View a markdown version of this page

Aktualisieren Sie eine ressourcenbasierte Delegierungsrichtlinie mit AWS Organizations - AWS Organizations

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktualisieren Sie eine ressourcenbasierte Delegierungsrichtlinie mit AWS Organizations

Aktualisieren Sie vom Verwaltungskonto aus eine ressourcenbasierte Delegierungsrichtlinie für Ihre Organisation und fügen Sie eine Anweisung hinzu, die angibt, welche Mitgliedskonten Aktionen im Rahmen von Richtlinien ausführen können. Sie können der Richtlinie mehrere Anweisungen hinzufügen, um unterschiedliche Berechtigungen für Mitgliedskonten anzugeben.

Wichtig

Ab dem 30. Juni 2026 gelten für AWS Organisationen keine Genehmigungen NotAction und NotResource Elemente mehr in ressourcenbasierten Delegationsrichtlinien. Diese Elemente sind mit dem Modell der Delegierungszulassungsliste nicht kompatibel und können unbeabsichtigten Zugriff auf Verwaltungsmaßnahmen der Organisation gewähren. Jeder Versuch, eine Delegierungsrichtlinie zu erstellen oder zu aktualisieren, die dieses Datum enthält NotAction oder NotResource nach diesem Datum liegt, wird mit einem Fehler abgelehnt.

Bestehende gespeicherte Richtlinien funktionieren weiterhin ohne Unterbrechung. Überprüfen Sie Ihre Delegierungsrichtlinien und NotAction ersetzen Sie sie durch eine explizite Action Liste und NotResource durch eine explizite Resource Liste.

Mindestberechtigungen

Um die ressourcenbasierte Delegierungsrichtlinie zu aktualisieren, benötigen Sie Berechtigungen zum Ausführen der folgenden Aktionen:

  • organizations:PutResourcePolicy

  • organizations:DescribeResourcePolicy

Darüber hinaus müssen Sie Rollen und Benutzern im delegierten Administratorkonto die entsprechenden IAM-Berechtigungen für die erforderlichen Aktionen gewähren. Ohne IAM-Berechtigungen wird davon ausgegangen, dass der aufrufende Prinzipal nicht über die erforderlichen Berechtigungen zum Verwalten von Richtlinien verfügt. AWS Organizations

AWS-Managementkonsole

Verwenden Sie eine der folgenden Methoden, um der ressourcenbasierten Delegierungsrichtlinie in der AWS-Managementkonsole Anweisungen hinzuzufügen:

  • JSON-Richtlinie — Fügen Sie ein Beispiel für eine ressourcenbasierte Delegierungsrichtlinie ein und passen Sie sie an, um sie in Ihrem Konto zu verwenden, oder geben Sie Ihr eigenes JSON-Richtliniendokument in den JSON-Editor ein.

  • Visueller Editor – Erstellen Sie im visuellen Editor eine neue Delegierungsrichtlinie, die Sie beim Erstellen einer Delegierungsrichtlinie unterstützt, ohne JSON-Syntax schreiben zu müssen.

Verwenden Sie den JSON-Richtlinien-Editor, um eine Delegierungsrichtlinie zu aktualisieren

  1. Melden Sie sich bei der AWS Organizations -Konsole an. Sie müssen sich im Verwaltungskonto der Organisation als IAM-Benutzer anmelden, eine IAM-Rolle annehmen oder als Root-Benutzer anmelden (nicht empfohlen).

  2. Wählen Sie Einstellungen aus.

  3. Wählen Sie im AWS Organizations Abschnitt Delegierter Administrator für die Option Bearbeiten aus, um die Delegierungsrichtlinie für Organisationen zu aktualisieren.

  4. Geben Sie ein JSON-Richtliniendokument ein. Weitere Informationen zur IAM-Richtliniensprache finden Sie in der IAM-JSON-Richtlinienreferenz.

  5. Beheben Sie alle Sicherheitswarnungen, Fehler oder allgemeinen Warnungen, die während der Richtlinienvalidierung generiert wurden, und wählen Sie dann Richtlinie erstellen aus.

Verwenden Sie den visuellen Editor, um eine Delegierungsrichtlinie zu aktualisieren

  1. Melden Sie sich bei der AWS Organizations -Konsole an. Sie müssen sich im Verwaltungskonto der Organisation als IAM-Benutzer anmelden, eine IAM-Rolle annehmen oder als Root-Benutzer anmelden (nicht empfohlen).

  2. Wählen Sie Einstellungen aus.

  3. Wählen Sie im AWS Organizations Abschnitt Delegierter Administrator für die Option Bearbeiten aus, um die Delegierungsrichtlinie für Organisationen zu aktualisieren.

  4. Wählen Sie auf der Seite Create Delegation policy (Delegierungsrichtlinie erstellen) die Option Add new statement (Neue Anweisung hinzufügen) aus.

  5. Stellen Sie Effect (Effekt) auf Allow.

  6. Fügen Sie den Principal hinzu, um die Mitgliedskonten zu definieren, an die Sie delegieren möchten.

  7. Wählen Sie aus der Liste Actions (Aktionen) die Aktionen aus, die Sie delegieren möchten. Sie können die Auswahl mithilfe der Option Filter actions (Aktionen filtern) eingrenzen.

  8. Um anzugeben, ob das delegierte Mitgliedskonto Richtlinien an die Stammorganisation oder die Organisationseinheiten (OUs) anhängen kann, legen Sie Resources fest. Sie müssen auch policy als Ressourcentyp auswählen. Sie können Ressourcen auf folgende Weise angeben:

    • Wählen Sie Add a resource (Ressource hinzufügen) und erstellen Sie den Amazon-Ressourcennamen (ARN), indem Sie den Anweisungen im Dialogfeld folgen.

    • Listen Sie die Ressourcen-ARNs manuell im Editor auf. Weitere Informationen zur ARN-Syntax finden Sie unter Amazon Resource Name (ARN) im AWS Allgemeinen Referenzhandbuch. Hinweise zur Verwendung von ARNs im Ressourcenelement einer Richtlinie finden Sie unter IAM-JSON-Richtlinienelemente: Ressource.

  9. Wählen Sie Add a condition (Bedingung hinzufügen), um weitere Bedingungen anzugeben, einschließlich des Richtlinientyps, den Sie delegieren möchten. Wählen Sie den Condition Key (Bedingungsschlüssel), den Tag key (Tag-Schlüssel), den Qualifier (Qualifizierer) und den Operator (Operator) der Bedingung aus und geben Sie dann einen Value (Wert) ein. Wählen Sie danach Add condition (Bedingung hinzufügen) aus. Weitere Informationen zum Element Condition (Bedingung) finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung in der IAM-JSON-Richtlinienreferenz.

  10. Um mehr Berechtigungsblöcke hinzuzufügen, wählen Sie Add new statement (Neue Anweisung hinzufügen). Wiederholen Sie die Schritte 5 bis 9 für jeden Block.

  11. Beheben Sie alle Sicherheitswarnungen, Fehler oder allgemeinen Warnungen, die während der Richtlinienvalidierung generiert wurden, und wählen Sie dann Save policy.

AWS CLI & AWS SDKs
Erstellen oder Aktualisieren einer Delegierungsrichtlinie

Sie können zum Erstellen oder Aktualisieren einer Richtlinie die folgenden Befehle verwenden:

  • AWS CLI: put-resource-policy

    Im folgenden Beispiel wird die Delegierungsrichtlinie erstellt oder aktualisiert.

    $ aws organizations put-resource-policy --content
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Fully_manage_backup_policies",
            "Effect": "Allow",
            "Principal": {
                "AWS": "135791357913"
            },
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAccounts",
                "organizations:CreatePolicy",
                "organizations:DescribePolicy",
                "organizations:UpdatePolicy",
                "organizations:DeletePolicy",
                "organizations:AttachPolicy",
                "organizations:DetachPolicy"
            ],
            "Resource": [
                "arn:aws:organizations::246802468024:root/o-abcdef/r-pqrstu",
                "arn:aws:organizations::246802468024:ou/o-abcdef/*",
                "arn:aws:organizations::246802468024:account/o-abcdef/*",
                "arn:aws:organizations::246802468024:organization/policy/backup_policy/*",
            ],
            "Condition": {
                "StringLikeIfExists": {
                    "organizations:PolicyType": [
                        "BACKUP_POLICY"
                    ]
                }
            }
        }
    ]
}
Unterstützte Richtlinienaktionen zur Delegierung

Folgende Aktionen werden in der Delegierungsrichtlinie unterstützt:

  • AttachPolicy

  • CreatePolicy

  • DeletePolicy

  • DescribeAccount

  • DescribeCreateAccountStatus

  • DescribeEffectivePolicy

  • DescribeHandshake

  • DescribeOrganization

  • DescribeOrganizationalUnit

  • DescribePolicy

  • DescribeResourcePolicy

  • DetachPolicy

  • DisablePolicyType

  • EnablePolicyType

  • ListAccounts

  • ListAccountsForParent

  • ListAWSServiceAccessForOrganization

  • ListChildren

  • ListCreateAccountStatus

  • ListDelegatedAdministrators

  • ListDelegatedServicesForAccount

  • ListHandshakesForAccount

  • ListHandshakesForOrganization

  • ListOrganizationalUnitsForParent

  • ListParents

  • ListPolicies

  • ListPoliciesForTarget

  • ListRoots

  • ListTagsForResource

  • ListTargetsForPolicy

  • TagResource

  • UntagResource

  • UpdatePolicy

Unterstützte Bedingungsschlüssel

Nur Bedingungsschlüssel, die von unterstützt werden, AWS Organizations können für Delegierungsrichtlinien verwendet werden. Weitere Informationen finden Sie unter Bedingungsschlüssel für AWS Organizations in der Serviceautorisierungsreferenz.