限制企业仅使用已批准的云服务-阿里云帮助中心

手动部署

https://www.aliyun.com/solution/tech-solution/retouacs

方案概览

企业上云过程中，一般会根据企业自身情况，通过调研和挑选，圈定需要订购的云产品列表，并与云厂商签订批量订购协议，从而使企业利益最大化。企业内部会要求各用户从圈定的云产品列表中进行订购，避免企业利益受损。这就是常见的企业需要启用可用云产品白名单的场景。

另外，基于安全合规考虑，企业需要启用可用云产品白名单，用来规范用户的使用行为，避免有意或无意的违规。

方案架构

使用资源目录的管控策略能力，限制企业在云上只能使用批准的云产品，规范企业内部用户订购和使用云产品的行为。

限制企业仅使用已批准的云服务.png

资源目录管控策略是一种基于资源结构（资源夹或成员）的访问控制策略，可以统一管理资源目录各层级内资源访问的权限边界，建立企业整体访问控制原则或局部专用原则。管控策略只定义权限边界，并不真正授予权限，您还需要在某个成员中使用访问控制（RAM）设置权限后，相应身份才具备对资源的访问权限。管控策略的优势如下：

管控策略具备基于资源目录树形结构从上向下继承的特点。
您只需要将管控策略绑定到需要管控的节点（资源夹或成员）上，它将沿着资源目录树向下（当前节点及其下所有节点）影响节点下的所有成员。当成员的 RAM 用户或 RAM 角色访问阿里云服务时，都将受到管控策略的管控，实现预期管控的结果。在需要更新可用云产品白名单时，您只需要维护这条管控策略即可。
重要
管控策略对所有资源目录成员中的RAM用户和RAM角色生效，但对成员的根用户不生效。同时，资源目录的管理账号位于资源目录外部，不归属于资源目录，所以管控策略对管理账号内的所有身份也不生效。
管控策略不进行授权，它只定义权限的边界，可以在不改变用户原有授权的基础上叠加影响。
管控策略与 RAM 授权策略分开管理，共同生效。
使用管控策略进行合规管理，使用 RAM 进行授权管理，使合规管理与授权管理职能分开，从而保护企业合规安全。管控策略属于顶层管控决策，高于授权策略，是企业的基本原则，所有业务规范都必须在企业基本原则之下进行制定。

本方案中，将通过管控策略约束成员仅允许对华北 2（北京）和华东 2（上海）地域的 ECS 和 RDS 进行操作（例如：订购和使用等），禁止对其他不符合条件的云产品进行操作。

部署准备

开始部署前，请按以下指引完成账号申请、RAM 用户授权、资源目录开通等准备工作。

准备账号

如果您还没有阿里云账号，请访问阿里云账号注册页面，根据页面提示完成账号注册。
完成企业实名认证。
具体操作，请参见企业实名认证。
创建一个 RAM 用户并授予资源目录的管理员权限（AliyunResourceDirectoryFullAccess），用于管理整个资源目录。
具体操作，请参见创建 RAM 用户和为 RAM 用户授权。

开通资源目录并搭建企业的多账号资源结构

在资源管理控制台，开通资源目录。
具体操作，请参见开通资源目录。
在资源管理控制台，搭建企业的组织结构。您可以创建新的成员，也可以邀请已有的阿里云账号加入组织。
具体操作，请参见创建资源夹、创建成员和邀请阿里云账号加入资源目录。

开启管控策略功能

操作步骤

登录。
在左侧导航栏，选择资源目录 > 管控策略。
在管控策略页面上方的文字描述区域，单击开启管控策略。
在开启管控策略对话框，单击确定。
单击刷新，查看开启状态。

开启管控策略功能后，资源目录内的全部资源夹和成员会默认绑定系统策略 FullAliyunAccess，该策略允许您对阿里云上的所有资源进行任何操作。

创建自定义管控策略

在左侧导航栏，选择资源目录 > 管控策略。
在策略列表页签，单击创建策略。
在创建策略页面，单击脚本编辑页签。
输入管控策略内容，然后单击继续编辑基本信息。
管控策略内容如下：
```
{
  "Statement":[
    {
      "Effect": "Allow",
      "Action":[
                "ecs:*",
                "rds:*"
      ],
      "Resource": [
                "acs:*:*cn-beijing*:*:*",
                "acs:*:*cn-shanghai*:*:*"
      ]
    },
    {
      "Effect": "Allow",
      "Action":[
                "sts:AssumeRole"
      ],
      "Resource": "*"
    }
  ],
  "Version": "1"

}
```
上述管控策略的含义如下：
- 仅允许对华北 2（北京）和华东 2（上海）地域的 ECS 和 RDS 进行操作（例如：订购和使用等），禁止对其他不符合条件的云产品进行操作。
- 允许使用 RAM 用户通过 STS 方式登录到成员进行管理操作。
输入管控策略名称和备注。
检查并优化管控策略内容。
- 基础策略优化
  系统会对您添加的策略语句自动进行基础优化。基础策略优化功能会完成以下任务：
  - 删除不必要的条件。
  - 删除不必要的数组。
- 可选：高级策略优化
  您可以将鼠标悬浮在可选：高级策略优化上，单击执行，对策略内容进行高级优化。高级策略优化功能会完成以下任务：
  - 拆分不兼容操作的资源或条件。
  - 收缩资源到更小范围。
  - 去重或合并语句。
单击确定。

绑定自定义管控策略

在左侧导航栏，选择资源目录 > 管控策略。
在策略绑定页签下的左侧组织结构树中，单击目标资源夹或成员。
管控策略在绑定节点下整体生效，即父资源夹绑定的管控策略，会在其子资源夹及其成员上生效。
在右侧页面，单击绑定策略。
在绑定策略对话框，选择上一步创建的自定义管控策略。
单击确定。

解绑系统管控策略

本方案中，您使用了自定义 Allow 管控策略后，则需要在目标节点上解绑系统管控策略 FullAliyunAccess，避免您自定义的 Allow 管控策略无效。

在左侧导航栏，选择资源目录 > 管控策略。
在策略绑定页签下的左侧组织结构树中，单击目标资源夹或成员。
在右侧的管控策略列表中，单击系统管控策略 FullAliyunAccess 操作列的解绑。
单击确定。

说明

如果提示只有一条管控策略不允许解绑时，您可以尝试再次绑定上述创建的自定义管控策略，然后解绑系统管控策略 FullAliyunAccess。

完成及清理

方案验证

通过登入目标成员账号，验证管控策略有效性

登入目标成员账号。
1. 在左侧导航栏，选择资源目录 > 概览。
2. 单击资源组织或成员列表页签。
3. 在成员列表中，单击目标成员操作列的登入账号。
  说明
  登入成员账号有多种方式，您可以按需选择。具体操作，请参见成员登录阿里云控制台。
验证资源访问权限。
如果您可以正常访问华北 2（北京）和华东 2（上海）地域下的 ECS 和 RDS 资源，无法访问其他资源，则说明管控策略已生效。

清理资源

在本方案中，您创建了一条自定义管控策略并绑定到了目标成员上，如果后续不再使用，您可以解绑该管控策略，并将其删除。具体操作，请参见删除自定义管控策略。