检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
策略授权参考 云服务在IAM预置了常用授权项，称为系统策略。如果IAM系统策略无法满足授权要求，管理员可以根据各服务支持的授权项，创建IAM自定义策略来进行精细的访问控制，IAM自定义策略是对系统策略的扩展和补充。 除IAM服务外，Organizations服务中的服务控制策略（Service
通过IAM，您可以通过授权控制主体（IAM用户、用户组、IAM委托）对华为云资源的访问范围。 账号下的IAM用户发起API请求时，该IAM用户必须具备调用该接口所需的权限，否则，API请求将调用失败。每个接口所需要的权限，与各个接口所对应的授权项相对应，只有发起请求的用户被授予授权项所对应的策略，该用户才能成功调用该接口。
权限和授权项 权限和授权项说明 策略授权参考
除了使用自定义上传的模板外，您还可以直接使用RGC中的场景预置模板来快速创建账号。当前RGC提供以下场景的模板供您使用： 网络规划模块 DNS：该模板可进行DNS Endpoint配置、DNS规则配置以及关联VPC。 ER：该模板可直接创建ER及路由配置，并且创建和已有VPC的连接。 V
在我的凭证下，您可以查看账号ID和IAM用户ID。通常在调用API的鉴权过程中，您需要用到账号、用户和密码等信息。 区域（Region） 从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Re
RGC-GR_CONFIG_VPC_ACL_UNUSED_CHECK 检查是否存在未使用的网络ACL,如果网络ACL没有与子网关联，视为“不合规”。 保护配置 低 vpc:::networkAcl RGC-GR_CONFIG_VPC_DEFAULT_SG_CLOSED 虚拟私有云的默认安全组允许入方向或出方向流量，视为“不合规”。
Code，简称IaC）是指使用代码而非手动交互方式来配置和管理计算基础设施的能力。 Landing Zone Landing Zone基础环境简称，指由RGC初始部署的符合最佳实践的多账号环境。 账号 账号是租户间的安全边界，是资源隔离的基本单元。一个账号内的资源只能被授权给该账号下的IAM用户（或IAM委托）
建立日志记录和监控 严重 ces:::alarmRule CES、VPC 控制策略名称 功能 场景 严重程度 资源 RGC-GR_CONFIG_ALARM_VPC_CHANGE CES未配置监控VPC变更的事件监控告警，视为“不合规”。 建立日志记录和监控 高 ces:::alarmRule
（可选）配置账号工厂的RFS模板。选择使用的RFS模板和模板的版本，如选择通过模板创建账号，可以实现账号的批量复制创建。 更多关于资源编排服务RFS模板的信息，请参考RFS模板介绍。 选择模板：选择在RFS中创建好的模板。 模板版本：选择模板的版本。 配置参数：根据业务需求，修改模板中的参数配置。 图6 配置模板
获取用户组名称和ID 登录华为云，进入IAM控制台，选择“用户组”页签。 单击需要查询的用户组前的下拉框，即可查询用户组名称、用户组ID。 图3 查询用户组名称、用户组ID 获取区域ID 登录华为云，进入IAM控制台，选择“项目”页签。 “项目”列的内容即为所属区域对应的ID。 图4
Multiple Choices 多种选择。请求的资源可包括多个位置，相应可返回一个资源特征与地址的列表用于用户终端（例如：浏览器）选择。 301 Moved Permanently 永久移动，请求的资源已被永久的移动到新的URI，返回信息会包括新的URI。 302 Found 资源被临时移动。
AK/SK签名认证方式仅支持消息体大小12M以内，12M以上的请求请使用Token认证。 AK/SK认证就是使用AK/SK对请求进行签名，在请求时将签名信息添加到消息头，从而通过身份认证。 AK(Access Key ID)：访问密钥ID。与私有访问密钥关联的唯一标识符；访问密钥ID和私有访问密钥一起使用，对请求进行加密签名。
创建OBS桶：需要配置日志在OBS桶中的保留时长。日志将会自动存放至系统创建的两个默认OBS桶中，不支持自定义OBS桶名。 日志汇聚桶数据保留时长：默认设置为1年。最长设置为15年。 该桶用于存储组织内所有账号的CTS记录的操作审计日志和已纳管账号的Config记录的资源快照，并且存放于名为“
进入模板详情页面，可以查看到模板的详细信息。 图2 查看模板详情 如果模板内容需要修改，您可以单击“版本信息”模块中目标模板版本“操作”列的“编辑”。 配置模板的相关语法等详细说明请参阅模板简介。 图3 修改模板 修改模板完成后，单击右上角的“保存模板”。完成模板修改。 删除模板 以RGC管理账号的身份登录华为云，进入华为云RGC控制台。
创建OBS桶：需要配置日志在OBS桶中的保留时长。日志将会自动存放至系统创建的两个默认OBS桶中，不支持自定义OBS桶名。 日志汇聚桶数据保留时长：默认设置为1年。最长设置为15年。 该桶用于存储组织内所有账号的CTS记录的操作审计日志和已纳管账号的Config记录的资源快照，并且存放于名为“
控制策略可以对Landing Zone的环境进行治理。通过控制策略的运作，管理账号可以快速发现Landing Zone中存在的风险，以便及时进行干预、维护，保障Landing Zone各个部分的合规性。 控制策略类型介绍 预防性控制策略：策略主体为SCP服务控制策略，任何在策略中显性拒绝的操作都会被拦截
Zone时，账号、所有OU和资源都将符合控制策略管控下的管理规则。当您和组织成员使用Landing Zone时，由于可以同时从RGC和Organizations服务对组织和SCP进行操作，操作入口的不唯一就可能导致纳管资源的合规状态发生改变。当RGC纳管的资源不满足治理策略时，就会发生以下三类漂移现象：
组织单元和账号的概览。 在“已启用的控制策略”区域，单击数字，可以查看策略的概览。 在“不合规资源”区域，单击账号名称，可以查看不合规资源的详情。 针对不合规资源的情况，管理账号可以进行资源的调整。 图1 不合规资源 在“已注册组织单元”区域，单击OU名称，可以查看OU的详情。
C提供的功能。 基础环境自动部署 用户可以通过RGC服务自动部署的符合最佳实践的Landing Zone多账号环境，它有管理账号和两个核心成员账号（审计账号和日志账号）。该环境同时提供了组织级的统一登录、集中日志和审计能力等。 账号工厂 用户可以直接在指定组织单元下创建新的成员账
取消注册组织单元 当您希望注册成功的OU不再受到Landing Zone的监管，或不再希望注册已注册失败的OU，您可以选择取消注册OU。 约束与限制 无法取消注册核心OU或根OU。 取消注册OU前，请确保OU中无已被注册的子OU和被纳管的账号。如果存在，请先取消注册OU和取消纳管账号。 操作步骤
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
