# 使用标签控制资源访问
#### 场景介绍
企业用户普遍采用多账号策略隔离云上不同的业务以及职能，不同业务账号内部署着各类业务资源，不同业务环境（生产和非生产等）下对资源的管控层级存在较大差异，例如限制生产环境VPC的删除。
本文主要介绍如何基于业务环境标签，通过[服务控制策略](https://support.huaweicloud.com/usermanual-organizations/org_03_0065.html)禁止业务账号内的IAM身份删除已经打了"生产环境"标签的VPC资源。
#### 账号内VPC资源批量添加标签
1. 登录[TMS控制台](https://console.huaweicloud.com/tms/?&locale=zh-cn#/tms/leftTree/resourceTag)。
2. 选择"资源配置标签"页签。
3. 设置资源搜索条件，选择VPC资源。搜索云资源具体操作步骤可参见[++搜索云资源++](https://support.huaweicloud.com/usermanual-tms/zh-cn_topic_0056266264.html)。
4. 单击"搜索"。
5. 勾选待添加标签所有VPC资源，单击搜索结果列表上方的"管理标签"，进入管理标签页面。
6. 在"添加新标签"区域单击"添加标签"，添加生产环境标签，"键=环境"和"值=生产"。
7. 单击"确定"，资源标签批量添加完成，后续可按照新的标签管理云资源。 
   图1VPC资源批量添加标签   
   ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002762844966.png "点击放大")
   
   
 
#### 设置服务控制策略并绑定组织单元
1. 登录华为云，进入[组织管理控制台](https://console.huaweicloud.com/organizations/?&locale=zh-cn#/home)。
2. 在左侧导航中选择"策略管理"，单击"服务控制策略"操作列的"启用"。
3. 在弹窗中勾选确认框，然后单击"确定"，完成SCP功能启用。 
   图2启用SCP   
   ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002753128307.png "点击放大")
   
   
4. 单击"服务控制策略"，进入SCP管理页。 
   图3服务控制策略   
   ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002753248217.png "点击放大")
   
   
5. 在SCP管理页面单击"创建"，进入创建策略页面。
6. 在策略内容左侧单击策略语句中的"Effect"或"Action"，然后在右侧的策略编辑器中单击"添加操作"后的"＋"号。 
   图4创建策略   
   ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002723808430.png "点击放大")
   
   
7. 在弹窗中选择VPC服务的"vpc:vpcs:delete"操作，单击"确定"。 
   图5添加操作   
   ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002723648524.png "点击放大")
   
   
8. 单击"添加资源"后的"＋"号，在弹窗中选择VPC服务的"所有资源"，单击"确定"。 
   图6添加资源   
   ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002753128309.png "点击放大")
   
   
9. 单击"添加条件"后的"＋"号，在弹窗中条件键选择"g:ResourceTag/\<tag-key\>"，填写参数后单击"确定"。 
   图7添加条件   
   ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002753248219.png "点击放大")
   最终的策略内容如下，表示禁止删除已经绑定"环境：生产"标签的VPC实例：
   ```
   {
     "Version": "5.0",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "vpc:vpcs:delete"
         ],
         "Resource": [
           "*"
         ],
         "Condition": {
           "StringEquals": {
             "g:ResourceTag/环境": [
               "生产"
             ]
           }
         }
       }
     ]
   }
   ```
   
   
10. 单击页面右下角的"保存"，自定义SCP创建完成。
11. 在SCP策略列表页找到新建的SCP策略。
12. 单击SCP策略操作列的"绑定"，选中要绑定SCP策略的业务账号归属的OU。
13. 在弹窗中输入"确认"，单击"确定"，完成策略绑定。 
    图8绑定策略   
    ![](https://support.huaweicloud.com/bestpractice-tms/zh-cn_image_0000002792087801.png "点击放大")
    
    
14. 策略绑定成功后，可通过以下方式验证策略是否生效： 
    1. 使用业务账号下的IAM身份登录管理控制台，尝试删除已绑定"环境：生产"标签的VPC资源。
    
    2. 若系统返回操作被拒绝的提示信息，说明SCP策略已生效；若仍可正常删除，请检查策略是否绑定成功、条件键和标签值是否设置正确。