使用标签控制资源访问

场景介绍

企业用户普遍采用多账号策略隔离云上不同的业务以及职能，不同业务账号内部署着各类业务资源，不同业务环境（生产和非生产等）下对资源的管控层级存在较大差异，例如限制生产环境VPC的删除。

本文主要介绍如何基于业务环境标签，通过服务控制策略禁止业务账号内的IAM身份删除已经打了“生产环境”标签的VPC资源。

账号内VPC资源批量添加标签

1. 登录TMS控制台。
2. 选择“资源配置标签”页签。
3. 设置资源搜索条件，选择VPC资源。搜索云资源具体操作步骤可参见搜索云资源。
4. 单击“搜索”。
5. 勾选待添加标签所有VPC资源，单击搜索结果列表上方的“管理标签”，进入管理标签页面。
6. 在“添加新标签”区域单击“添加标签”，添加生产环境标签，“键=环境”和“值=生产”。
7. 单击“确定”，资源标签批量添加完成，后续可按照新的标签管理云资源。
   图1 VPC资源批量添加标签
   

设置服务控制策略并绑定组织单元

1. 登录华为云，进入组织管理控制台。
2. 在左侧导航中选择“策略管理”，单击“服务控制策略”操作列的“启用”。
3. 在弹窗中勾选确认框，然后单击“确定”，完成SCP功能启用。
   图2 启用SCP
   

4. 单击“服务控制策略”，进入SCP管理页。
   图3 服务控制策略
   

5. 在SCP管理页面单击“创建”，进入创建策略页面。
6. 在策略内容左侧单击策略语句中的“Effect”或“Action”，然后在右侧的策略编辑器中单击“添加操作”后的“＋”号。
   图4 创建策略
   

7. 在弹窗中选择VPC服务的“vpc:vpcs:delete”操作，单击“确定”。
   图5 添加操作
   

8. 单击“添加资源”后的“＋”号，在弹窗中选择VPC服务的“所有资源”，单击“确定”。
   图6 添加资源
   

9. 单击“添加条件”后的“＋”号，在弹窗中条件键选择“g:ResourceTag/<tag-key>”，填写参数后单击“确定”。
   图7 添加条件
   
   最终的策略内容如下，表示禁止删除已经绑定“环境：生产”标签的VPC实例：

   {
     "Version": "5.0",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "vpc:vpcs:delete"
         ],
         "Resource": [
           "*"
         ],
         "Condition": {
           "StringEquals": {
             "g:ResourceTag/环境": [
               "生产"
             ]
           }
         }
       }
     ]
   }

10. 单击页面右下角的“保存”，自定义SCP创建完成。
11. 在SCP策略列表页找到新建的SCP策略。
12. 单击SCP策略操作列的“绑定”，选中要绑定SCP策略的业务账号归属的OU。
13. 在弹窗中输入“确认”，单击“确定”，完成策略绑定。
    图8 绑定策略
    

14. 策略绑定成功后，可通过以下方式验证策略是否生效：
    1. 使用业务账号下的IAM身份登录管理控制台，尝试删除已绑定“环境：生产”标签的VPC资源。
    2. 若系统返回操作被拒绝的提示信息，说明SCP策略已生效；若仍可正常删除，请检查策略是否绑定成功、条件键和标签值是否设置正确。