# 启用和禁用SCP功能
#### 操作场景
如果需要通过SCP策略来实现账号的权限隔离和管控，则需要启用SCP策略。启用SCP策略后，组织的根、OU、账号会自动绑定FullAccess策略。
当不再需要使用SCP策略时，可禁用SCP策略。禁用SCP策略后，已绑定的策略会自动解绑，但是策略不会删除。
本节将从以下几方面为您介绍SCP：
- [启用SCP]
- [禁用SCP]
- [启用SCP试运行]
- [更新SCP试运行]
- [禁用SCP试运行]
- [跨账号授权]
 
 #### 启用SCP
![](https://support.huaweicloud.com/usermanual-organizations/public_sys-resources/note_3.0-zh-cn.png)
当启用SCP后，正式运行SCP自动启用，试运行SCP则需要手动开启 。
在创建SCP并将其附加到组织单元和账号之前，必须先启用SCP，且只能使用组织的管理账号启用SCP。启用SCP后，组织将自动给所有OU和账号绑定FullAccess策略，默认允许所有操作。
1. 以组织管理员或管理账号的身份登录[组织管理控制台](https://console.huaweicloud.com/organizations/?&locale=zh-cn#/organizationMgmt)。
2. 进入策略管理页，单击"服务控制策略"操作列的"启用"。
3. 在弹窗中勾选确认框，然后单击"确定"，完成SCP功能启用。 
   图1启用SCP   
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002558499329.png "点击放大")
   
   
   
 
 #### 禁用SCP
如果您不想再使用SCP管理组织权限，可以禁用SCP，且只能使用组织的管理账号禁用SCP。
![](https://support.huaweicloud.com/usermanual-organizations/public_sys-resources/caution_3.0-zh-cn.png)
- 禁用SCP后，所有SCP会自动从组织中的所有实体解绑，包括所有OU和账号，但是策略本身不会被删除。
- 若禁用SCP后再重新启用SCP，则组织中的所有实体将恢复到只绑定FullAccess的状态。实体与其他SCP的绑定关系将丢失，如需恢复则需要用户重新绑定。
 
1. 以组织管理员或管理账号的身份登录[组织管理控制台](https://console.huaweicloud.com/organizations/?&locale=zh-cn#/organizationMgmt)。
2. 进入策略管理页，单击"服务控制策略"操作列的"禁用"。 
   图2禁用SCP   
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002529833430.png "点击放大")
   
   
3. 在弹窗中单击"确定"，完成SCP功能禁用。
4. 返回策略管理页面，当服务控制策略的状态显示为"已禁用"时，表示SCP禁用成功。 
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002529793420.png "点击放大")
   
   
   
 
 #### 启用SCP试运行
1. 进入策略管理页，单击"服务控制策略"，进入SCP管理页。 
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002560753395.png "点击放大")
   
   
2. 在"试运行模式"的策略页签中，单击"已中止策略试运行"按钮。 
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002640273628.png "点击放大")
   
   
   
3. 配置资源转储。 
   选择OBS桶，将策略试运行日志存储至您指定的对象存储服务OBS桶中。
   - **配置当前账号下OBS桶：**
     选择"您账号的桶"，然后在下拉列表中选择您账号下的OBS桶，用于将策略试运行日志存储至您指定的对象存储服务OBS桶中。如果您需要将策略试运行日志存储在OBS桶内的某个文件夹下，则在选择OBS桶后，还需输入"桶前缀"，该前缀指OBS桶内某个文件夹的名称。如您的账号下无OBS桶，则需先创建OBS桶，详见[创建桶](https://support.huaweicloud.com/usermanual-obs/zh-cn_topic_0045829088.html)。
     
   
   - **配置其他账号下OBS桶：**
     选择"另一账号的桶"，并输入区域ID和桶名称，如果您需要将策略试运行日志存储在OBS桶内的某个文件夹下，则还需输入"桶前缀"，该前缀指OBS桶内某个文件夹的名称。需先使用其他账号对当前账号授予相关OBS桶的权限，具体操作请参见[跨账号授权]。
     
   
   
   ![](https://support.huaweicloud.com/usermanual-organizations/public_sys-resources/note_3.0-zh-cn.png)
   - 开启SCP试运行时，如果指定了当前账号或其他账号下的OBS桶，Organizations会向目标OBS桶中写入一个名为OrganizationsWritabilityCheckFile的空文件，此文件仅用于验证是否能够成功写入OBS桶。
   
   - 开启SCP试运行时，组织中的所有实体将默认绑定DryRunFullAccess。
    
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002670273585.png "点击放大")
   
   
   
4. 进行自定义授权。 
   **创建Organizations云服务委托：** 您可自行在统一身份认证服务（IAM）中创建委托，并进行自定义授权，授权对象为云服务Organizations，但必须包含可以让策略试运行正常工作的权限（至少包含对象存储服务OBS的查询桶区域位置信息和上传对象的权限）。创建委托详见[委托其他云服务管理资源](https://support.huaweicloud.com/usermanual-iam/iam_06_0004.html)。
   
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002529833434.png "点击放大")
   ```
   {
     "Version": "5.0",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "obs:bucket:getBucketLocation",
           "obs:object:putObject"
         ]
       }
     ]
   }
   ```
   **策略试运行日志转储至OBS加密桶授权配置** **：**
   - 使用SSE-OBS方式加密的OBS桶 如果您需要将策略试运行日志存储于使用SSE-OBS方式加密的OBS桶，无需其他操作，只需选择对应OBS桶进行存储即可。
     
   
   - 使用SSE-KMS默认密钥方式加密的OBS桶 如果您需要将策略试运行日志存储于使用SSE-KMS默认密钥方式加密的OBS桶，则需要在Organizations的委托中新增KMS的管理员权限（KMS Administrator）。
     
   
   - 使用SSE-KMS自定义密钥方式加密的OBS桶 如果您需要将策略试运行日志存储于使用SSE-KMS自定义密钥方式加密的OBS桶，则需要在Organizations的委托中新增KMS的管理员权限（KMS Administrator）。
     另外，如果您选择将策略试运行日志存储至其他账号的使用SSE-KMS自定义密钥方式加密的OBS桶，则除了需要在Organizations的委托中新增KMS的管理员权限（KMS Administrator），还需要在所选的OBS桶加密采用的自定义KMS密钥中设置密钥的跨账号权限。详情请参见[为自定义密钥创建授权](https://support.huaweicloud.com/usermanual-dew/dew_01_0096.html)。
     
    
   
   
5. 配置完成后，单击"确定"，策略试运行配置成功。 
   在"试运行模式"的策略页面中，当运行状态显示"已启用策略试运行"时，表示试运行模式已成功开启。
   
   
 
 #### 更新SCP试运行
1. 进入策略管理页，单击"服务控制策略"，进入SCP管理页。 
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002560753397.png "点击放大")
   
   
2. 在"试运行模式"的策略页签中，单击"更新"按钮。 
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002560633385.png "点击放大")
   
   
   
3. 在弹出的更新策略试运行配置窗口中，选择需要修改的资源转储方式，更新配置信息后单击"确定"，完成策略试运行更新。 
   ![](https://support.huaweicloud.com/usermanual-organizations/public_sys-resources/note_3.0-zh-cn.png)
   若管理员更新了策略试运行配置中OBS桶信息或委托信息，最大生效时间为15分钟。
   
   
 
 #### 禁用SCP试运行
1. 进入策略管理页，单击"服务控制策略"，进入SCP管理页。 
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002529793424.png "点击放大")
   
   
2. 在"试运行模式"的策略页签中，单击"已启用策略试运行"左侧按钮。
3. 在弹出的关闭策略试运行窗口中，输入文字"确认"，单击"确定"，策略试运行关闭成功。 
   ![](https://support.huaweicloud.com/usermanual-organizations/zh-cn_image_0000002529833436.png "点击放大")
   ![](https://support.huaweicloud.com/usermanual-organizations/public_sys-resources/caution_3.0-zh-cn.png)
   - 策略试运行的启用或禁用不会影响组织中实体与策略的绑定关系。禁用SCP试运行后，所有实体仍保持绑定DryRunFullAccess的状态，与其它SCP的绑定关系也不会丢失；重新启用SCP试运行后，上述绑定关系保持不变。
   
   - 策略试运行关闭后，试运行的"更新"功能随即停止，此时试运行模式中的策略不再生成试运行日志。
    
   
   
 
 #### 跨账号授权
**跨账号授予OBS桶存储策略试运行日志的权限**
1. 用授权账号登录[OBS服务控制台](https://console.huaweicloud.com/obs/?&locale=zh-cn#/obs/manager/buckets)。
2. 参考[自定义创建桶策略（JSON视图）](https://support.huaweicloud.com/usermanual-obs/obs_03_0141.html)对待授权账号授予相关OBS桶的权限。
3. 桶策略的示例如下，配置该桶策略，将允许被授权账号的策略试运行将转储文件存放至本OBS桶的指定路径内，以下参数需要您根据实际使用场景手动替换：
   - **${account_id}：**需要被授权的账号的账号ID（domain_id）；
   
   - **${agency_name}：**被授权的委托名称；
   
   - **${bucket_name}：**用于存储文件的OBS桶的桶名；
   
   - **${folder_name}：**用于存储文件的OBS桶内文件夹的名称。如果您未设置OBS桶内文件夹，则需删除"/${folder_name}"。
   
   
   ```
   {
     "Statement": [
       {
         "Sid": "org-bucket-policy",
         "Effect": "Allow",
         "Principal": {
           "ID": [
             "domain/${account_id}:agency/${agency_name}"
           ]
         },
         "Action": [
           "PutObject",
           "GetBucketLocation"
         ]
       }
     ]
   }
   ```