的地址，如“huawei01”。 由于使用的OBS工具版本不同，界面参数的名称可能会不同，但填写规则是相同的。 单击“确定”，完成低时延直播推流地址的配置。 在“来源”区域单击左下角的“+”，选择直播流来源。 图5 来源设置 媒体源：表示本地媒体文件。 视频采集设备：表示摄像头，若PC有配套摄像头，会直接启用摄像头。 单击右下角的“开始直播”，开始推送低时延直播流。

播放（Web接入方式） 获取播放地址。 登录视频直播控制台，在左侧导航树中选择“域名管理”，进入域名管理页面。 在对应的低时延直播播放域名行单击“管理”，进入基本信息页面获取低时延直播播放地址。 其中“StreamName”为自定义的，但需要与低时延直播推流地址中的“StreamName”一致，否则会播放失败。 如示例，可拼接为如下格式的低时延直播播放地址： webrtc://exampletest.huaweicloud.com/live/huawei09 其中，exampletest.huaweicloud.com为配置的低时延直播域名。

推流 获取推流地址。 登录视频直播控制台，在左侧导航树中选择“域名管理”，进入域名管理页面。 在对应的推流域名行单击“管理”，进入基本信息页面获取推流地址。 示例如图1所示，其中“StreamName”为自定义的，如推流地址： rtmp://livepush-test.huaweicloud.com/live/huawei09。 图1 推流地址 图中域名仅为示例，实际使用时，您需要使用已配置的推流域名。 运行OBS工具，单击右下角的“设置”。 图2 设置 在左侧菜单栏选择“输出”，将“输出模式”配置为“高级”，“关键帧间隔”配置为“2”。 图3 输出设置 在左侧菜单栏选择“直播”，输入步骤1获取的直播推流URL。 图4 直播设置 推流地址分两部分输入“URL”和“流名称”中。具体填写规则如下： “服务器”：填写包含AppName前的地址，如"rtmp://livepush-test.huaweicloud.com/live/"。 “推流码”：填写包含“StreamName”后的地址，如“huawei09”。 由于使用的OBS工具版本不同，界面参数的名称可能会不同，但填写规则是相同的。 单击“确定”，完成直播推流地址的配置。 在“来源”区域单击左下角的“+”，选择直播流来源。 图5 来源设置 媒体源：表示本地媒体文件。 视频采集设备：表示摄像头，若PC有配套摄像头，会直接启用摄像头。 单击右下角的“开始直播”，开始推送直播流。

相关链接 若您使用自有域名进行直播推流或播放，您可以在直播开始前配置直播其它相关功能，具体如下所示： 若您需要使用直播录制功能，请在直播推流前，配置直播录制规则。 若您需要使用直播截图功能，请在直播推流前，配置直播截图模板。 若您需要对直播资源进行转码，以便适应不同播放场景，请在直播推流前，配置直播转码功能，并使用转码播放地址进行播放。 若您需要配置安全机制保障直播资源的安全，请在直播推流前，配置直播鉴权。

使用限制 单账号跟踪的事件可以通过 云审计 控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到 对象存储服务 (OBS)或 云日志 服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示数据类审计事件，您需要在旧版事件列表查看数据类审计事件。

操作步骤 登录视频直播控制台。 在左侧导航栏中，选择“域名管理”，进入域名管理页面。 请根据实际需求选择以下操作。 查看域名信息 在域名列表中，可查看已添加域名的CNAME值、域名类型、状态及创建时间等信息。 图1 域名管理 单击右侧操作列的“管理”，可查看目标域名的详细基本信息。 图2 域名信息 停用域名 若您需要停用某个域名，可以在需要停用的域名行单击“停用”。当“状态”变为“停用”时，表示域名停用成功。 启用域名 若您需要将某个已停用的直播域名重新启用，可以在需要启用的域名行单击“启用”。当“状态”变为“正常”时，表示域名启用成功。 删除域名 注意：仅在“停用”状态下的域名才能删除。因此，您需要先停用不需要的域名，再在需要删除的域名行单击“删除”即可。 解除域名关联 若您需要解除某个已关联的域名，可以在需要解除关联的播放域名行单击“管理”。在“推流信息”区域，单击即可。 图3 推流信息

响应参数 状态码： 200 表2 响应Body参数 参数 参数类型 描述 operation_id String 操作ID。 percentage_complete Integer 完成进度百分比。 status String 状态。 percentage_details Array of OrganizationalPercentageDetail objects 创建账号、纳管注册OU、纳管账号的详细进度信息。 message String 创建账号、纳管注册OU、纳管账号的错误信息描述。 表3 OrganizationalPercentageDetail 参数 参数类型 描述 percentage_name String 进度名称。 percentage_status String 创建账号、注册OU、纳管账号的进度完成状态。

响应示例 状态码： 200 请求成功。 { "operation_id" : "string", "percentage_complete" : 0, "status" : "string", "percentage_details" : [ { "percentage_name" : "string", "percentage_status" : "string" } ], "message" : "string" }

请求参数 表1 请求Body参数 参数 是否必选 参数类型 描述 account_name 是 String 纳管账号名。 account_email 否 String 纳管账号邮箱。 phone 否 String 手机号码。 identity_store_user_name 否 String Identity Center用户名。 identity_store_email 否 String Identity Center邮箱。 parent_organizational_unit_id 是 String 父注册OU ID。 parent_organizational_unit_name 是 String 父注册OU名称。 blueprint 否 Blueprint object 模板。 表2 Blueprint 参数 是否必选 参数类型 描述 blueprint_product_id 否 String 模板ID。 blueprint_product_version 否 String 模板版本。 variables 否 String 模板部署参数。 is_blueprint_has_multi_account_resource 否 Boolean 模板是否包含多账号资源。

请求示例 在组织里的某个注册OU下创建账号。 POST https://{endpoint}/v1/managed-organization/managed-accounts { "account_name" : "string", "account_email" : "string", "phone" : "18700000000", "identity_store_user_name" : "string", "identity_store_email" : "string", "parent_organizational_unit_id" : "string", "parent_organizational_unit_name" : "string", "blueprint" : { "blueprint_product_id" : "string", "blueprint_product_version" : "string", "variables" : "string", "is_blueprint_has_multi_account_resource" : "boolean" } }

URI GET https://{hostname}/v1/governance/managed-organizational-units/{managed_organizational_unit_id}/controls 表1 路径参数 参数 是否必选 参数类型 描述 managed_organizational_unit_id 是 String 注册OU ID。 表2 Query参数 参数 是否必选 参数类型 描述 limit 否 Integer 分页页面的最大值。 marker 否 String 页面标记。

响应参数 状态码： 200 表3 响应Body参数 参数 参数类型 描述 control_summaries Array of TargetControl objects 治理策略概要。 page_info PageInfoDto object 本页返回条目数量。 表4 TargetControl 参数 参数类型 描述 manage_account_id String 管理纳管账号ID。 control_identifier String 控制策略标识。 state String 控制策略启用状态。 version String 控制策略当前版本号。 name String 控制策略名称。 description String 控制策略描述信息。 control_objective String 控制策略目标。 behavior String 控制策略类型。包括主动性控制策略Proactive、检测性控制策略Detective、预防性控制策略Preventive。 owner String 纳管账号的创建来源，包括CUSTOM和RGC。 regional_preference String 区域选项，取值有两种分别是：区域的regional和全局的global。 guidance String 控制策略必须性。 service String 控制策略所属服务。 implementation String 服务控制策略（SCP），配置规则。 表5 PageInfoDto 参数 参数类型 描述 next_marker String 在标签请求参数中使用以获取输出的下一部分。重复此操作，直到响应元素返回null。如果存在，则表示可用的输出比当前响应中包含的输出多。 current_count Integer 本页返回条目数量。

响应示例 状态码： 200 请求成功。 { "control_summaries" : [ { "manage_account_id" : "string", "control_identifier" : "string", "state" : "string", "version" : "string", "name" : "string", "description" : "string", "control_objective" : "string", "behavior" : "string", "owner" : "string", "regional_preference" : "string", "guidance" : "string", "service" : "string", "implementation" : "string" } ], "page_info" : { "next_marker" : "string", "current_count" : 0 } }

响应示例 状态码： 200 请求成功。 { "manage_account_id" : "string", "account_id" : "string", "account_name" : "string", "account_type" : "string", "owner" : "string", "state" : "string", "message" : "string", "parent_organizational_unit_id" : "string", "parent_organizational_unit_name" : "string", "identity_store_user_name" : "string", "blueprint_product_id" : "string", "blueprint_product_version" : "string", "blueprint_status" : "string", "is_blueprint_has_multi_account_resource" : "boolean", "regions" : [ { "region" : "string", "region_status" : "string" } ], "created_at" : "2023-11-15T07:32:12.283Z", "updated_at" : "2023-11-15T07:32:12.283Z" }

响应参数 状态码： 200 表2 响应Body参数 参数 参数类型 描述 landing_zone_version String Landing Zone版本。 manage_account_id String 管理纳管账号ID。 account_id String 纳管账号ID。 account_name String 纳管账号名称。 account_type String 纳管账号类型。 owner String 纳管账号的创建来源，包括CUSTOM和RGC。 state String 纳管账号状态。 message String 错误状态描述信息。 parent_organizational_unit_id String 父注册OU ID。 parent_organizational_unit_name String 父注册OU名称。 identity_store_user_name String Identity Center用户名。 blueprint_product_id String 模板ID。 blueprint_product_version String 模板版本。 blueprint_status String 模板部署状态，包括失败, 完成, 进行中。 is_blueprint_has_multi_account_resource Boolean 模板是否包含多账号资源。 regions Array of regionManagedList objects 区域信息。 created_at String 组织里某个注册OU下的纳管账号被创建的时间。 updated_at String 组织里某个注册OU下的纳管账号最后一次更新的时间。 表3 regionManagedList 参数 参数类型 描述 region String 区域名字。 region_status String 区域的状态，取值为可用或者不可用。

错误码 当您调用API时，如果遇到“APIGW”开头的错误码，请参见API网关错误码进行处理。 表1 错误码 状态码 错误码 错误信息 描述 处理措施 400 RGC.400 Bad Request: {0}. 云服务内部错误，请重试。 请联系技术支持。 400 RGC.1001 bad request for query icc instance. 查询是否开通 IAM 身份中心实例失败。 请稍后重试。 400 RGC.1002 bad request for register region. 注册区域失败。 请稍后重试。 400 RGC.1003 bad request for start identity center. 启动IAM身份中心失败。 请稍后重试。 400 RGC.1004 bad request for get registered regions. 查询IAM身份中心实例已开通的区域列表失败。 请稍后重试。 400 RGC.1005 the queried region is different from the registered region. 所选主区域和已注册的IAM身份中心的区域不一致。 请重新选择主区域。 400 RGC.1006 create instance fail. 创建IAM身份中心实例失败。 请稍后重试。 400 RGC.1007 create instance status is not enable. IAM身份中心实例状态不可用。 请稍后重试。 400 RGC.1008 create permission set fail. 创建权限失败。 请稍后重试。 400 RGC.1009 create user fail. 创建用户失败。 请稍后重试。 400 RGC.1010 bad request for get identity center service status. 获取IAM身份中心状态失败。 请稍后重试。 400 RGC.1011 bad request for create permission set. 在IIC实例中创建权限集失败。 请稍后重试。 400 RGC.1012 bad request for attach managed policy to permission set. 将系统管理策略附加到权限集失败。 请稍后重试。 400 RGC.1013 bad request for create account assignment. 给账号分配权限失败。 请稍后重试。 400 RGC.1014 bad request for describe account assignment creation status. 获取账号分配创建状态失败。 请稍后重试。 400 RGC.1015 bad request for create group membership. 用户组绑定用户失败。 请稍后重试。 400 RGC.1016 bad request for create group. 创建用户组失败。 请稍后重试。 400 RGC.1017 bad request for create user. 创建IIC用户失败。 请稍后重试。 400 RGC.1018 bad request for get projects. 查询项目信息失败。 请稍后重试。 403 RGC.1019 does not have {0} permissions. 当前账号没有权限。 请检查账号权限。 400 RGC.1021 bad request for create agency. 创建委托失败。 请稍后重试。 400/403 RGC.1022 fail request for assume with service principal. 委托切换失败。 请稍后重试。 400 RGC.1024 bad request for create service linked agency. 创建服务关联委托失败。 请稍后重试。 403 RGC.1028 Not a management account. 当前账号不是管理账号。 请检查账号是否管理账号。 400 RGC.1032 bad request for enable trust service. 启用可信服务失败。 请稍后重试。 400 RGC.1033 organizations service not provision. 组织服务未开通。 请开通组织服务。 400 RGC.1034 bad request for authorization header pattern. Token请求头非法。 请检查authorization请求头是否合法传入。 403 RGC.1035 not found for http header:{0}. 无法找到HTTP请求头。 请检查HTTP请求头是否存在。 400 RGC.1036 bad request for request proof. proof请求头非法。 请检查proof请求头是否合法传入。 400 RGC.1037 bad request for impersonate. 获取凭据失败。 请联系技术支持。 400 RGC.1038 bad request for listRoles. 查询权限列表失败。 请联系技术支持。 400 RGC.1039 create base line group fail. 创建基线用户组失败。 请联系技术支持。 400 RGC.1040 retrieve user fail. 检索用户失败。 请联系技术支持。 400 RGC.1041 describe user fail. 查询用户详情失败。 请联系技术支持。 400 RGC.1042 show compliance details fail. 查询合规性信息失败。 请联系技术支持。 400 RGC.1043 list aggregate compliance fail. 查询资源聚合器合规规则列表失败。 请联系技术支持。 400 RGC.1044 list aggregator fail. 查询资源聚合器列表失败。 请联系技术支持。 400 RGC.1045 bad request for list groups. 请求用户组列表失败。 请联系技术支持。 400 RGC.1046 The user already exists, but the user name is different. IAM身份中心用户已存在，但用户名与预留用户名不同。 请检查用户名是否正确，填写保持一致。 500 RGC.1049 create account failed,failure reason {0}. 创建账号失败。 请稍后重试。 400 RGC.1050 Bad Request:{0} not found. 请求错误，未找到相关资源。 请确认资源是否存在。 400 RGC.1052 The parent is not managed by RGC. 父级组织单元未注册。 请检查父级组织单元是否已注册。 400 RGC.1053 The organization unit child resource is not empty. 当前组织单元的子资源不为空。 请检查是否存在子组织单元或成员账号 400 RGC.1054 The account is not managed by RGC. 当前账号未纳管。 请检查当前账号。 400 RGC.1055 The organization unit is not managed by RGC. 当前组织单元未注册。 请检查当前组织单元。 400 RGC.1056 bad request for query iam assume agency. 切换到成员账号身份失败。 请联系技术支持。 400 RGC.1057 The organization unit is not found. 组织单元不存在。 请检查组织单元是否已注册成功。 400 RGC.1058 The requested control policy does not exist. 控制策略不存在。 请检查操作的控制策略是否存在。 400 RGC.1059 The relationship between the control and the specified target does not exist. 组织单元未启用请求的控制策略。 不允许关闭未开启的控制策略。 400 RGC.1060 The Root and core organizational units cannot implement additional control strategies. root和核心组织单元不允许开启或禁用控制策略。 根组织单元和核心组织单元不允许进行控制策略开启与关闭操作。 400 RGC.1062 Not allowed to perform operations on an OU that is not successfully registered. 未注册的组织单元不能开启或禁用控制策略。 请操作注册成功的组织单元。 400 RGC.1065 The {0} operation is not complete. 操作尚未完成，请稍后重试。 请稍后重试。 400 RGC.1067 The landing zone environment is not set. Landing Zone环境未设置。 请设置Landing Zone环境。 400 RGC.1068 The selected region is invalid. 所选主区域无效。 请检查主区域可用性状态。 400 RGC.1069 The bucket policy is empty. 桶策略为空。 请联系技术支持。 400 RGC.1070 bad request for obs. 请求云服务OBS失败。 请稍后重试。 400 RGC.1072 Get a unexpected status code. 请求云服务Organizations失败。 请联系技术支持。 400 RGC.1073 Org list accounts occur error. 查询组织单元中账号列表失败。 请稍后重试。 400 RGC.1074 Failed to call the API for deleting a stackSetInstance. 调用云服务 RFS 删除stackSet实例失败。 请检查云服务RFS运行是否正常，stackSet实例资源是否正常。 400 RGC.1075 The baseLine control cannot be operated. 基线控制策略不支持开启与禁用操作。 基线控制策略不允许进行控制策略开启与关闭操作。 400 RGC.1076 The control state is {0}, can not do current organization unit operation. 控制策略操作状态异常，不允许进行操作。 请确认控制策略与组织单元的关系处于正确的结束态后再进行操作。 500 RGC.1077 This account has existed,should not be our account,failed reason {0}. 账号已存在。 请检查当前账号是否已存在。 400 RGC.1078 Manage account should not be our set up account. 管理账号不能作为核心账号。 请检查账号，管理账号不能作为核心账号。 500 RGC.1079 Move account Organizations report failed. 移动账号失败。 请联系技术支持。 400 RGC.1080 The core and root organization unit can not be delete or deregister. 不能删除或取消注册核心组织单元和根组织单元。 不能删除或取消注册核心组织单元和根组织单元。 400 RGC.1081 The parent organization unit type could not be core. 父组织单元不能是核心组织单元。 父组织单元不能是核心组织单元。 400 RGC.1082 bad request for create iic user. 创建IAM身份中心用户失败。 请稍后重试。 400 RGC.1083 Create account failed. Reason: The ou type is incorrect. 创建账号失败，组织单元类型不正确。 请检查组织单元类型。 400 RGC.1084 Create account failed. The action is not supported. 创建账号失败，账号状态不支持。 请检查账号当前状态是否为纳管中。 400 RGC.1085 The account already exists or is not managed by the RGC. 账号已经存在或没有被RGC纳管。 请检查账号是否由RGC纳管。 400 RGC.1086 fixed parameters cannot be changed. 固定参数不允许被修改。 请不要修改固定参数。 400 RGC.1087 The landing zone environment has been set, any parameter cannot be changed. Landing Zone环境已经设置完成，参数不能被修改。 请不要修改参数。 400 RGC.1088 organizationUnitId and accountId can not exist together. 组织单元ID与账号ID不能同时作为查询条件。 仅使用组织单元ID或账号ID进行查询。 404 RGC.1089 The account is not found. 账号不存在。 请检查账号是否存在。 400 RGC.1090 create assignment failed, failure reason is {0}. 给账号的IIC用户分配权限失败。 请联系技术支持。 400 RGC.1091 The resource {0} create or deploy failed, you can check detail at RFS view. 资源创建或部署失败，请前往RFS查看详情。 请前往RFS查看详情。 400 RGC.1092 [RFS]The RFS returns a failure message to deploy stackSet instances. 调用云服务RFS部署stackSet实例返回失败。 请检查云服务RFS或对应资源stackSet实例是否正常，正常后请再次重试。 400 RGC.1093 [RFS]The RFS returns a failure message to create stackSet instances. 调用云服务RFS创建stackSet实例返回失败。 请检查云服务RFS或对应资源stackSet实例是否正常，正常后请再次重试。 400 RGC.1094 [RFS]The RFS returns a failure message to create stackSet. 调用云服务RFS创建stackSet返回失败。 请检查云服务RFS或对应资源stackSet是否正常，正常后请再次重试。 400 RGC.1095 The user already exists, but the user details cannot be queried. 用户已存在，但无法查询用户详情。 请稍后重试。 400 RGC.1096 The user already exists, but the email address of the user is different. 账号已存在，账号邮箱与用户之前配置的邮箱不同。 请检查账号邮箱，填写保持一致。 404 RGC.1097 No user information is found. 找不到用户信息。 请联系技术支持。 400 RGC.1098 The account type is not custom, can not be un-enroll. 非自定义账号，不能取消纳管。 请检查要取消纳管的账号是否正确。 400 RGC.1099 The pap returned error. 调用云服务PAP接口失败。 请稍后重试。 400 RGC.1100 The account already exists and is managed by the RGC. 该账号已被RGC纳管。 请检查纳管的账号是否正确。 400 RGC.1102 The account already exists, but the parentOrganizationUnitId is different. 该账号已存在，但父组织单元ID与预留ID不同。 请检查账号所属父组织单元是否正确，填写保持一致。 400 RGC.1103 The account already exists, but the parentOrganizationUnitName is different. 该账号已存在，但父组织单元名称与预留名称不同。 请检查账号所属父组织单元是否正确，填写保持一致。 400 RGC.1104 The create account task is timeout. 创建账号超时。 请稍后重试。 400 RGC.1105 bad request for list entrity. The entrity is empty. 查询账号所属父组织单元失败。 请检查账号信息是否正确。 400 RGC.1106 Org list create account status occur error. 查询创建的账号状态异常。 请检查Organization账号是否正在创建中或Organization服务是否正常，正常后请再次尝试。 400 RGC.1107 The administrator user does not exist. IAM身份中心管理员用户不存在。 请检查账号信息是否正确。 400 RGC.1108 The control detail is not found. 查询控制策略详情失败，控制策略不存在。 请检查控制策略ID是否正确。 400 RGC.1109 The bucket policy does not exist. 查询桶策略失败，该桶策略不存在。 请稍后重试。 400 RGC.1110 Please accept the open beta of resource access service. 账号未开通RGC公测。 请申请开通RGC公测。 404 RGC.1111 not found for http header. HTTP请求头不存在。 请稍后重试。 400 RGC.1112 bad request for invalid user profile. 获取用户配置文件失败。 请稍后重试。 400 RGC.1113 get op svc token fail. 获取Token 失败。 请联系技术支持。 400 RGC.1114 The account already exists, but the account phone number is different. 设置Landing Zone失败，手机号与之前填写不一致。 请检查账号的电话号码。 400 RGC.1115 phone number is required in domestic. 请填写手机号。 请检查核心组织单元下的账号的手机号码是否存在。 400 RGC.1116 get a empty token. 获取Token为空。 请联系技术支持。 500 RGC.1117 can't find {0} in v3 or v5 policy. 查询策略失败，策略不存在。 请检查策略名是否正确。 404 RGC.1118 The account type is invalid. 查询核心账号详情失败，账号类型不合法。 请检查查询的核心账号类型是否正确。 500/400 RGC.1119 Rfs list templates occur error. 查询RFS模版失败。 请联系技术支持。 409 RGC.1200 concurrent modification. 设置Landing Zone冲突。 请稍后重试。 400 RGC.1201 The core and root organization unit can not be register. 无法注册根和核心组织单元。 请检查注册的组织单元是否已存在并检查类型。 400 RGC.1202 The account already exists, but the account type is not custom. 当前的账号非自定义账号。 请检查纳管的账号的类型。 400 RGC.1203 The account status is {0}, can not do current account operation. 当前账号无法执行该操作，请检查账号状态。 请检查账号状态。 400 RGC.1204 The organization unit status is {0}, can not do current account operation. 组织单元状态异常，无法进行账户操作。 请检查账号所属的组织单元状态。 400 RGC.1205 The organization unit status is {0}, can not do current organization unit operation. 组织单元状态异常，无法进行组织单元操作。 请检查组织单元状态。 409 RGC.1206 The organization unit conflict, the organization unit is registered. 组织单元已注册成功，不能再次注册。 如果需要再次注册请调用重注册接口。 400 RGC.1207 The parent organization unit type could not be core or root. 父组织单元类型不能是根组织单元。 请检查父组织单元类型。 400 RGC.1208 The organization unit is managed by other management account. 组织单元由其他管理账号管理。 请检查组织单元ID。 404 RGC.1209 No landing zone has been created for this account. 当前账号未开通Landing Zone。 请检查当前账号是否已开通LandingZone。 404 RGC.1210 The landing zone environment status is failed. Landing Zone开通失败，暂不支持该操作。 请检查当前账号是否已成功开通LandingZone。 400 RGC.1211 The organization unit name has existed in Organization,please input unique and unused organization unit name. 组织单元名称重复，请输入唯一的组织单元名称。 请检查要注册的组织单元是否正确。 400 RGC.1212 Failed to query role id from pap. 调用云服务PAP查询权限失败。 请联系技术支持。 400 RGC.1213 Failed to create agency pap. 调用云服务PAP创建委托失败。 请联系技术支持。 400 RGC.1214 Failed to allpy role id pap. 调用云服务PAP为委托授予项目的权限失败。 请联系技术支持。 400 RGC.1215 The account maybe invited to Organization,you need manually create a full access agency named OrganizationAccountAccessAgency to its manage account. 邀请作为Landing Zone核心账号的子账号，需要创建该账号到管理账号的委托，委托应该包括子账号所有权限，该权限名称为OrganizationAccountAccessAgency。 请为邀请的子账号创建Full Access权限的委托OrganizationAccountAccessAgency，委托给管理账号。 400 RGC.1216 bad request for delete service linked agency. 调用云服务PAP删除服务关联委托失败。 请联系技术支持。 400 RGC.1217 IAM list projects occur error. 调用云服务IAM列出项目失败。 请联系技术支持。 400 RGC.1218 The account status conflict, the account is enrolled. 当前账号已纳管。 当前账号已为纳管状态，无需再次纳管。 400 RGC.1220 Domain tag not found, domainId is {0}. 未查询到租户标签。 请确认租户ID是否正确。 400 RGC.1221 Domain info not found, domainId is {0}. 未查询到租户信息。 请确认租户ID是否正确。 400 RGC.1222 email is required in global. 请填写Email信息。 请输入Email。 400 RGC.1223 Failed to create role. 创建自定义策略失败。 请联系技术支持。 400 RGC.1224 startTime should not be later than endTime. 请正确填写时间段，开始时间不能晚于结束时间。 请正确填写时间区域。 400 RGC.1225 Some accounts under the organization unit are in the Operation state. 组织单元下存在正在操作的账号。 请稍后重试。 403 RGC.1226 Can't find the ou, ouId is {0}. 组织单元不存在。 请检查组织单元ID。 403 RGC.1227 Can't find the account, accountId is {0}. 账号不存在。 请检查账号ID。 400 RGC.1230 Should not have custom account. 不支持自定义账号。 请检查账号类型。 400 RGC.1231 Should have one Core Organization Unit. 必须包含核心组织单元。 请检查组织单元类型。 400 RGC.1232 Core Organization Unit should has two accounts. 核心组织单元必须包含两个账号。 请检查账号个数。 400 RGC.1233 Core Organization can only has two accounts,one must be AUDIT type,another one must be LOG GING type. Landing Zone只有两个核心账号，一个为审计账号，一个为日志账号。 请调整输入参数。 400 RGC.1234 An existed Core Account has been created,the same name should be given. Landing Zone重新设置时，核心账号不能修改名称。 请调整输入参数。 400 RGC.1235 Audit account's notification email should be given. 审计账号需要填写通知邮箱。 请调整输入参数。 400 RGC.1236 When exist account scene, account name should be given. 账号已存在，但账号名称为空。 请调整输入参数。 400 RGC.1237 The organization name is empty. 组织单元名称为空。 请正确填写组织单元名称。 403 RGC.1238 The parent organization unit not found. 父组织单元不存在。 请检查是否存在父组织单元。 400 RGC.1239 When exist account scene, account id and name does not match. 账号已存在，但账号ID和名称不匹配。 请调整输入参数。 父主题： 附录

响应参数 状态码： 200 表2 响应Body参数 参数 参数类型 描述 enabled_controls Array of EnabledControl objects 开启控制策略信息。 page_info PageInfoDto object 本页返回条目数量。 表3 EnabledControl 参数 参数类型 描述 manage_account_id String 管理纳管账号ID。 control_identifier String 控制策略标识。 name String 控制策略名称。 description String 控制策略描述。 control_objective String 控制策略目标。 behavior String 控制策略类型。包括主动性控制策略Proactive、检测性控制策略Detective、预防性控制策略Preventive。 owner String 纳管账号的创建来源，包括CUSTOM和RGC。 regional_preference String 区域选项，取值有两种分别是：区域的regional和全局的global。 表4 PageInfoDto 参数 参数类型 描述 next_marker String 在标签请求参数中使用以获取输出的下一部分。重复此操作，直到响应元素返回null。如果存在，则表示可用的输出比当前响应中包含的输出多。 current_count Integer 本页返回条目数量。

响应示例 状态码： 200 请求成功。 { "enabled_controls" : [ { "manage_account_id" : "string", "control_identifier" : "string", "name" : "string", "description" : "string", "control_objective" : "string", "behavior" : "string", "owner" : "string", "regional_preference" : "string" } ], "page_info" : { "next_marker" : "string", "current_count" : 0 } }

响应示例 状态码： 200 请求成功。 { "control_operation" : { "operation_control_status_id" : "string", "operation_type" : "string", "status" : "string", "message" : "string", "start_time" : "string", "end_time" : "string" } }

响应参数 状态码： 200 表2 响应Body参数 参数 参数类型 描述 control_operation ControlOperation object 控制策略实施的情况。 表3 ControlOperation 参数 参数类型 描述 operation_control_status_id String 本次操作控制策略的ID。 operation_type String 操作类型，启用控制策略或禁用控制策略。 status String 控制策略实施的状态 SUCCEEDED | FAILED | IN_PROGRESS。 message String 控制策略实施失败的错误信息。 start_time String 操作开始的时间。 end_time String 操作结束的时间。

相关说明 后续需要对现有的组织单元和成员账号进行部署和管理，请参见组织管理概述。 Landing Zone搭建成功后，系统将自动为核心账号所在的组织单元绑定所有的预防性控制策略。 Landing Zone搭建成功后，系统将为存放日志的OBS桶自动配置名为“AllowCtsAccessBucket”和“AllowConfigAccessBucket”的桶策略，详细的桶策略内容可以前往OBS控制台进行查看。 Landing Zone搭建成功后，系统将为存放日志的OBS桶自动配置“对象读权限”，使核心账号拥有查看桶内日志的权限。

背景说明 通过RGC服务，预计可实现以下功能： RGC将会拥有必要的权限来治理Organizations内的所有组织单元以及成员账号。 您需要在RGC中搭建Landing Zone，并且设置您的多账号环境治理范围。RGC不会将云上环境治理扩展到您Organizations服务内现有的其他组织单元和成员账号。 当您将现有组织单元由RGC纳入治理范围的过程，称为注册组织单元。 在搭建Landing Zone后，您可以在RGC中注册现有的组织单元。

操作步骤 以RGC管理员身份登录华为云，进入华为云RGC控制台。 进入Landing Zone设置页，选择“版本”页签。 选择需要更新的版本。 图1 选择版本 当前支持更新当前版本或升级到更新的版本。 单击“更新版本”。 图2 更新Landing Zone 完成Landing Zone更新后，您将无法撤销更新或降级到先前的版本。 更新核心组织单元和账号。 更新管理账号： 开通IAM身份中心：RGC将在IAM身份中心创建RGC管理员，该IAM身份中心用户拥有管理员权限。若IAM身份中心已连接外部身份源，则RGC默认创建的IAM身份中心用户无法登录。 不开通IAM身份中心：如果不希望RGC在IAM身份中心创建RGC管理员身份的用户以及其他用户组、权限集等资源，则选择不开通IAM身份中心。 更新告警邮箱： 输入审计账号的告警邮箱，该邮箱用于接收RGC预置告警通知，请谨慎选择。告警邮箱地址不得与现有华为云账号使用的邮箱地址相同。长度范围为0至64个字符。 单击“下一步”。 更新日志配置。 选择是否启用CTS： 如果您未在搭建Landing Zone页面启用CTS，则RGC将不会管理您的CTS操作审计日志。RGC强烈建议您启用CTS。预置强制控制策略将会检测已纳管的账号是否已启用CTS。 更新OBS日志配置： 创建OBS桶：需要配置日志在OBS桶中的保留时长。日志将会自动存放至系统创建的两个默认OBS桶中，不支持自定义OBS桶名。 日志汇聚桶数据保留时长：默认设置为1年。最长设置为15年。 该桶用于存储组织内所有账号的CTS记录的操作审计日志和已纳管账号的Config记录的资源快照，并且存放于名为“rgcservice-managed-audit-logs-{管理账号ID}”的桶中，{}中表示变量，根据实际情况进行显示。 OBS桶访问日志保留时长：默认设置为10年。最长设置为15年。 该桶将会存放访问上述日志汇聚桶而产生的日志，并且存放于名为“rgcservice-managed-access-logs-{管理账号ID}”的桶中，{}中表示变量，根据实际情况进行显示。 使用现有OBS桶：需要输入日志账号下的OBS桶名称，如使用其他OBS桶则将会导致Landing Zone搭建失败。为了您的数据安全，建议使用桶策略为私有的OBS桶。 单击“下一步”。 确认更新的设置信息无误，单击“确定”。RGC将会开始对Landing Zone进行更新。 更新成功后，RGC界面将会出现更新成功的提示。 如果更新失败，RGC不会退回到之前的Landing Zone版本，Landing Zone可能将会处于不确定的状态。如果出现该问题，请提交工单。

模板简介 模板是一个HCL语法文本描述文件，支持tf、tf.json、zip包文件格式，用于描述您的云资源。模板中可以定义大批量、不同服务、不同规格的资源实例，通过编写模板即可完成应用设计与资源的规划，实现众多资源的自动化部署或销毁操作，使业务的组织和管理变得轻松。且同一模板可以多次重复使用，提升了工作效率。 RGC的账号工厂功能支持通过模板快速创建账号，以满足业务需求。管理账号可以直接在RGC或RFS中设置账号的基线模板。后续管理账号在指定组织单元下创建新的成员账号，新建账号内会基于最佳实践自动配置账号基线。 更多关于模板的信息，请参阅 资源编排 服务用户指南。

支持审计的关键操作列表 表1 云审计服务支持的RGC操作列表 操作名称 资源类型 事件名称 设置Landing Zone前检查 LandingZone checkLaunch 删除Landing Zone LandingZone deleteLandingZone 设置Landing Zone LandingZone setupLandingZone 关闭控制策略 Control disableControl 开启控制策略 Control enableControl 创建账号 Account createAccount 纳管账号 Account enrollAccount 取消纳管账号 Account unEnrollAccount 更新被管理账号 Account updateManagedAccount 创建组织单元 OrganizationUnit createManagedOrganizationalUnit 删除组织单元 OrganizationUnit deleteManagedOrganizationalUnits 重新注册组织单元 OrganizationUnit reRegisterOrganizationalUnit 注册组织单元 OrganizationUnit registerOrganizationalUnit 取消注册组织单元 OrganizationUnit deregisterOrganizationalUnit 创建一个模板 Template createTemplate 删除一个模板 Template deleteTemplate

控制策略类型介绍 预防性控制策略：策略主体为SCP服务控制策略，任何在策略中显性拒绝的操作都会被拦截。预防性控制策略在指定OU上生效之后，该OU所有直系子级账号均会继承该策略。 检测性控制策略：策略主体为Config合规规则，不合规的资源配置会被检测发现并反馈给用户，用户可以在资源治理中心服务控制台查看不合规的资源列表。检测性控制策略在指定OU上生效后，该OU所有直系子级账号均会根据规则要求检测不合规配置的发生。

实施类型 必选：这部分策略在开启RGC服务并设置Landing Zone后，便在核心OU和核心账号上强制自动生效，而且无法禁用。 强烈推荐：基于华为云治理最佳实践强烈推荐的合规遵从管控策略，大部分企业用户在云上治理多账号环境时大概率会涉及相关场景和服务，建议Landing Zone搭建完成之后，企业用户自主启用。 可选：企业云上治理过程中，部分企业用户可能会涉及相关控制策略，可以根据具体情况灵活选用相关策略。

PCA 控制策略名称 功能 场景 严重程度 资源 RGC-GR_CONFIG_PCA_CERTIFICATE_AUTHORITY_EXPIRATION_CHECK 私有CA在指定时间内过期，视为“不合规”。 加密传输中的数据 中 ccm:::privateCertificate RGC-GR_CONFIG_PCA_CERTIFICATE_EXPIRATION_CHECK 私有证书在指定时间内到期，视为“不合规”。 加密传输中的数据 中 ccm:::privateCertificate

VPC 控制策略名称 功能 场景 严重程度 资源 RGC-GR_CONFIG_VPC_SG_PORTS_CHECK 当安全组入方向源地址设置为0.0.0.0/0，且开放了所有的TCP/UDP端口时，视为“不合规”。 限制网络访问 高 networking:::secgroup RGC-GR_CONFIG_VPC_ACL_UNUSED_CHECK 检查是否存在未使用的网络ACL,如果网络ACL没有与子网关联，视为“不合规”。 保护配置 低 vpc:::networkAcl RGC-GR_CONFIG_VPC_DEFAULT_SG_CLOSED 虚拟私有云的默认安全组允许入方向或出方向流量，视为“不合规”。 限制网络访问 高 networking:::secgroup RGC-GR_CONFIG_VPC_SG_RESTRICTED_SSH 当安全组入方向源地址设置为0.0.0.0/0，且开放TCP 22端口，视为“不合规”。 限制网络访问 高 networking:::secgroup RGC-GR_CONFIG_VPC_SG_ATTACHED_PORTS 检查非默认安全组是否连接到弹性网络接口(ports)。如果安全组未关联弹性网络接口（ports），视为“不合规” 限制网络访问 中 vpc:::eip