检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
标签策略简介 标签策略是策略的一种类型，可帮助您在组织账号中对资源添加的标签进行标准化管理。在标签策略中，您可以限定为资源添加的标签必须符合规范。标签策略对未添加标签的资源或未在标签策略中定义的标签不会生效。 例如：标签策略规定为某资源添加的标签A，需要遵循标签策略中定义的大小写规则和标签值
通过委托登录创建的账号 鼠标移动至右上方的用户名，选择“切换角色”。 图3 切换角色 在“切换角色”页面中，输入创建的账号名称。 图4 输入创建的账号名称 输入账号名称后，系统将会按照顺序自动匹配创建账号时输入的委托名称。匹配的委托名称中，也会出现以cbc_开头的委托名称，该委托
本章节指导用户为已有的根、OU和账号添加标签。 操作步骤 为根、OU和账号添加标签的方法类似，以OU为例，说明添加标签的方法。 以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台，进入组织管理页面。 选中要添加标签的OU，在右侧的组织单元信息页，选择“标签”页签，单击“添加”。
本节将介绍使用华为云账号作为管理账号来创建组织。创建组织之后，您可以通过邀请现有账号或创建账号的方式向您的组织添加账号，可以通过创建OU来为您的组织添加OU实现账号的结构化管理。 前提条件 当前账号没有加入组织。已经加入组织的账号，不能创建组织，请退出已加入的组织后再进行创建组织操作，退出组织操作步骤请参见成员账号退出组织。
之后才会彻底注销。 约束与限制 只有创建的账号才可以关闭，无法关闭邀请的账号。 创建的账号如已转为云账号则无法关闭。 已设置为委托管理员的账号无法关闭，如需关闭请先取消委托管理员。 管理账号在30天内仅可以关闭组织中10%的成员账号，最多支持关闭200个成员账号，最多可以同时关闭3个成员账号。
本章节指导用户修改SCP自定义策略和标签策略的标签。 操作步骤 修改SCP自定义策略和标签策略标签的方法类似，以SCP为例，说明修改标签的方法。 以组织管理员或管理账号的身份登录管理控制台，进入Organizations控制台。 进入策略管理页，单击服务控制策略，进入SCP管理页。 在列表中单击自定义策略的名称，进入策略详情页。
为SCP自定义策略和标签策略添加标签的方法类似，以SCP为例，说明添加标签的方法。 以组织管理员或管理账号的身份登录管理控制台，进入Organizations控制台。 进入策略管理页，单击“服务控制策略”，进入SCP管理页。 在列表中单击自定义策略的名称，进入策略详情页。 选择“标签”页签，单击“添加”。
SCP示例 本章节为您介绍SCP的常用示例，包含如下内容： 阻止成员账号退出组织 阻止根用户的服务访问 禁止创建带有指定标签的资源 禁止访问指定区域的资源 禁止共享到组织外 禁止共享指定类型的资源 禁止组织内账号给组织外的账号进行聚合授权 禁止根用户使用除IAM之外的云服务 阻止IAM用户和委托进行某些修改
如上示例无法进一步压缩到带一个元素的Statement中，因为两个元素具有不同的作用（Effect）。通常情况下，您只能在每个语句中的Effect和Resource元素相同时组合语句。 多个Statement元素 如下示例中的错误看起来可能是上一节中错误的变体，但是从语法上来看，它是一种不同类型的错误。如
务为企业用户提供多账号关系的管理能力。当您的企业拥有多个分公司、部门或者不同的业务应用，通过Organizations服务，企业可以在云上构建符合自身管理和工作方式的多层级资源结构，同时将多个分散的华为云账号，纳入到构建的多层级组织单元中，实现对多账号的集中和结构化管理。 本章节
开启企业中心服务。 只能使用企业中心的主账号创建组织。 组织的管理账号无法邀请与自身不同类型的账号加入组织。例如中国站的组织管理账号无法邀请国际站账号，国际站的组织管理账号也无法邀请中国站账号。 功能规格 表1 Organizations服务的约束与限制 规格项 默认配额 申请更多配额
id String 组织的唯一标识符（ID）。 urn String 组织的统一资源名称。 management_account_id String 组织管理账号的唯一标识符（ID）。 management_account_name String 组织的管理账号的名称。 created_at
ions服务能够将多个分散的华为云账号，纳入到Organizations构建的组织中，实现对账号和资源的集中管理。 图2 集中管理企业多个云账号 预防各业务的违规行为 企业可以根据内外部要求，为不同的部门、业务环境（生产、测试或开发）等设置云上的行为边界，Organization
禁用服务（由service_principal指定的服务）与组织的集成。禁用可信服务后，指定服务将不可以在组织中的新账号中创建服务关联委托。这意味着该服务无法代表您对组织中的任何新账号执行操作。在服务完成从组织中的清理之前，服务仍可以在旧账号中执行操作。此接口只能由组织的管理账号调用。 调试 您可以在API
除组织。 删除组织的影响 对管理账号的影响 管理账号将成为独立账号。您可以继续将此账号作为独立账号使用，也可以使用它创建不同的组织，它也可以作为成员账号接受其他组织的邀请。 组织的管理账号从来不受服务控制策略（SCP）的影响，所以组织删除后，管理账号及管理账号的IAM用户权限没有任何更改。
本章节指导用户修改根、OU和账号的标签。 操作步骤 修改根、OU和账号标签的方法类似，以OU为例，说明修改标签的方法。 以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台，进入组织管理页面。 选中要修改标签的OU，在右侧的组织单元信息页，选择“标签”页签，进入标签列表页面。
本章节指导用户删除根、OU和账号的标签。 操作步骤 删除根、OU和账号标签的方法类似，以OU为例，说明删除标签的方法。 以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台，进入组织管理页面。 选中要删除标签的OU，在右侧的组织单元信息页，选择“标签”页签。
启用可信服务 功能介绍 启用服务（由service_principal指定的服务）与组织的集成。启用可信服务后，允许指定的可信服务对组织中的所有账号创建服务关联委托。这允许可信服务代表您在组织及其账号中执行操作。此接口只能由组织的管理账号调用。 调试 您可以在API Explorer中调试该接口，支持自动认证鉴权。API
中所述任务的权限，相当于云服务能力在多账号组织场景下的拓展。目前支持的可信服务请参见：已对接组织的可信服务列表。 委托管理员账号 委托管理员账号是一个组织中有特殊权限的成员账号。管理账号可指定某个成员账号成为某个可信服务的委托管理员账号。成为委托管理员账号后，该账号下的用户可以使用对应可信服务的组织级管理能力。
OU创建后，您可以随时修改OU的名称、标签和策略，其中修改标签和策略的详细步骤请参见：标签管理和绑定和解绑SCP。 操作步骤 以组织管理员或管理账号的身份登录华为云，进入华为云Organizations控制台，进入组织管理页面。 选中要修改的OU，在右侧的组织单元信息页，单击组织单元名称后方的。 图1
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
