资源治理中心 RGC-华为云

资源治理中心 RGC-搭建并启用Landing Zone:背景说明

背景说明通过RGC服务，预计可实现以下功能： RGC将会拥有必要的权限来治理Organizations内的所有组织单元以及成员账号您需要在RGC中搭建Landing Zone，并且设置您的多账号环境治理范围。RGC不会将云上环境治理扩展到您Organizations服务内现有的其他组织单元和成员账号。当您将现有组织单元由RGC纳入治理范围的过程，称为注册组织单元。在搭建Landing Zone后，您可以在RGC中注册现有的组织单元。

资源治理中心 RGC

资源治理中心 RGC-什么是资源治理中心

什么是资源治理中心资源治理中心（Resource Governance Center，简称RGC）服务为用户提供搭建安全、可扩展的多账号环境并持续治理的能力。您可以通过RGC服务快速自动搭建Landing Zone基础多账号环境并纳管您现有的组织架构，实现业务快速上云。您可以在搭建好的Landing Zone基础环境（以下简称Landing Zone）上设置控制策略，帮助您更快速便捷地满足云上合规诉求，而且通过RGC看板持续监控云上多账号环境的合规状态，管理控制策略启用情况并查看不合规资源详情。您可以使用定义好的IaC（Infrastructure as Code）模板，快速创建账号，保证账号资源配置一致性的同时，实现新业务应用的快速部署上线。

资源治理中心 RGC

资源治理中心 RGC-部署Landing Zone:背景说明

背景说明通过RGC服务，预计可实现以下功能： RGC将会拥有必要的权限来治理Organizations内的所有组织单元以及成员账号您需要在RGC中搭建Landing Zone，并且设置您的多账号环境治理范围。RGC不会将云上环境治理扩展到您Organizations服务内现有的其他组织单元和成员账号。当您将现有组织单元由RGC纳入治理范围的过程，称为注册组织单元。在搭建Landing Zone后，您可以在RGC中注册现有的组织单元。

资源治理中心 RGC Landing Zone管理

资源治理中心 RGC-组织管理概述:什么是组织

什么是组织华为云Organizations云服务是一项账号管理服务，使您能够将多个华为云账号整合到您创建并集中管理的组织中。组织是为管理多账号关系而创建的实体，一个组织由管理账号、成员账号、根组织单元、组织单元（Organizational Unit，以下简称OU）四个部分组成。一个组织有且仅有一个管理账号，若干个成员账号，一个根，若干个OU。一个根和多层级OU组成树状结构，账号可以关联根或任一层级的OU。有关Organizations云服务的介绍请参见：什么是组织云服务。管理账号设置Landing Zone后，所管理的组织结构、组织单元、账号将会显示在组织管理页面中。

资源治理中心 RGC

资源治理中心 RGC-组织管理概述:组织管理的基本概念

组织管理的基本概念组织为管理多账号关系而创建的实体。一个组织由管理账号、成员账号、根组织单元、组织单元四个部分组成。一个组织有且仅有一个管理账号，若干个成员账号，以及由一个根组织单元和多层级组织单元组成的树状结构。成员账号可以关联在根组织单元或任一层级的组织单元。组织管理页面所呈现的，即为一个组织。根组织单元根组织单元位于整个组织树的顶端，组织由根组织单元向下关联组织单元和账号。组织管理页面中的root层级，即为根组织单元。核心组织单元在设置Landing Zone时，配置的核心组织单元，将会自动出现在组织结构中。默认的组织单元名称为“Security”。此组织单元包含两个核心账号，分别是日志归档账号和安全审计账号（也称为审计账号）。组织单元组织单元是可以理解为成员账号的容器或分组单元，通常可以映射为企业的部门、子公司或者项目族等。组织单元可以嵌套，一个组织单元只能有一个父组织单元，一个组织单元下可以关联多个子组织单元或者成员账号。管理账号管理账号通常是设置Landing Zone的账号。管理账号可以注册组织单元或账号，将组织单元或账号纳管至Landing Zone中。成员账号成员账号为关联在根组织单元或者任一个组织单元下的账号。注册组织单元在RGC中创建的组织单元，系统将会自动注册。在组织中创建的组织单元需要手动进行注册，Landing Zone就可以对组织单元进行监管。纳管账号在RGC中创建的账号，系统将会自动纳管。在组织中创建的账号需要手动进行纳管，Landing Zone可以对账号进行监管。

资源治理中心 RGC

资源治理中心 RGC-创建账号并配置模板:操作步骤

操作步骤以RGC管理账号的身份登录华为云，进入华为云RGC控制台。进入账号工厂页，单击右上角“创建账号”。图1 创建账号配置账号基本信息。输入账号显示名、手机号。不能与其他账号重复。基本信息中的手机号，仅展示作用，不用于密码找回等场景。图2 填写基本信息配置IAM身份中心的信息。输入IAM身份中心邮箱地址和用户名。创建账号后，系统将会同步创建一个IAM身份中心的用户。创建的用户可以使用IAM身份中心的门户URL进行登录，并且可以使用IAM身份中心邮箱地址进行密码找回等。图3 配置IAM身份中心信息配置所属组织单元。选择一个已注册的组织单元，并为此账户启用该组织单元配置的所有控制策略。图4 选择组织单元（可选）配置账号工厂的RFS模板。选择使用的RFS模板和模板的版本，如选择通过模板创建账号，可以实现账号的批量复制创建。更多关于资源编排服务RFS模板的信息，请参考RFS模板介绍。选择模板：选择在RFS中创建好的模板。模板版本：选择模板的版本。配置参数：根据业务需求，修改模板中的参数配置。图5 配置模板单击“创建账号”，创建成功的账号将会显示在列表中。

资源治理中心 RGC 账号工厂

资源治理中心 RGC-纳管账号:纳管账号

纳管账号以RGC管理账号的身份登录华为云，进入华为云RGC控制台，进入组织管理页面。进入组织管理页，单击需要纳管的账号所在行“操作”列的“纳管”。图4 纳管账号配置所属组织单元。选择一个已注册的组织单元，并为此账户启用该组织单元配置的所有控制策略。图5 选择组织单元（可选）配置账号工厂的RFS模板。选择使用的RFS模板和模板的版本，如选择通过模板创建账号，可以实现账号的批量复制创建。更多关于资源编排服务RFS模板的信息，请参考RFS模板介绍。选择模板：选择在RFS中创建好的模板。模板版本：选择模板的版本。配置参数：根据业务需求，修改模板中的参数配置。图6 配置模板单击“纳管账号”。可以在组织结构中确认账号的纳管结果。纳管成功后，账号将会受到Landing Zone的监管。

资源治理中心 RGC

资源治理中心 RGC-纳管账号:前提条件

前提条件此步骤仅适用需要纳管邀请进组织的账号，纳管在组织中创建的账号请跳过此步骤直接纳管账号即可。以纳管账号的身份登录华为云，进入华为云IAM控制台。在左侧导航窗格中，选择“委托”页签，单击右上方的“创建委托”。图1 创建委托设置“委托名称”为“RGCServiceExecutionAgency”。图2 委托名称 “委托类型”选择“普通账号”，在“委托的账号”中输入RGC管理账号名。选择“持续时间”，填写“描述”信息。单击“下一步”，进入给委托授权页面。勾选以下三个需要授予委托的权限，分别是：Security Administrator、FullAccess和Tenant Guest。图3 需要授予委托的权限单击“下一步”，选择权限的作用范围。单击“确定”，委托创建完成。RGC管理账号即可在RGC控制台中参考纳管账号完成账号纳管。

资源治理中心 RGC

资源治理中心 RGC-强烈建议控制策略:ECS

ECS 控制策略名称功能场景严重程度资源 RGC-GR_CONFIG_ECS_INSTANCE_NO_PUBLIC_IP ECS资源具有公网IP，视为“不合规”。限制网络访问中 compute:::instance RGC-GR_CONFIG_ECS_MULTIPLE_PUBLIC_IP_CHECK ECS资源具有多个公网IP，视为“不合规”。限制网络访问低 compute:::instance

资源治理中心 RGC

资源治理中心 RGC-强烈建议控制策略:VPC

VPC 控制策略名称功能场景严重程度资源 RGC-GR_CONFIG_VPC_SG_PORTS_CHECK 当安全组入方向源地址设置为0.0.0.0/0，且开放了所有的TCP/UDP端口时，视为“不合规”。限制网络访问高 networking:::secgroup RGC-GR_CONFIG_VPC_DEFAULT_SG_CLOSED 虚拟私有云的默认安全组允许入方向或出方向流量，视为“不合规”。限制网络访问高 networking:::secgroup RGC-GR_CONFIG_VPC_FLOW_LOGS_ENABLED 检查是否为VPC启用了流日志，如果该VPC未启用流日志，视为“不合规”。建立日志记录和监控中 vpc:::flowLog RGC-GR_CONFIG_VPC_SG_RESTRICTED_SSH 当安全组入方向源地址设置为0.0.0.0/0，且开放TCP 22端口，视为“不合规”。限制网络访问高 networking:::secgroup

资源治理中心 RGC

资源治理中心 RGC-强烈建议控制策略:APIG

APIG 控制策略名称功能场景严重程度资源 RGC-GR_CONFIG_APIG_INSTANCES_EXECUTION_LOGGING_ENABLED APIG专享版实例未配置访问日志，视为“不合规”。建立日志记录和监控中 apig:::instance RGC-GR_CONFIG_APIG_INSTANCES_AUTHORIZATION_TYPE_CONFIGURED APIG专享版实例中如果存在API安全认证为“无认证”，则视为“不合规”。加密传输中的数据中 apig:::instance RGC-GR_CONFIG_APIG_INSTANCES_SSL_ENABLED APIG专享版实例如果有域名未关联SSL证书，则视为“不合规”。加密传输中的数据中 apig:::instance

资源治理中心 RGC

资源治理中心 RGC-强烈建议控制策略:IAM

IAM 控制策略名称功能场景严重程度资源 RGC-GR_CONFIG_IAM_ROOT_ACCESS_KEY_CHECK 账号存在可使用的访问密钥，视为“不合规”。强制执行最低权限严重 identity:::accessKey RGC-GR_CONFIG_ROOT_ACCOUNT_MFA_ENABLED 根账号未开启MFA认证，视为“不合规”。强制执行最低权限高 identity:::acl RGC-GR_CONFIG_IAM_POLICY_NO_STATEMENTS_WITH_ADMIN_ACCESS IAM策略admin权限(*:*:*或*:*或*)，视为“不合规”。强制执行最低权限高 identity:::protectionPolicy RGC-GR_CONFIG_IAM_ROLE_HAS_ALL_PERMISSIONS IAM自定义策略具有allow的*:*权限，视为“不合规”。强制执行最低权限低 identity:::role RGC-GR_CONFIG_IAM_USER_MFA_ENABLED IAM用户未开启MFA认证，视为“不合规”。强制执行最低权限中 identity:::user

资源治理中心 RGC

资源治理中心 RGC-查看组织架构详情:操作步骤

操作步骤以RGC管理账号的身份登录华为云，进入华为云RGC控制台，进入组织管理页面。进入组织管理页，单击需要查看OU的名称。图1 查看OU 在基本信息中，可以查看OU的状态、父组织单元、已纳管的账号数、已启用的控制策略、已注册的组织单元数、外部SCP。图2 查看OU基本信息选择“不合规资源”页签，将会显示当前OU下存在的不合规资源，以及不合规资源ID、类型、服务和所在区域等。图3 查看不合规资源选择“已启用控制策略”页签，将会显示当前OU下已启用的控制策略。如需了解控制策略详情，请参考查看控制策略详情。图4 查看已启用控制策略选择“直系组织单元”页签，将会显示当前OU下的直系OU信息，包括各OU的注册状态、已注册的直系OU以及已纳管的账号。图5 查看直系OU 选择“直系子账号”页签，将会显示当前OU下的直系子账号信息，包括子账号的外部Config规则，Landing Zone版本，以及纳管状态。图6 查看直系子账号

资源治理中心 RGC

资源治理中心 RGC-查看Landing Zone信息:操作步骤

操作步骤以RGC管理账号的身份登录华为云，进入华为云RGC控制台。在总览页面，可以看到Landing Zone中整体情况。在“组织单元和账号”区域，单击数字，可以查看组织单元和账号的概览。在“已启用的控制策略”区域，单击数字，可以控制策略的概览。在“不合规资源”区域，单击账号名称，可以查看不合规资源的详情。针对不合规资源的情况，管理账号可以进行资源的调整。图1 不合规资源在“已注册组织单元”区域，单击OU名称，可以查看OU的详情。在“已纳管账号”区域，单击账号名称，可以查看账号的详情。

资源治理中心 RGC Landing Zone管理

资源治理中心 RGC-创建账号:操作步骤

操作步骤以RGC管理员身份登录华为云，进入华为云RGC控制台，进入组织管理页。进入组织管理页，单击“创建账号”。图1 创建账号配置账号基本信息。输入账号显示名、手机号。不能与其他账号重复。基本信息中的手机号，仅展示作用，不用于密码找回等场景。图2 填写基本信息配置IAM身份中心的信息。输入IAM身份中心邮箱地址和用户名。创建账号后，系统将会同步创建一个IAM身份中心的用户。创建的用户可以使用IAM身份中心的门户URL进行登录，并且可以使用IAM身份中心邮箱地址进行密码找回等。图3 配置IAM身份中心信息配置所属组织单元。选择一个已注册的组织单元，并为此账户启用该组织单元配置的所有控制策略。图4 选择组织单元（可选）配置账号工厂的RFS模板。选择使用的RFS模板和模板的版本，如选择通过模板创建账号，可以实现账号的批量复制创建。更多关于资源编排服务RFS模板的信息，请参考RFS模板介绍。选择模板：选择在RFS中创建好的模板。模板版本：选择模板的版本。配置参数：根据业务需求，修改模板中的参数配置。图5 配置模板单击“创建账号”，创建成功的账号将会显示在列表中。

资源治理中心 RGC 组织管理

云服务器内容精选

资源治理中心 RGC

7*24

备案

专业服务

退订

建议反馈

售前咨询热线