检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
权限和授权项 权限和授权项说明 策略授权参考
权限和授权项说明 如果您需要对您所拥有的RGC进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），如果华为账号所具备的权限功能已经能满足您的要求，您可以跳过本章节，不影响您使用RGC服务的其他功能。 通过IA
多账号环境是一种适用于组织或企业的云上架构模式。它由一个管理账号和若干成员账号组成。 最佳实践 最佳实践是已被证明的能够带来良好结果的架构、流程或方法。在RGC中，是指安全、可扩展的多账号环境及一系列云服务配置。 基础环境 由RGC初始部署的符合最佳实践的多账号环境，它有管理账号和两个成员账号（审计账号和日志账号
服务策略可以关联到组织、组织单元和成员账号。当服务策略关联到组织或组织单元时，该组织或组织单元下所有账号受到该策略影响。IAM策略授予权限的有效性受SCP限制，只有在SCP允许范围内的权限才能生效。 本章节介绍IAM服务策略授权场景中自定义策略和组织服务中SCP使用的元素，这些元
获取账号、IAM用户、项目、用户组、区域、委托的名称和ID 获取账号、IAM用户、项目的名称和ID 从控制台获取账号名、账号ID、用户名、用户ID、项目名称、项目ID 在华为云首页右上角，单击“控制台”。 在右上角的用户名中选择“我的凭证”。 图1 进入我的凭证 在“我的凭证”界
Zone配置信息，确认无误后，勾选“我已了解RGC服务管理资源和强制执行策略时将使用的权限。同时已了解有关如何使用RGC和华为云资源的基本指导。”。 可以在统一身份认证控制台中，在左侧导航栏选择“身份策略”，搜索“RGCServiceAgencyPolicy”，查看RGC服务管理资源和强制执行策略时将使用的权限。
Zone搭建失败。为了您的数据安全，不建议使用的OBS桶策略为公共读和公共读写。 图9 配置OBS桶日志保留时长 确认Landing Zone配置信息，确认无误后，勾选“我已了解RGC服务管理资源和强制执行策略时将使用的权限。同时已了解有关如何使用RGC和华为云资源的基本指导。”。 可以在统一身份认证
css:::cluster RGC-GR_CONFIG_CSS_CLUSTER_SECURITY_MODE_ENABLE CSS集群未开启安全模式，视为“不合规”。 强制执行最低权限 高 css:::cluster RGC-GR_CONFIG_CSS_CLUSTER_HTTPS_REQUIRED
漂移检测与修复 漂移概述 搭建Landing Zone时，账号、所有OU和资源都将符合控制策略管控下的管理规则。当您和组织成员使用Landing Zone时，由于可以同时从RGC和Organizations服务对组织和SCP进行操作，操作入口的不唯一就可能导致纳管资源的合规状态发生改变
Zone多账号环境，它有管理账号和两个核心成员账号（审计账号和日志账号）。该环境同时提供了组织级的统一登录、集中日志和审计能力等。 账号工厂 用户可以直接在指定组织单元下创建新的成员账号，新建账号内会基于最佳实践自动配置账号基线。 控制策略 用户可以灵活选用场景化的合规控制策略包，启用预防性和检测性的控制策略，满足企业合规要求。
Zone的整体情况，包括“组织单元和账号”、“已启用的控制策略”、“不合规资源”、“已注册组织单元”和“已纳管账号”的情况。 操作步骤 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。 在总览页面，可以看到Landing Zone中整体情况。 在“组织单元和账号”区域，单击数字，可以查看组织单元和账号的概览。
建议应用在OU上的程度。分为必选、强烈推荐和可选。 控制策略场景 此控制策略执行后可以达到的预期目标。 控制方式 控制策略的类型。分为预防性控制策略、检测性控制策略。 严重性 如果违反此控制策略所带来的风险程度。 服务 此控制策略适用的云服务。 策略类别 此控制策略的来源类型。分为服务控制策略（SCP）和Config规则。
您可以选择取消注册OU。 约束与限制 无法取消注册核心OU或根OU。 取消注册OU前，请确保OU中无已被注册的子OU和被纳管的账号。如果存在，请先取消注册OU和取消纳管账号。 操作步骤 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。 进入组织管理页，单击需要取消注册OU所在行“操作”列的“取消注册”。
Zone可以得到修复和更新。为了避免Landing Zone受到合规问题的影响，管理员需要及时发现提示的漂移现象并立即解决这些问题。通过更新Landing Zone，可以解决某些类型的漂移问题。 通过更新Landing Zone，您可以实现： 更新核心组织单元和账号 更改管理账号 更改审计账号邮箱
组织服务控制台中删除。 约束与限制 无法删除未注册OU、核心OU或根OU。 删除OU前，请确保OU中无已被注册的子OU和被纳管的账号。如果存在，请先取消注册OU和取消纳管账号。 操作步骤 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。 进入组织管理页，单击需要删除的OU所在行“操作”列的“删除”。
源。请勿修改或删除RGC创建的资源，否则可能导致控制策略失效等。 约束与限制 仅实施类型为“强烈推荐”和“可选”的控制策略可以手动启用或关闭。 控制策略不支持绑定至根组织单元和核心组织单元。 启用控制策略 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。 进入“控制策略管理
使用CTS审计RGC操作事件 操作场景 资源治理中心支持通过云审计服务对资源治理中心的操作进行记录，以便查询事件列表，用以审计和回溯历史操作。 前提条件 已开通CTS。 支持审计的关键操作列表 表1 云审计服务支持的RGC操作列表 操作名称 资源类型 事件名称 设置Landing
重新注册OU时，如果OU中存在创建失败和取消纳管失败的账号，则OU将无法重新注册。 不能注册或重新注册核心OU。 操作步骤 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。 进入组织管理页，单击需要注册OU所在行“操作”列的“重新注册”。 图1 重新注册OU 确认子账号和OU上控制策略的信
Endpoint配置、DNS规则配置以及关联VPC。 ER：该模板可直接创建ER及路由配置，并且创建和已有VPC的连接。 VPC：该模板可直接创建VPC和subnet。 操作步骤 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。 进入模板管理页，选择“场景预置模板”页签。 单击需要使用的场景化模板名称。
更新账号 如果您希望对账号所属的组织单元和使用的模板、模板版本进行更改，可以对账号进行更新。 更改账号所属的组织单元后，新的组织单元所应用的控制策略可能与原组织单元的控制策略不同，需要确认新组织单元所启用的控制策略符合您对账号的要求后再执行该操作。 操作步骤 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
