88 lines
2.5 KiB
Markdown
88 lines
2.5 KiB
Markdown
---
|
||
title: "Service Control Policy"
|
||
type: concept
|
||
tags:
|
||
- AWS
|
||
- Security
|
||
- Governance
|
||
- Multi-Account
|
||
last_updated: 2026-04-14
|
||
---
|
||
|
||
## Definition
|
||
AWS Service Control Policy（SCP，服务控制策略）是 AWS Organizations 中的一种策略类型，用于在组织单元（OU）或账户级别设置权限边界，限制成员账户可以使用的服务和操作。
|
||
|
||
## Key Characteristics
|
||
|
||
| 特性 | 描述 |
|
||
|------|------|
|
||
| **层级** | 组织级别（OU/账户），不覆盖 IAM 用户/角色 |
|
||
| **效果** | Deny > Allow（显式拒绝优先） |
|
||
| **评估逻辑** | 所有策略（SCP + IAM + 资源策略）取交集 |
|
||
| **范围** | 仅限 AWS Organizations 中使用 |
|
||
|
||
## SCP vs IAM Policy
|
||
|
||
| 维度 | SCP | IAM Policy |
|
||
|------|-----|------------|
|
||
| **层级** | 组织/账户 | 用户/角色/资源 |
|
||
| **默认效果** | 无限制（默认 FullAWSAccess） | 显式 Allow |
|
||
| **继承** | 向下继承，OU 子级继承父级 SCP | 附加到身份/资源 |
|
||
| **谁能修改** | Organization 管理账户 | IAM 管理员 |
|
||
|
||
## Common Use Cases
|
||
|
||
### 1. 限制Regions
|
||
```json
|
||
{
|
||
"Version": "2012-10-17",
|
||
"Statement": [
|
||
{
|
||
"Sid": "DenyNonApprovedRegions",
|
||
"Effect": "Deny",
|
||
"NotAction": "*",
|
||
"Resource": "*",
|
||
"Condition": {
|
||
"StringNotEquals": {
|
||
"aws:RequestedRegion": ["us-east-1", "eu-west-1"]
|
||
}
|
||
}
|
||
}
|
||
]
|
||
}
|
||
```
|
||
|
||
### 2. 强制标签合规
|
||
SCP 可封禁未按要求添加特定标签（如 `OT_Environment`）的账户创建新资源。
|
||
|
||
### 3. 阻止敏感服务
|
||
```json
|
||
{
|
||
"Effect": "Deny",
|
||
"Action": ["s3:*"],
|
||
"Resource": "*"
|
||
}
|
||
```
|
||
|
||
## Connection to Tagging Standards
|
||
|
||
OpenText 标签标准中提到，未来可能通过 SCP 强制执行 99% 打标率 KPI：
|
||
- 要求所有云账户启用 OT_ 前缀标签
|
||
- 拒绝未满足标签要求的资源创建请求
|
||
- 与 [[Resource-Tagging]] 和 [[OpenText-Tagging-Standard]] 协同
|
||
|
||
## Security Best Practices
|
||
|
||
1. **最小权限原则**：始终从最严格开始，逐步放宽
|
||
2. **测试环境优先**：在非生产 OU 测试 SCP 效果
|
||
3. **FullAWSAccess 策略**：新 OU 默认允许全部，需显式限制
|
||
4. **定期审计**：检查 SCP 是否影响新 AWS 服务/功能
|
||
|
||
## Connections
|
||
- [[AWS-Organizations]] — SCP 是 AWS Organizations 的核心功能
|
||
- [[Multi-Cloud-Governance]] — SCP 是跨账户治理的 AWS 实现
|
||
- [[OpenText-Tagging-Standard]] — SCP 用于强制执行标签合规性
|
||
|
||
## References
|
||
- [[public-cloud-learning-sessions-tagging-standards-for-all-hyperscalers-20240123-1]]
|