检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
客户运营能力 Organizations服务中的服务控制策略（Service Control Policy，以下简称SCP）可以使用以下授权项元素设置访问控制策略。 SCP不直接进行授权，只划定权限边界。将SCP绑定到组织单元或者成员账号时，并没有直接对组织单元或成员账号授予操作
基于可信服务提供组织级能力 操作场景 可信服务是指可与Organizations服务集成，提供组织级相关能力的华为云服务。管理账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。 本章节以启用Co
可信服务是指可与Organizations服务集成，提供组织级相关能力的华为云服务。管理账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。例如，开启CTS云审计为可信服务后，CTS可以获取组织单元及成员账号信息，统一为整个组织提
从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。
图3 使用策略管控各账号行为 提供多种企业级的治理能力 配置审计 Config等多个云服务与Organizations服务集成，为客户提供在同一资源架构下集中式的资源审计、操作审计、多业务共享资源等企业级能力。 图4 提供企业级治理能力
成长地图 | 华为云 组织 Organizations 组织（Organizations）云服务为企业用户提供多账号关系的管理能力。用户可以将多个账号整合到创建的组织中，并集中管理组织下的所有账号，还可以在组织中统一设置治理策略。 产品介绍 仅两个按钮时选用 立即使用 成长地图
用户服务 费用中心 成本中心 账号中心 企业中心 消息中心 客户运营能力 父主题： SCP授权参考
云防火墙服务具备安全可靠的跨账号数据汇聚和资源访问能力，组织管理员或CFW服务的委托管理员可以对组织内所有成员账号的EIP进行统一的资产防护。 是 多账号管理 数据安全中心（DSC） 数据安全中心服务具备安全可靠的跨账号数据汇聚和资源访问能力，组织管理员或DSC服务的委托管理员可以对组
1 费用中心 费用中心 2 成本中心 成本中心 3 账号中心 账号中心 4 企业中心 企业中心 5 消息中心 消息中心 6 客户运营能力 客户运营能力 迁移 序号 服务名称 相关文档 1 对象存储迁移服务（OMS） 对象存储迁移服务 OMS 2 主机迁移服务（SMS） 主机迁移服务
授予权限以查询脱敏任务的子任务列表。 list maskTask * - dsc:common:operate 授予权限以操作DSC通用资源。 write - - dsc:common:list 授予权限以查询DSC通用资源列表。 list - - dsc:scanTask:create 授予权限以创建敏感数据扫描任务。
表4 PCA支持的服务级条件键 服务级条件键 类型 单值/多值 说明 pca:CommonName string 单值 根据请求参数中的证书通用名称过滤访问。 父主题： 安全与合规
可信服务是指可与Organizations服务集成，提供组织级相关能力的华为云服务。管理账号可以在组织中开启某个云服务为可信服务。成为可信服务后，云服务可以获取组织中的组织单元及成员账号信息，并基于此信息提供组织级的管理能力。如何管理可信服务请参见可信服务管理。 URN 统一资源标识（Uniform
取并鉴权。 服务级条件键（前缀为服务缩写，如ram:）仅适用于对应服务的操作。详情请参见SCP授权参考中各服务支持的服务级条件键。 表2 通用全局条件键 全局条件键 类型 说明 g:CalledVia 字符串数组 用于控制跨服务访问。当身份主体向云服务发起访问时，该服务可能会转发
授予查询指定可保护资源权限。 read - - cbr:backups:queryReplicationCapability 授予查询复制能力权限。 list - - cbr:backups:checkAgent 授予查询agent状态权限。 read - - cbr:vault
与其他华为云服务集成：Organizations服务通过和其他华为云服务的集成（可信服务），使用户可以在其他服务上执行组织级别的相关能力。可信服务及其相关能力的具体详情，请参考已对接组织的可信服务。 表1 Organizations云服务功能概览 功能 功能描述 参考链接 组织管理 您
能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。多数细粒度
rds:backup:create 授予创建手动备份的权限。 write - - rds:instance:buildDrRelation 授予配置灾备实例容灾能力权限。 write instance g:EnterpriseProjectId g:ResourceTag/<tag-key> rds:
可信服务是指可与Organizations服务集成，提供组织级管理能力的华为云服务。启用华为云服务为可信服务后，可信服务会在成员账号中创建一个服务关联委托，该委托允许可信服务在成员账号中拥有执行可信服务文档中所述任务的权限，相当于云服务能力在多账号组织场景下的拓展。目前支持的可信服务请参见：已对接组织的可信服务列表。
使用Organizations管理多账号 操作场景 组织（以下简称Organizations）云服务为企业用户提供多账号关系的管理能力。当您的企业拥有多个分公司、部门或者不同的业务应用，通过Organizations服务，企业可以在云上构建符合自身管理和工作方式的多层级资源结构，
d g:ResourceTag/<tag-key> css:cluster:listUpgradeCluster 授予权限获取升级镜像id及升级详情。 list cluster * g:EnterpriseProjectId g:ResourceTag/<tag-key> css
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
