控制策略管理-华为云

组织 ORGANIZATIONS-SCP示例:阻止IAM用户和委托进行某些修改，但指定的账号除外

阻止IAM用户和委托进行某些修改，但指定的账号除外使用此SCP阻止IAM用户和委托对组织内所有账号创建的资源共享进行修改，但指定的账号除外。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:update", "ram:resourceShares:delete", "ram:resourceShares:associate", "ram:resourceShares:disassociate", "ram:resourceShares:associatePermission", "ram:resourceShares:disassociatePermission" ], "Resource": [ "ram::*:resourceShare:resource-id" ], "Condition": { "StringNotEquals": { "g:DomainId": [ "account-id"【备注：此处需填写排除账号的ID】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止创建带有指定标签的资源

禁止创建带有指定标签的资源如下SCP表示禁止用户创建带有 {"team": "engineering"} 标签的资源共享实例。您可以根据需要修改SCP语句中的操作（Action）、资源类型（Resource）和条件（Condition）。 { "Version":"5.0", "Statement":[ { "Effect":"Deny", "Action":["ram:resourceShares:create"], "Resource":["*"], "Condition":{ "StringEquals":{ "g:RequestTag/team":"engineering" } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止访问指定区域的资源

禁止访问指定区域的资源如下SCP表示禁止用户访问“regionid1”区域的ECS服务的全部资源。您可以根据需要修改SCP语句中的操作（Action）、资源类型（Resource）和条件（Condition）。此SCP仅适用于项目级服务，SCP中的“regionid1”仅为区域示例，使用时请填入具体区域ID。 { "Version":"5.0", "Statement":[ { "Effect":"Deny", "Action":["ecs:*:*"], "Resource":["*"], "Condition":{ "StringEquals":{ "g:RequestedRegion":"regionid1" } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止共享到组织外

禁止共享到组织外使用以下SCP禁止本组织内的账号给组织外账号共享资源。此SCP建议绑定至组织的根OU，使其对整个组织生效。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:create", "ram:resourceShares:associate" ], "Resource": [ "*" ], "Condition": { "ForAnyValue:StringNotLike": { "ram:TargetOrgPaths": [ "organization_id/root_id/ou_id"【备注：此处需填写组织的路径ID】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止共享指定类型的资源

禁止共享指定类型的资源使用以下SCP禁止用户共享VPC子网资源。您可以根据需要修改SCP语句条件键（Condition）元素中的资源类型。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:create" ], "Resource": [ "*" ], "Condition": { "ForAnyValue:StringEquals": { "ram:RequestedResourceType": [ "vpc:subnet"【备注：可根据需要修改此处的资源类型】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止组织内账号给组织外的账号进行聚合授权

禁止组织内账号给组织外的账号进行聚合授权使用以下SCP禁止本组织内账号给组织外的账号进行聚合授权。此SCP建议绑定至组织的根OU，使组织外账号无法获取组织内账号下的资源清单信息。您也可以将此SCP绑定给接受授权的账号（源账号），禁止该账号接受来自聚合器账号的授权请求。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "rms:aggregationAuthorizations:create" ], "Resource": [ "*" ], "Condition": { "StringNotMatch": { "rms:AuthorizedAccountOrgPath": [ "organization_id/root_id/ou_id"【备注：此处需填写组织的路径ID】 ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:阻止根用户的服务访问

阻止根用户的服务访问使用以下SCP禁止成员账号使用根用户执行指定的操作。您可以根据需要修改SCP语句中的操作（Action）和资源类型（Resource）。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ecs:*:*" ], "Resource": [ "*" ], "Condition": { "BoolIfExists": { "g:PrincipalIsRootUser": "true" } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:禁止根用户使用除IAM之外的云服务

禁止根用户使用除IAM之外的云服务使用以下SCP禁止根用户使用除IAM之外的云服务。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "NotAction": [ "iam:*:*" ], "Resource": [ "*" ], "Condition": { "Bool": { "g:PrincipalIsRootUser": [ "true" ] } } } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:阻止IAM用户和委托进行某些修改

阻止IAM用户和委托进行某些修改使用此SCP阻止IAM用户和委托对组织内所有账号创建的资源共享进行修改。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "ram:resourceShares:update", "ram:resourceShares:delete", "ram:resourceShares:associate", "ram:resourceShares:disassociate", "ram:resourceShares:associatePermission", "ram:resourceShares:disassociatePermission" ], "Resource": [ "ram::*:resourceShare:resource-id" ] } ] }

组织 ORGANIZATIONS 服务控制策略管理

组织 ORGANIZATIONS-SCP示例:阻止成员账号退出组织

阻止成员账号退出组织使用以下SCP阻止成员账号主动退出组织。 { "Version": "5.0", "Statement": [ { "Effect": "Deny", "Action": [ "organizations:organizations:leave" ], "Resource": [ "*" ] } ] }

组织 ORGANIZATIONS 服务控制策略管理

资源治理中心 RGC-控制策略策略概述:控制策略类型介绍

控制策略类型介绍预防性控制策略：策略主体为SCP服务控制策略，任何在策略中显性拒绝的操作都会被拦截。预防性控制策略在指定OU上生效之后，该OU所有直系子级账号均会继承该策略。检测性控制策略：策略主体为Config合规规则，不合规的资源配置会被检测发现并反馈给用户，用户可以在资源治理中心服务控制台查看不合规的资源列表。检测性控制策略在指定OU上生效后，该OU所有直系子级账号均会根据规则要求检测不合规配置的发生。

资源治理中心 RGC 控制策略管理

资源治理中心 RGC-控制策略策略概述:实施类型

实施类型必选：这部分策略在开启RGC服务并设置Landing Zone后，便在核心OU和核心账号上强制自动生效，而且无法禁用。强烈推荐：基于华为云治理最佳实践强烈推荐的合规遵从管控策略，大部分企业用户在云上治理多账号环境时大概率会涉及相关场景和服务，建议Landing Zone搭建完成之后，企业用户自主启用。可选：企业云上治理过程中，部分企业用户可能会涉及相关控制策略，可以根据具体情况灵活选用相关策略。

资源治理中心 RGC 控制策略管理

应用与数据集成平台 ROMA CONNECT-配置流量控制策略:概述

概述流量控制可限制单位时间内API的被调用次数，保护后端服务。为了提供持续稳定的服务，您可以创建流控策略，对绑定策略的API进行流量控制。流量控制策略和API本身是相互独立的，只有将API绑定流量控制策略后，流量控制策略才对API生效。同一个API在同一个环境中只能绑定一个流控策略，一个流控策略可以绑定多个API。若API被触发流量控制，则流控期间该API的所有调用请求都将被丢弃，并向调用方返回失败响应。

应用与数据集成平台 ROMA CONNECT 控制策略管理

应用与数据集成平台 ROMA Connect-配置客户端配额策略:概述

概述客户端配额可限制单位时间内客户端调用API的总次数，保护后端服务。您可以创建客户端配额策略，对绑定策略的客户端进行调用次数限制。客户端配额策略和客户端本身是相互独立的，只有将客户端绑定客户端配额策略后，客户端配额策略才对客户端生效。仅具有Tenant Administrator权限的用户才可查看和配置客户端配额策略。同一个客户端只能绑定一个客户端配额策略，一个客户端配额策略可以绑定多个客户端。

应用与数据集成平台 ROMA Connect 控制策略管理

云服务器内容精选

控制策略管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线