网络控制策略(NCP)

操作场景

网络控制策略（Network Control Policy，NCP）是一种基于组织的护栏控制策略，核心用于管控VPC 终端节点（VPC EP）的访问权限边界。支持关联至组织、OU或成员账号。当NCP关联组织或组织单元（OU）时，其下所有成员账号通过VPC EP发起的访问，均需遵循该策略约束；关联单个成员账号时，仅对该账号的VPC EP访问生效。

前提条件

获取组织ID：以组织管理员、管理账号或成员账号的身份登录组织管理控制台，进入控制面板页，即可查看组织ID、组织的URN、管理账号名称及管理账号ID等信息。

权限控制原理

• 逐层检查权限

  如果要允许通过成员账号内VPC EP可访问的云服务操作，在从组织的Root到账号直接路径中的每个OU（包括目标账号本身），每个层级都必须有显示允许该操作。

  图1 在Root、OU 和账号y 处附加 Allow 语句的组织结构示例
  

  如果要拒绝特定账号获取权限，在从组织的Root到账号直接路径中的每个OU（包括目标账号本身），任何NCP都可以拒绝该权限。

  图2 OU 中附加了 Deny 语句的组织结构示例及其对账号 y 的影响
  

• 默认允许

  组织启用NCP时，默认会为所有OU和账号附加全部权限（NCPFullAccess策略），默认允许所有操作。除非您为OU或账号附加其他的明确拒绝策略。

策略语法示例

配置示例1：组织内的账号通过VPCEP只能下载组织内的私有镜像，可以下载任意公开镜像。

下面策略的含义：通过该策略绑定的OU或账号下的vpcep下载镜像，不允许被组织外的账号下载，只能由组织(o-j1ftg6v1z9zldcg2o29ho0gvazswvia2)内的账号下载。

{
  "Version": "5.0",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "swr:repo:download"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "StringNotEquals": {
          "g:ResourceOrgId": [
            "o-j1ftg6v1z9zldcg2o29ho0gvazswvia2"
          ]
        }
      }
    }
  ]
}

配置示例2：组织内的账号通过VPCEP只能下载组织内的私有镜像，可以下载任意公开镜像。

下面策略的含义：通过该策略绑定的OU或账号下的vpcep下载镜像，私有镜像不允许被组织外的账号下载，只能由组织(o-j1ftg6v1z9zldcg2o29ho0gvazswvia2)内的账号下载，公开镜像可以由任何账号下载。

{
  "Version": "5.0",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "swr:repo:download"
      ],
      "Resource": [
        "*"
      ],
      "Condition": {
        "Bool": {
          "swr:RepositoryIsPublic": [
            "false"
          ]
        },
        "StringNotEquals": {
          "g:ResourceOrgId": [
            "o-j1ftg6v1z9zldcg2o29ho0gvazswvia2"
          ]
        }
      }
    }
  ]
}

配置方法同服务控制策略(SCP)章节的配置方法。

策略参数说明

相关文档

NCP原理介绍

NCP语法介绍

支持NCP的区域