检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
策略授权参考 云服务在IAM预置了常用授权项，称为系统策略。如果IAM系统策略无法满足授权要求，管理员可以根据各服务支持的授权项，创建IAM自定义策略来进行精细的访问控制，IAM自定义策略是对系统策略的扩展和补充。 除IAM服务外，Organizations服务中的服务控制策略（Service
权限和授权项 权限和授权项说明 策略授权参考
通过IAM，您可以通过授权控制主体（IAM用户、用户组、IAM委托）对华为云资源的访问范围。 账号下的IAM用户发起API请求时，该IAM用户必须具备调用该接口所需的权限，否则，API请求将调用失败。每个接口所需要的权限，与各个接口所对应的授权项相对应，只有发起请求的用户被授予授权项所对应的策略，该用户才能成功调用该接口。
规”。 优化成本 中 ecs:::instanceV1ecs:::instanceV1 是 RGC-GR_CONFIG_ECS_ATTACHED_HSS_AGENTS_CHECK ECS实例未绑定HSS代理并启用防护，视为“不合规”。 管理漏洞 中 ecs:::instanceV1
指定高危安全组ID列表，未绑定指定标签的ECS关联其中任意安全组，视为“不合规”。 限制网络访问 高 ecs:::instanceV1 specifiedECSTagValue：否 specifiedECSTagKey：是 specifiedSecurityGroupIds：否 ECS、VPC 控制策略名称
图1 创建委托 设置“委托名称”为“RGCServiceExecutionAgency”。 图2 委托名称 “委托类型”选择“普通账号”，在“委托的账号”中输入RGC管理账号名。 选择“持续时间”，填写“描述”信息。 单击“完成”。 在授权的确认弹窗中，单击“立即授权”。 勾选以下
Failed 未满足前提条件，服务器未满足请求者在请求中设置的其中一个前提条件。 413 Request Entity Too Large 由于请求的实体过大，服务器无法处理，因此拒绝请求。为防止客户端的连续请求，服务器可能会关闭连接。如果只是服务器暂时无法处理，则会包含一个Retry-After的响应信息。
请求什么类型的操作。 GET：请求服务器返回指定资源。 PUT：请求服务器更新指定资源。 POST：请求服务器新增资源或执行特殊操作。 DELETE：请求服务器删除指定资源，如删除对象等。 HEAD：请求服务器资源头部。 PATCH：请求服务器更新资源的部分内容。当资源不存在的时
图1 创建委托 设置“委托名称”为“RGCServiceExecutionAgency”。 图2 委托名称 “委托类型”选择“普通账号”，在“委托的账号”中输入RGC管理账号名。 选择“持续时间”，填写“描述”信息。 单击“完成”。 在授权的确认弹窗中，单击“立即授权”。 勾选以下
注册组织单元 在RGC设置Landing Zone前，在组织中创建的OU将不会在Landing Zone中自动注册，需要手动注册。注册成功后，该OU将会被Landing Zone进行监管。 约束与限制 正在注册或者重新注册OU时，OU中的账号不能执行取消纳管、纳管、更新账号的操作。
Zone基础环境简称，指由RGC初始部署的符合最佳实践的多账号环境。 账号 账号是租户间的安全边界，是资源隔离的基本单元。一个账号内的资源只能被授权给该账号下的IAM用户（或IAM委托）所访问。当前账号的承载实体是华为云账号。 管理账号 当一个账号启用Organizations服务之后，该账号被称为管理账号。
的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号中该区域的所有资源。如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中创建资源，然后以子项目为单位进行授权，使得用户仅能访问特定子项目中的资源，使得资源的权限控制更加精确。
身份权限：精细化的权限分配与统一的身份管理，消减过度授权风险。 网络规划：公共网络资源集中管理，保障网络安全和高可用。 安全合规：相关数据介质正确加密，主机与数据落地安全保护。 合规审计：完整收集并设置日志的长期留存，保障审计的有效性。 数据边界：正确设置权限边界，预防非预期的访问操作。 财务
在服务开通页，单击“立即开通”。 图1 开通RGC 设置RGC的主区域，该区域是Landing Zone部署的默认区域。 图2 设置主区域 （可选）选择除主区域之外还需要治理的区域，可以选择多个区域。添加后，该区域的资源也将被RGC治理。 图3 设置其他区域 单击“下一步”。 在配置组织单元页面，配置核心组织单元。
在服务开通页，单击“立即开通”。 图2 开通RGC 设置RGC的主区域，该区域是Landing Zone部署的默认区域。 图3 设置主区域 （可选）选择除主区域之外还需要治理的区域，可以选择多个区域。添加后，该区域的资源也将被RGC治理。 图4 设置其他区域 单击“下一步”。 在配置组织单元页面，配置核心组织单元。
公共响应消息头 消息头名称 描述 Content-Type 资源内容的类型。 类型：String 默认值：无 Connection 指明与服务器的连接是长连接还是短连接。 类型：String 有效值：keep-alive | close。 默认值：无。 Date RGC服务响应的时间。
进入Landing Zone设置页，选择“停用”页签。 单击“停用”。停用Landing Zone基础环境的操作无法撤销，请谨慎操作。 图1 停用Landing Zone 单击“确定”。 后续操作 停用Landing Zone后，以下资源需要进行手动删除，才能够设置新的Landing Zone。
使用账号工厂创建账号 管理账号可以直接设置账号的基线模板。后续管理账号在指定组织单元下创建新的成员账号，新建账号内会基于最佳实践自动配置账号基线。管理账号可以直接使用RGC模板管理中的模板，当前暂不支持在RGC界面中创建模板，请前往资源编排服务控制台进行创建。 账号创建时，支持选
略符合您对账号的要求后再执行该操作。 约束与限制 更新核心账号时，如核心账号无使用的模板和模板版本，则必须新增模板和模板版本才可以保存更新设置；如核心账号已有使用的模板和模板版本，更新时则可以删除使用的模板和模板版本。 不支持更改核心账号所属的OU。 操作步骤 以RGC管理账号的
查看账号详情 在RGC设置Landing Zone后，可以查看已纳管账号中的基本信息、不合规资源、模板详情、区域，以及使用的外部Config规则。 操作步骤 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。 进入组织管理页，单击需要查看的账号名称。 图1 查看账号详情
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
