检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
SCP示例 本章节为您介绍SCP的常用示例,包含如下内容: 阻止成员账号退出组织 阻止根用户的服务访问 禁止创建带有指定标签的资源 禁止访问指定区域的资源 禁止共享到组织外 禁止共享指定类型的资源 禁止组织内账号给组织外的账号进行聚合授权 禁止根用户使用除IAM之外的云服务 阻止IAM用户和委托进行某些修改
通过委托登录创建的账号 鼠标移动至右上方的用户名,选择“切换角色”。 图3 切换角色 在“切换角色”页面中,输入创建的账号名称。 图4 输入创建的账号名称 输入账号名称后,系统将会按照顺序自动匹配创建账号时输入的委托名称。匹配的委托名称中,也会出现以cbc_开头的委托名称,该委托
(请求中的所有值)ForAllValues:测试请求集的每个成员的值是否为条件键集的子集。如果请求中的每个键值均与策略中的至少一个值匹配,则条件返回true。 (请求中的任何值)ForAnyValue:测试请求值集的至少一个成员是否与条件键值集的至少一个成员匹配。如果请求中的任何一
务为企业用户提供多账号关系的管理能力。当您的企业拥有多个分公司、部门或者不同的业务应用,通过Organizations服务,企业可以在云上构建符合自身管理和工作方式的多层级资源结构,同时将多个分散的华为云账号,纳入到构建的多层级组织单元中,实现对多账号的集中和结构化管理。 本章节
本章节指导用户查看根、OU和账号的标签。 操作步骤 查看根、OU和账号标签的方法类似,以OU为例,说明查看标签的方法。 以组织管理员或管理账号的身份登录华为云,进入华为云Organizations控制台,进入组织管理页面。 选中要查看标签的OU,在右侧的组织单元信息页,选择“标签”页签,进入标签列表页面。
ions服务能够将多个分散的华为云账号,纳入到Organizations构建的组织中,实现对账号和资源的集中管理。 图2 集中管理企业多个云账号 预防各业务的违规行为 企业可以根据内外部要求,为不同的部门、业务环境(生产、测试或开发)等设置云上的行为边界,Organization
开启企业中心服务。 只能使用企业中心的主账号创建组织。 组织的管理账号无法邀请与自身不同类型的账号加入组织。例如中国站的组织管理账号无法邀请国际站账号,国际站的组织管理账号也无法邀请中国站账号。 功能规格 表1 Organizations服务的约束与限制 规格项 默认配额 申请更多配额
功能介绍 在根中启用策略类型。在根中启用策略类型后,您可以将该类型的策略绑定到根、或该根中的任何组织单元和账号。这是在后台执行的异步请求。您可以使用ListRoots查看指定根的策略类型的状态。此操作只能由组织的管理账号调用。 调试 您可以在API Explorer中调试该接口,支持自动认证鉴权。API
如上示例无法进一步压缩到带一个元素的Statement中,因为两个元素具有不同的作用(Effect)。通常情况下,您只能在每个语句中的Effect和Resource元素相同时组合语句。 多个Statement元素 如下示例中的错误看起来可能是上一节中错误的变体,但是从语法上来看,它是一种不同类型的错误。如
企业对权限最小化的安全管控要求。 策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。多数细粒度策略以API接口为粒度进行权限拆分,权限的最小粒度为API授权项(
本章节指导用户为已有的根、OU和账号添加标签。 操作步骤 为根、OU和账号添加标签的方法类似,以OU为例,说明添加标签的方法。 以组织管理员或管理账号的身份登录华为云,进入华为云Organizations控制台,进入组织管理页面。 选中要添加标签的OU,在右侧的组织单元信息页,选择“标签”页签,单击“添加”。
本章节指导用户修改根、OU和账号的标签。 操作步骤 修改根、OU和账号标签的方法类似,以OU为例,说明修改标签的方法。 以组织管理员或管理账号的身份登录华为云,进入华为云Organizations控制台,进入组织管理页面。 选中要修改标签的OU,在右侧的组织单元信息页,选择“标签”页签,进入标签列表页面。
本章节指导用户删除根、OU和账号的标签。 操作步骤 删除根、OU和账号标签的方法类似,以OU为例,说明删除标签的方法。 以组织管理员或管理账号的身份登录华为云,进入华为云Organizations控制台,进入组织管理页面。 选中要删除标签的OU,在右侧的组织单元信息页,选择“标签”页签。
为SCP自定义策略和标签策略添加标签的方法类似,以SCP为例,说明添加标签的方法。 以组织管理员或管理账号的身份登录管理控制台,进入Organizations控制台。 进入策略管理页,单击“服务控制策略”,进入SCP管理页。 在列表中单击自定义策略的名称,进入策略详情页。 选择“标签”页签,单击“添加”。
本章节指导用户修改SCP自定义策略和标签策略的标签。 操作步骤 修改SCP自定义策略和标签策略标签的方法类似,以SCP为例,说明修改标签的方法。 以组织管理员或管理账号的身份登录管理控制台,进入Organizations控制台。 进入策略管理页,单击服务控制策略,进入SCP管理页。 在列表中单击自定义策略的名称,进入策略详情页。
本节将介绍使用华为云账号作为管理账号来创建组织。创建组织之后,您可以通过邀请现有账号或创建账号的方式向您的组织添加账号,可以通过创建OU来为您的组织添加OU实现账号的结构化管理。 前提条件 当前账号没有加入组织。已经加入组织的账号,不能创建组织,请退出已加入的组织后再进行创建组织操作,退出组织操作步骤请参见成员账号退出组织。
之后才会彻底注销。 约束与限制 只有创建的账号才可以关闭,无法关闭邀请的账号。 创建的账号如已转为云账号则无法关闭。 已设置为委托管理员的账号无法关闭,如需关闭请先取消委托管理员。 管理账号在30天内仅可以关闭组织中10%的成员账号,最多支持关闭200个成员账号,最多可以同时关闭3个成员账号。
Organizations服务的主要功能: 集中管理企业多账号:企业可以将多个账号邀请加入组织,或者直接创建账号,并根据企业的管理或工作方式将账号进行分层分组。 集中控制每个账号可执行的操作:管理员通过使用服务控制策略,为组织或者组织单元设置权限边界,阻止组织内的成员账号对相应服务的控制台或API的访问。
禁用服务(由service_principal指定的服务)与组织的集成。禁用可信服务后,指定服务将不可以在组织中的新账号中创建服务关联委托。这意味着该服务无法代表您对组织中的任何新账号执行操作。在服务完成从组织中的清理之前,服务仍可以在旧账号中执行操作。此接口只能由组织的管理账号调用。 调试 您可以在API
除组织。 删除组织的影响 对管理账号的影响 管理账号将成为独立账号。您可以继续将此账号作为独立账号使用,也可以使用它创建不同的组织,它也可以作为成员账号接受其他组织的邀请。 组织的管理账号从来不受服务控制策略(SCP)的影响,所以组织删除后,管理账号及管理账号的IAM用户权限没有任何更改。