服务控制策略管理-华为云

组织 ORGANIZATIONS-支持SCP的云服务

支持SCP的云服务当前支持使用SCP的云服务如下表所示：支持SCP的各云服务相关文档中列出的授权项仅支持在SCP中使用。表1 支持SCP的云服务服务名称相关文档标签管理服务（TMS）标签管理服务 TMS 资源访问管理（RAM）资源访问管理 RAM 安全令牌服务（STS）安全令牌服务 STS 配置审计（Config）（原资源管理服务 RMS）配置审计 Config 组织（Organizations）组织 Organizations 文档数据库服务（DDS）文档数据库服务 DDS 云数据库（RDS）云数据库 RDS 企业主机安全服务（HSS）主机安全服务 HSS 容器镜像服务（SWR）容器镜像服务 SWR 弹性公网IP（EIP）弹性公网IP EIP 镜像服务（IMS）镜像服务 IMS 裸金属服务（BMS）裸金属服务器 BMS 消息通知服务（SMN）消息通知服务 SMN 虚拟私有云（VPC）虚拟私有云 VPC 弹性云服务器（ECS）弹性云服务器 ECS 安全云脑（SecMaster）安全云脑 SecMaster 弹性负载均衡（ELB）弹性负载均衡 ELB 分布式缓存服务（DCS）分布式缓存服务 DCS NAT网关（NAT） NAT网关 NAT 内容分发网络（CDN）内容分发网络 CDN 云容器引擎（CCE）云容器引擎 CCE VPC终端节点（VPCEP） VPC终端节点 VPCEP 云日志服务（LTS）云日志服务 LTS IAM身份中心（IdentityCenter） IAM身份中心原生基础防护（Anti-DDoS）原生基础防护 Anti-DDoS DDoS高防（AAD） DDoS高防 AAD 企业项目管理服务（EPS）企业项目管理 EPS SSL证书管理服务（SCM） SSL证书管理服务 SCM 私有证书管理服务（PCA）私有证书管理服务 PCA 统一身份认证（IAM）统一身份认证 IAM 设备接入（IoTDA）设备接入 IoTDA 应用管理与运维平台（Servicestage）应用管理与运维平台 ServiceStage 资源编排服务（RFS）资源编排服务 RFS 访问分析（AccessAnalyzer）访问分析 IAM Access Analyzer 云审计服务（CTS）云审计服务 CTS 云防火墙（CFW）云防火墙 CFW 云专线（DC）云专线 DC 流水线（CodeArts Pipeline）流水线 Codearts Pipeline 软件开发生产线（CodeArts）软件开发生产线 CodeArts 微服务引擎（CSE）微服务引擎 CSE 数据湖探索（DLI）数据湖探索 DLI 父主题：服务控制策略管理

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:阻止IAM用户和委托进行某些修改，但指定的账号除外

阻止IAM用户和委托进行某些修改，但指定的账号除外使用此SCP阻止IAM用户和委托对组织内所有账号创建的资源共享进行修改，但指定的账号除外。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:update", "ram:resourceShares:delete", "ram:resourceShares:associate", "ram:resourceShares:disassociate", "ram:resourceShares:associatePermission", "ram:resourceShares:disassociatePermission" ], "Resource": [ "ram::*:resourceShare:resource-id" ], "Condition": { "StringNotEquals": { "g:DomainId": [ "account-id"【备注：此处需填写排除账号的ID】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止访问指定区域的资源

禁止访问指定区域的资源如下SCP表示禁止用户访问“regionid1”区域的ECS服务的全部资源。您可以根据需要修改SCP语句中的操作（Action）、资源类型（Resource）和条件（Condition）。此SCP仅适用于项目级服务，SCP中的“regionid1”仅为区域示例，使用时请填入具体区域ID。 { "Version":"5.0", "Statement":[ { "Effect":"Deny", "Action":["ecs:*:*"], "Resource":["*"], "Condition":{ "StringEquals":{ "g:RequestedRegion":"regionid1" } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止共享到组织外

禁止共享到组织外使用以下SCP禁止本组织内的账号给组织外账号共享资源。此SCP建议绑定至组织的根OU，使其对整个组织生效。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:create", "ram:resourceShares:associate" ], "Resource": [ "*" ], "Condition": { "ForAnyValue:StringNotLike": { "ram:TargetOrgPaths": [ "organization_id/root_id/ou_id"【备注：此处需填写组织的路径ID】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止共享指定类型的资源

禁止共享指定类型的资源使用以下SCP禁止用户共享VPC子网资源。您可以根据需要修改SCP语句条件键（Condition）元素中的资源类型。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:create" ], "Resource": [ "*" ], "Condition": { "ForAnyValue:StringEquals": { "ram:RequestedResourceType": [ "vpc:subnet"【备注：可根据需要修改此处的资源类型】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止组织内账号给组织外的账号进行聚合授权

禁止组织内账号给组织外的账号进行聚合授权使用以下SCP禁止本组织内账号给组织外的账号进行聚合授权。此SCP建议绑定至组织的根OU，使组织外账号无法获取组织内账号下的资源清单信息。您也可以将此SCP绑定给接受授权的账号（源账号），禁止该账号接受来自聚合器账号的授权请求。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "rms:aggregationAuthorizations:create" ], "Resource": [ "*" ], "Condition": { "StringNotMatch": { "rms:AuthorizedAccountOrgPath": [ "organization_id/root_id/ou_id"【备注：此处需填写组织的路径ID】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:阻止根用户的服务访问

阻止根用户的服务访问使用以下SCP禁止成员账号使用根用户执行指定的操作。您可以根据需要修改SCP语句中的操作（Action）和资源类型（Resource）。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ecs:*:*" ], "Resource": [ "*" ], "Condition": { "BoolIfExists": { "g:PrincipalIsRootUser": "true" } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:阻止成员账号退出组织

阻止成员账号退出组织使用以下SCP阻止成员账号主动退出组织。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "organizations:organizations:leave" ], "Resource": [ "*" ] } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止根用户使用除IAM之外的云服务

禁止根用户使用除IAM之外的云服务使用以下SCP禁止根用户使用除IAM之外的云服务。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "NotAction": [ "iam:*:*" ], "Resource": [ "*" ], "Condition": { "Bool": { "g:PrincipalIsRootUser": [ "true" ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:阻止IAM用户和委托进行某些修改

阻止IAM用户和委托进行某些修改使用此SCP阻止IAM用户和委托对组织内所有账号创建的资源共享进行修改。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:update", "ram:resourceShares:delete", "ram:resourceShares:associate", "ram:resourceShares:disassociate", "ram:resourceShares:associatePermission", "ram:resourceShares:disassociatePermission" ], "Resource": [ "ram::*:resourceShare:resource-id" ] } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止创建带有指定标签的资源

禁止创建带有指定标签的资源如下SCP表示禁止用户创建带有 {"team": "engineering"} 标签的资源共享实例。您可以根据需要修改SCP语句中的操作（Action）、资源类型（Resource）和条件（Condition）。 { "Version":"5.0", "Statement":[ { "Effect":"Deny", "Action":["ram:resourceShares:create"], "Resource":["*"], "Condition":{ "StringEquals":{ "g:RequestTag/team":"engineering" } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

云服务器内容精选

服务控制策略管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线