检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
IpRule:<white-black-ip-rule-id> 条件（Condition） AAD服务不支持在SCP策略中的条件键中配置服务级的条件键。 AAD可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： DDoS防护 AAD
可信服务是指可与Organizations服务集成，提供组织级管理能力的华为云服务。启用华为云服务为可信服务后，可信服务会在成员账号中创建一个服务关联委托，该委托允许可信服务在成员账号中拥有执行可信服务文档中所述任务的权限，相当于云服务能力在多账号组织场景下的拓展。目前支持的可信服务请参见：已对接组织的可信服务列表。
值。根据适用范围，分为全局级条件键和服务级条件键。 全局级条件键（前缀为g:）适用于所有操作，在鉴权过程中，云服务不需要提供用户身份信息，系统将自动获取并鉴权。详情请参见：全局条件键。 服务级条件键（前缀为服务缩写，如iam:）仅适用于对应服务的操作，详情请参见表4。 单值/多值
基于可信服务提供组织级能力 操作场景 可信服务是指可与Organizations服务集成，提供组织级相关能力的华为云服务。管理账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。 本章节以启用C
uster:<cluster-id> 条件（Condition） GaussDB(DWS)服务不支持在SCP中的条件键中配置服务级的条件键。 GaussDB(DWS)可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 大数据
vpc:<region>:<account-id>:subnet:<subnet-id> 条件（Condition） NAT服务不支持在SCP中的条件键中配置服务级的条件键。NAT可以使用适用于所有服务的全局条件键，请参考请参考全局条件键。 父主题： 网络
id>:geipSegment:<geipSegment-id> 条件（Condition） EIP服务不支持在SCP中的条件键中配置服务级的条件键。EIP可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 网络
PI的访问。 与其他华为云服务集成：Organizations服务通过和其他华为云服务的集成（可信服务），使用户可以在其他服务上执行组织级别的相关能力。可信服务及其相关能力的具体详情，请参考已对接组织的可信服务。 表1 Organizations云服务功能概览 功能 功能描述 参考链接
*@example.com，但不允许使用 *@*.com。 对于强制执行，可以用“<service>:*”对该服务的所有资源启用强制执行。但是不能使用通配符指定所有服务或指定所有服务的某个资源。 继承运算符 在标签策略样例中，标签键，标签值和强制执行中使用了"@@assign"标识，该标识即为继承运算符。
policy:<resource-type>/<type-id> 条件（Condition） HSS服务不支持在SCP中的条件键中配置服务级的条件键。 HSS可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 安全与合规
支持标签策略的云服务 当前支持使用标签策略的云服务和资源类型如下表所示： 表1 支持标签策略的云服务和资源类型 服务名称 资源类型 DDoS原生基础防护服务（Anti-DDoS） 公网IP（ip） DDoS防护服务（AAD） 实例（instance） 应用运维管理（AOM） 告警规则（alarmRule）
id>:certificate:<certificate-id> 条件（Condition） WAF服务不支持在SCP中的条件键中配置服务级的条件键。WAF可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 安全与合规
Organizations会在成员账号内创建服务关联委托，该委托是云服务委托，委托权限为“OrganizationsServiceLinkedAgencyPolicy”系统权限，授权范围为所有资源。 新加入组织的成员账号权限将会受到服务控制策略和标签策略的影响。附加到根或包含新的成员账号的OU上的服务控制策略和标
（可选）为账号添加标签。 标签以键值对的形式表示，用于标识账号，便于对账号进行分类和搜索。一个账号最多添加20个标签。 标签的设置说明如表1所示。 表1 标签说明 参数 说明 举例 键 输入标签的键，同一个账号标签的键不能重复。键可以自定义，也可以选择预先在标签管理服务（TMS）创建好的标签的键。 键命名规则如下：
华为云服务。管理账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。如何管理可信服务请参见可信服务管理。 URN 统一资源标识（Uniform Resource Name，URN），用于唯一标识云服务资源。
ame> 条件（Condition） CodeArts PerfTest不支持在SCP中的条件键中配置服务级的条件键。 CodeArts PerfTest可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 开发与运维
组织管理账号及其IAM用户执行的任何操作。 使用服务关联委托执行的任何操作。 由不支持SCP的云服务对支持SCP的云服务发起的API调用请求，将不受SCP限制。当前支持SCP的云服务和区域请参见：支持SCP的云服务和支持SCP的区域。 通过API方式获取Token后，使用该Token访问支持SCP的云服务的API，在大多数场景下将不受SCP限制。
orkspace-id>/<table-id> 条件（Condition） SecMaster服务不支持在SCP中的条件键中配置服务级的条件键。SecMaster可以使用适用于所有服务的全局条件键，请参考全局条件键。 父主题： 安全与合规
的权限对云服务进行操作。 Organizations服务为全局服务。授权时，“授权范围”需要选择“全局服务资源”。 权限根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于
可信服务概述 什么是可信服务 可信服务是指可与Organizations服务集成，提供组织级相关能力的华为云服务。管理账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。例如，开启CTS云审计为
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
