如需了解国际站更多云产品，请访问国际站。https://www.huaweicloud.com/intl/
不再显示此消息
如需了解国际站更多云产品，请访问国际站。https://www.huaweicloud.com/intl/
不再显示此消息
IAM与Organizations权限访问控制的区别 作用对象的不同，IAM可以对账号下的IAM用户、IAM用户组、IAM委托进行授权。组织服务则是对根组织单元、组织单元和成员账号进行权限控制。 权限控制范围有所区别且有所关联，如果账号已经加入Organizations服务成为成
如果此列条件键没有值（-），表示此操作不支持指定条件键。 关于IAM身份中心定义的条件键的详细信息请参见条件（Condition）。 您可以在SCP语句的Action元素中指定以下IAM身份中心的相关操作。 表1 IAM身份中心支持的授权项 授权项 描述 访问级别 资源类型（*为必须）
apig:<region>:<account-id>:instance:<instance-id> 条件（Condition） apig服务不支持在SCP中的条件键中配置服务级的条件键。apig可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 应用中间件
trustAnchor:<trust-anchor-id> 条件（Condition） IAM身份代理服务不支持在策略中的条件键中配置服务级的条件键。IAM身份代理可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 管理与监管
创建IAM用户并授权管理组织 本章节介绍管理账号如何创建用户并给用户授予组织的管理权限。 如果您需要对您所拥有的Organizations云服务进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以：
通过IAM 身份中心登录新创建的账号 应用场景 企业深度上云场景下，新业务上云或者现有业务扩展常常意味着全新的成员账号创建以及账号内资源配置。鉴于业界最佳实践，组织内成员账号的账号凭证（如账号级密钥以及账号密码等）需进行强管控，防止权限扩展造成业务风险。 本文主要介绍Organi
/<archive-rule-id> 条件（Condition） IAM Access Analyzer服务不支持在SCP中的条件键中配置服务级的条件键。IAM Access Analyzer可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 管理与监管
条件键。 关于IAM定义的条件键的详细信息请参见条件（Condition）。 您可以在SCP语句的Action元素中指定以下IAM的相关操作。其中，不带V5后缀的授权项用于控制IAM旧版控制台的访问，带V5后缀的授权项用于控制IAM新版控制台的访问。 表1 IAM支持的授权项 授权项
获取账号、IAM用户、项目、用户组、区域、委托的名称和ID 获取账号、IAM用户、项目的名称和ID 从控制台获取账号名、账号ID、用户名、用户ID、项目名称、项目ID 在华为云首页右上角，单击“控制台”。 在右上角的用户名中选择“我的凭证”。 图1 进入我的凭证 在“我的凭证”界
支持标签策略的云服务 当前支持使用标签策略的云服务和资源类型如下表所示： 表1 支持标签策略的云服务和资源类型 服务名称 资源类型 DDoS原生基础防护服务（Anti-DDoS） 公网IP（ip） DDoS防护服务（AAD） 实例（instance） 应用运维管理（AOM） 告警规则（alarmRule）
云日志服务（LTS） 云日志服务 LTS 3 统一身份认证（IAM） 统一身份认证 IAM 4 安全令牌服务（STS） 安全令牌服务 STS 5 资源编排服务（RFS） 资源编排服务 RFS 6 IAM身份中心（IdentityCenter） IAM身份中心 7 组织（Organizations）
应用中间件 分布式缓存服务 DCS 微服务引擎 CSE API网关 APIG 父主题： SCP授权参考
被授予的权限对云服务进行操作。 Organizations服务为全局服务。授权时，“授权范围”需要选择“全局服务资源”。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权
禁止访问指定区域的资源 禁止共享到组织外 禁止共享指定类型的资源 禁止组织内账号给组织外的账号进行聚合授权 禁止根用户使用除IAM之外的云服务 阻止IAM用户和委托进行某些修改 阻止IAM用户和委托进行某些修改，但指定的账号除外 阻止成员账号退出组织 使用以下SCP阻止成员账号主动退出组织。 {
支持SCP的区域 当前支持使用SCP的区域如下表所示： 支持SCP的区域与支持IAM身份策略的区域相同。 表1 支持SCP的区域 区域名称 区域代码 亚太-新加坡 ap-southeast-3 亚太-曼谷 ap-southeast-2 亚太-雅加达 ap-southeast-4 华东-上海一
found for service principal from iam, must register at IAM. service_principal未在IAM进行注册 请检查service_principal是否已经在IAM注册。 400 Organizations.2200 Time
能。 IAM项目(Project)/企业项目(Enterprise Project)：自定义策略的授权范围，包括IAM项目与企业项目。授权范围如果同时支持IAM项目和企业项目，表示此授权项对应的自定义策略，可以在IAM和企业管理两个服务中给用户组授权并生效。如果仅支持IAM项目，
注册作为服务委托管理员 功能介绍 指定成员账号能够管理指定服务的组织功能。此接口授予委托管理员对组织服务数据的只读访问权限。委托管理员账号中的IAM用户仍需要IAM权限才能访问和管理服务。此操作只能由组织的管理账号调用。 调试 您可以在API Explorer中调试该接口，支持自动认证鉴权。API
删除组织后，组织的成员账号将不再受到服务控制策略（SCP）的影响，成员账号及成员账号的IAM用户权限可能会发生改变。 对策略的影响 如果您删除组织，则无法恢复它。如果您在组织内创建了服务控制策略，则也将删除这些策略，并且将不能恢复。 操作步骤 以组织管理员或管理账号的身份登录华为云，进入华为云
基于可信服务提供组织级能力 操作场景 可信服务是指可与Organizations服务集成，提供组织级相关能力的华为云服务。管理账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。 本章节以启用C
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
您即将访问非华为云网站，请注意账号财产安全
