Wann sollte dies verwendet werden? AWS Organizations

Diese Informationen beziehen sich auf den Zeitpunkt der Nutzung, AWS Organizations wenn Sie sich für die AWS Nutzung von „Registrieren für“ AWS (erweitert) registriert haben oder wenn Sie erweiterte Funktionen für Ihr Konto aktiviert haben. Informationen zum Vergleich der Anmeldeoptionen finden Sie unterVergleichen Sie die Anmeldeoptionen.

AWS Organizations ist ein AWS Dienst, mit dem Sie Ihre AWS-Konten Gruppe verwalten können. Dies bietet Funktionen wie die konsolidierte Abrechnung, bei der alle Rechnungen Ihrer Konten zusammengefasst und von einem einzigen Zahler bearbeitet werden. Sie können die Sicherheit Ihres Unternehmens auch zentral verwalten, indem Sie richtlinienbasierte Kontrollen verwenden. Weitere Informationen dazu AWS Organizations finden Sie im AWS Organizations Benutzerhandbuch.

Vertrauenswürdiger Zugriff

Wenn AWS Organizations Sie Ihre Konten als Gruppe verwalten, können die meisten Verwaltungsaufgaben für die Organisation nur vom Verwaltungskonto der Organisation ausgeführt werden. Standardmäßig umfasst dies nur Vorgänge, die mit der Verwaltung der Organisation selbst zusammenhängen. Sie können diese zusätzliche Funktionalität auf andere AWS Dienste ausdehnen, indem Sie den vertrauenswürdigen Zugriff zwischen Organisationen und diesem Dienst aktivieren. Vertrauenswürdiger Zugriff gewährt dem angegebenen AWS Dienst Berechtigungen für den Zugriff auf Informationen über die Organisation und die darin enthaltenen Konten. Wenn Sie den vertrauenswürdigen Zugriff für die Kontoverwaltung aktivieren, gewährt der Kontoverwaltungsdienst Organisationen und ihren Verwaltungskonten Berechtigungen für den Zugriff auf die Metadaten, z. B. die primären oder alternativen Kontaktinformationen, für alle Mitgliedskonten der Organisation.

Weitere Informationen finden Sie unter Vertrauenswürdigen Zugriff aktivieren für AWS Kontoverwaltung.

Delegierter Administrator

Nachdem Sie den vertrauenswürdigen Zugriff aktiviert haben, können Sie auch eines Ihrer Mitgliedskonten als delegiertes Administratorkonto für AWS die Kontoverwaltung festlegen. Auf diese Weise kann das delegierte Administratorkonto dieselben Aufgaben zur Verwaltung der Kontoverwaltungs-Metadaten für die Mitgliedskonten in Ihrer Organisation ausführen, die zuvor nur das Verwaltungskonto ausführen konnte. Das delegierte Administratorkonto kann nur auf die Verwaltungsaufgaben für den Kontoverwaltungsdienst zugreifen. Das delegierte Administratorkonto hat nicht den gesamten Administratorzugriff auf die Organisation, über den das Verwaltungskonto verfügt.

Weitere Informationen finden Sie unter Aktivieren Sie ein delegiertes Administratorkonto für AWS Kontoverwaltung.

Service-Kontrollrichtlinien

Wenn Sie AWS-Konto Teil einer Organisation sind, von der Sie verwaltet werden AWS Organizations, kann der Administrator der Organisation Service Control Policies (SCPs) anwenden, die einschränken, was die Principals in Mitgliedskonten tun können. Ein SCP gewährt niemals Berechtigungen. Stattdessen ist es ein Filter, der einschränkt, welche Berechtigungen vom Mitgliedskonto verwendet werden können. Ein Benutzer oder eine Rolle (ein Principal) in einem Mitgliedskonto kann nur die Operationen ausführen, die im Schnittpunkt zwischen den für das Konto geltenden SCPs und den dem Principal zugewiesenen IAM-Berechtigungsrichtlinien liegen. Beispielsweise können Sie SCPs verwenden, um zu verhindern, dass ein Principal in einem Konto die alternativen Kontakte seines eigenen Kontos ändert.

Zum Beispiel SCPs, die gelten für AWS-Konten, siehe. Beschränken Sie den Zugriff mit AWS Organizations Service-Kontrollrichtlinien