检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
权限和授权项 权限和授权项说明 策略授权参考
权限和授权项说明 如果您需要对您所拥有的RGC进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），如果华为账号所具备的权限功能已经能满足您的要求，您可以跳过本章节，不影响您使用RGC服务的其他功能。 通过IA
授予获取核心纳管账号的权限。 read - - rgc:homeRegion:get 授予查询主区域的权限。 read - - rgc:preLaunch:check 授予设置Landing Zone前检查的权限。 write - - rgc:landingZone:setup 授予设置Landing
强制执行最低权限 中 identity:::user 不涉及 RGC-GR_CONFIG_IAM_POLICY_NO_STATEMENTS_WITH_ADMIN_ACCESS IAM策略admin权限(*:*:*或*:*或*)，视为“不合规”。 强制执行最低权限 高 ident
e String 加密的错误信息 details Array of ForbiddenErrorDetail objects 跨服务调用无权限错误信息 表5 ForbiddenErrorDetail 参数 参数类型 描述 error_code String 错误码 error_msg
e String 加密的错误信息 details Array of ForbiddenErrorDetail objects 跨服务调用无权限错误信息 表5 ForbiddenErrorDetail 参数 参数类型 描述 error_code String 错误码 error_msg
e String 加密的错误信息 details Array of ForbiddenErrorDetail objects 跨服务调用无权限错误信息 表5 ForbiddenErrorDetail 参数 参数类型 描述 error_code String 错误码 error_msg
模板内描述的资源配置，若与策略内预置的合规配置冲突，则会拦截IaC模板进入下一步的编排动作。 实施类型 必选：这部分策略在开启RGC服务并设置Landing Zone后，便在核心OU和核心账号上强制自动生效，而且无法禁用。 强烈推荐：基于华为云治理最佳实践强烈推荐的合规遵从管控策
从地区和终端节点中查询服务的终端节点。 基本概念 账号 用户注册华为云时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用他们进行日常管理工作。
supported. Landing Zone环境正在设置中。不支持此功能。 请稍后重试。 400 RGC.1067 The landing zone environment is not set. Landing Zone环境未设置。 请设置Landing Zone环境。 400 RGC
在授权的确认弹窗中，单击“立即授权”。 勾选以下三个需要授予委托的权限，分别是：Security Administrator、FullAccess和Tenant Guest。 图3 需要授予委托的权限 单击“下一步”，选择权限的作用范围。 单击“确定”，委托创建完成。RGC管理账号即可
一模板可以多次重复使用，提升了工作效率。 RGC的账号工厂功能支持通过模板快速创建账号，以满足业务需求。管理账号可以直接在RGC或RFS中设置账号的基线模板。后续管理账号在指定组织单元下创建新的成员账号，新建账号内会基于最佳实践自动配置账号基线。 更多关于模板的信息，请参阅资源编排服务用户指南。
在服务开通页，单击“立即开通”。 图2 开通RGC 设置RGC的主区域，该区域是Landing Zone部署的默认区域。 图3 设置主区域 （可选）选择除主区域之外还需要治理的区域，可以选择多个区域。添加后，该区域的资源也将被RGC治理。 图4 设置其他区域 单击“下一步”。 在配置组织单元页面，配置核心组织单元。
在服务开通页，单击“立即开通”。 图1 开通RGC 设置RGC的主区域，该区域是Landing Zone部署的默认区域。 图2 设置主区域 （可选）选择除主区域之外还需要治理的区域，可以选择多个区域。添加后，该区域的资源也将被RGC治理。 图3 设置其他区域 单击“下一步”。 在配置组织单元页面，配置核心组织单元。
在授权的确认弹窗中，单击“立即授权”。 勾选以下三个需要授予委托的权限，分别是：Security Administrator、FullAccess和Tenant Guest。 图3 需要授予委托的权限 单击“下一步”，选择权限的作用范围。 单击“确定”，委托创建完成。RGC管理账号即可
注册组织单元 在RGC设置Landing Zone前，在组织中创建的OU将不会在Landing Zone中自动注册，需要手动注册。注册成功后，该OU将会被Landing Zone进行监管。 约束与限制 正在注册或者重新注册OU时，OU中的账号不能执行取消纳管、纳管、更新账号的操作。
账号。 身份权限：精细化的权限分配与统一的身份管理，消减过度授权风险。 网络规划：公共网络资源集中管理，保障网络安全和高可用。 安全合规：相关数据介质正确加密，主机与数据落地安全保护。 合规审计：完整收集并设置日志的长期留存，保障审计的有效性。 数据边界：正确设置权限边界，预防非预期的访问操作。
e String 加密的错误信息 details Array of ForbiddenErrorDetail objects 跨服务调用无权限错误信息 表5 ForbiddenErrorDetail 参数 参数类型 描述 error_code String 错误码 error_msg
e String 加密的错误信息 details Array of ForbiddenErrorDetail objects 跨服务调用无权限错误信息 表4 ForbiddenErrorDetail 参数 参数类型 描述 error_code String 错误码 error_msg
Zone更新后，您将无法撤销更新或降级到先前的版本。 更新区域设置。可以选择除主区域之外还需要治理的区域。设置后，您可以在治理范围中添加区域。移除某个区域并不妨碍您在该区域部署资源，但这些资源将不在RGC的治理范围之内。 图3 更新区域设置 更新核心组织单元和账号。 更新管理账号： 开通IA
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
