多账号统一管理

基本概念

使用数据安全中心对企业中多账号与资源的集中管理前，您需要了解一下概念。

功能限制

目前仅数据安全中心的付费版实例支持使用多账号统一管理功能。

统一管理多账号资产示例

您可以参考以下流程构建多账号体系，通过委派管理员使用数据安全中心管理多个阿里云账号下资产的数据安全。

场景说明：阿里云账号A、B、C、D、E归属于同一个资源目录。阿里云账号A为资源目录的管理账号，阿里云账号B、C、D、E为资源目录的成员。阿里云账号A将阿里云账号B设置为数据安全中心委派管理员。阿里云账号B可统一管理阿里云账号B、C、D、E下资产，使用DSC的敏感数据保护、基线检查、数据审计以及数据脱敏等服务。同时，可通过阿里云账号B的某个RAM用户，仅管理已授权的阿里云账号D和E下资产使用DSC服务。

使用须知

前提条件

• 已开通资源目录。具体操作，请参见开通资源目录。

• 已在资源目录中创建新的成员账号或邀请已有的阿里云账号。具体操作，请参见创建成员、邀请阿里云账号加入资源目录。

  如果需要使用RAM用户按照资源夹分级管理成员账号，需要先创建资源夹，然后在资源夹内创建或邀请对应阿里云账号。具体操作，请参见创建资源夹。

• 作为委派管理员的阿里云账号已购买数据安全中心付费版实例。具体操作，请参见购买数据安全中心。

步骤一：设置数据安全中心委派管理员

资源目录的管理账号可以将资源目录中的成员设置为可信服务的委派管理员账号。设置成功后，委派管理员账号将获得管理账号的授权，可以在对应可信服务中访问资源目录组织和成员信息，并在该组织范围内进行业务管理。

1. 使用企业管理账号登录资源管理控制台。

2. 在左侧导航栏，选择资源目录 > 可信服务。

3. 在可信服务页面，找到数据安全中心，在操作列单击管理。

4. 在委派管理员账号区域，单击添加。

5. 在添加委派管理员账号面板，将已购买DSC的阿里云账号设置为委派管理员，单击确定。

   添加成功后，使用该委派管理员账号访问数据安全中心的多账号统一管理功能，即可进行资源目录组织范围内的管理操作。

步骤二：在数据安全中心添加成员账号

授权RAM用户管理指定的成员账号

1. 使用委派管理员的阿里云账号登录RAM控制台，创建RAM用户。具体操作，请参见创建RAM用户。

2. 创建自定义权限策略，授权目标RAM用户管理指定的成员账号。

   1. 在RAM控制台的左侧导航栏，选择权限管理 > 权限策略。

   2. 在权限策略页面，单击创建权限策略。在创建权限策略页面，单击脚本编辑页签。

   3. 输入权限策略内容，然后单击继续编辑基本信息。

      复制以下策略内容，修改Condition设置权限策略：支持授权方在数据安全中心控制台的多账号统一管理页面添加（yundun-sddp:AddMultiAccountMembers）和删除（yundun-sddp:DeleteMultiAccountMembers）指定的成员账号。

      关于权限策略语法结构的详情，请参见权限策略语法和结构。

      授权管理单个成员账号

      设置Condition中StringNotEquals的acs:RDManageScope值为资源目录下目标资源夹的RDPath加目标成员的UID。

      

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "yundun-sddp:AddMultiAccountMembers",
                      "yundun-sddp:DeleteMultiAccountMembers"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "StringNotEquals": {
                          "acs:RDManageScope": [
                              "rd-BXXXXs/r-cXXXX6/163XXXXXX1494597"
                          ]
                      }
                  }
              }
          ]
      }

      授权管理资源夹下成员账号

      设置Condition中StringNotLike的acs:RDManageScope值为资源目录下目标资源夹的RDPath加/*。

      

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Deny",
                  "Action": [
                      "yundun-sddp:AddMultiAccountMembers",
                      "yundun-sddp:DeleteMultiAccountMembers"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "StringNotLike": {
                          "acs:RDManageScope": [
                              "rd-BXXXXs/r-cXXXX6/fd-BrXXXXXXM4/*"
                          ]
                      }
                  }
              }
          ]
      }

   4. 输入权限策略名称和备注。

   5. 单击确定。

   6. 单击新增授权。

   7. 在新增授权页面，搜索并选中目标RAM用户，为该RAM用户选中刚创建的自定义权限策略，单击确认新增授权，然后单击关闭。

委派管理员添加成员账号

1. 使用委派管理员的阿里云账号或RAM用户登录数据安全中心控制台。

2. 在左侧导航栏，单击多账号统一管理。

3. 如果您是首次使用多账号统一管理功能，请单击开通多账号统一管理。

   该操作会将可信服务数据安全中心的状态更新为已启用。

4. 单击添加成员账号。

5. 在添加成员账号对话框，选择需管理的成员账号，并单击确定。

   如果使用委派管理员的RAM用户添加的成员账号，不在该RAM用户的权限策略范围内，系统会提示没有权限。

步骤三：管理成员账号资产

委派管理员的阿里云账号或RAM用户在DSC控制台添加成员账号后，可以管理当前账号和成员账号的数据资产。下文以资产授权页面为例介绍管理成员账号资产的操作步骤。

1. 登录数据安全中心控制台。

2. 在左侧导航栏，选择资产中心。

3. 在授权管理页签下，可以通过筛选UID，管理对应阿里云账号下的资产。

   

删除数据安全中心成员账号

不需要管理某个成员账号的所有资产时，可以删除该成员账号。删除成员账号后，数据安全中心控制台中该账号相关的所有数据会被自动移除。

1. 登录数据安全中心控制台。

2. 在左侧导航栏，选择资产中心。

3. 取消需删除的成员账号下所有资产的授权。具体操作，请参见取消授权。

4. 在左侧导航栏，选择系统设置 > 多账号统一管理。

5. 在多账号统一管理页面，单击目标账号操作列的删除。

   如果使用委派管理员的RAM用户删除不具备管理权限的成员账号，系统会提示没有权限。

6. 在提示对话框中，单击删除。

常见问题

企业内多个账号已购买DSC，如何使用一个账号完成统一管理？

已购买DSC实例的成员账号不支持通过其他账号统一管理。该类账号下的资源需要被其他账号管理时，您需要为该账号退订已购买的DSC实例，再使用管理账号或委派管理员账号将该类账号添加为数据安全中心的成员账号。

退订详情，请参见退款说明。

提示当前账号无法开启数据安全中心怎么办？

您访问数据安全中心控制台提示当前账号无法开启数据安全中心，表示当前阿里云账号已被资源目录管理账号或委派管理员账号加入数据安全中心成员账号，当前账号不支持使用数据安全中心功能。您可以通过以下方式使用数据安全中心相应功能：

• 方式一：使用资源目录的管理账号或委派管理员账号登录，通过多账号统一管理功能来实现当前账号下的资源使用数据安全中心能力。

• 方式二：联系资源目录的管理账号或委派管理员账号，在数据安全中心控制台多账号统一管理页面，删除当前账号。然后，使用当前账号购买并使用DSC。

相关文档

• 管理委派管理员账号

• 资源目录分级管理解决方案