Verwaltung von Zugriffsberechtigungen für eine Organisation mit AWS Organizations

Die Wurzel und OUs das bilden die hierarchische Struktur einer Organisation

Die Konten, die Mitglieder einer Organisation sind

Die Richtlinien, die Sie an die Entitäten der Organisation anhängen

Die Handshakes, die Sie zum Ändern des Status der Organisation verwenden

aws:PrincipalOrgID – Vereinfacht die Angabe des Principal-Elements in einer ressourcenbasierten Richtlinie. Dieser globale Schlüssel bietet eine Alternative zur Auflistung aller Konten IDs für alle AWS-Konten in einer Organisation. Anstatt alle Konten, die Mitglieder einer Organisation sind, aufzulisten, können Sie die Organisations-ID im Condition-Element angeben.

Weitere Informationen finden Sie PrincipalOrgID in der Beschreibung der Kontextschlüssel für AWS globale Bedingungen im IAMBenutzerhandbuch.

aws:PrincipalOrgPaths – Verwenden Sie diesen Bedingungsschlüssel, um Mitglieder eines bestimmten Organisationsstammes, einer OU oder deren untergeordneten Elemente abzugleichen. Der aws:PrincipalOrgPaths Bedingungsschlüssel gibt „true“ zurück, wenn sich der Hauptbenutzer (IAMRoot-Benutzer, Benutzer oder Rolle), der die Anfrage stellt, im angegebenen Organisationspfad befindet. Ein Pfad ist eine Textdarstellung der Struktur einer AWS Organizations Entität. Weitere Informationen zu Pfaden finden Sie unter Grundlegendes zum AWS Organizations Entitätspfad im IAMBenutzerhandbuch. Weitere Informationen zur Verwendung dieses Bedingungsschlüssels finden Sie unter aws: PrincipalOrgPaths im IAMBenutzerhandbuch.

Das folgende Bedingungselement entspricht beispielsweise Mitgliedern von zwei OUs Mitgliedern derselben Organisation.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType— Mit diesem Bedingungsschlüssel können Sie die richtlinienbezogenen API Operationen der Organizations so einschränken, dass sie nur für Organisationsrichtlinien des angegebenen Typs funktionieren. Sie können diesen Bedingungsschlüssel auf jede Richtlinienanweisung anwenden, die eine Aktion enthält, die mit Organizations-Richtlinien interagiert.

Mit diesem Bedingungsschlüssel können Sie die folgenden Werte verwenden:

Mit der folgenden Beispielrichtlinie kann der Benutzer beispielsweise jede Organizations-Operation ausführen. Wenn der Benutzer jedoch einen Vorgang ausführt, der ein Richtlinienargument verwendet, ist der Vorgang nur zulässig, wenn die angegebene Richtlinie eine Tagging-Richtlinie ist. Der Vorgang schlägt fehl, wenn der Benutzer einen anderen Richtlinientyp angibt.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— Als Bedingung verfügbar, wenn Sie die Operationen E nableAWSService Access oder D Access verwenden, um den vertrauenswürdigen isableAWSService Zugriff mit anderen AWS Diensten zu aktivieren oder zu deaktivieren. Sie können organizations:ServicePrincipal verwenden, um Anfragen zu begrenzen, die diese Operationen an eine Liste genehmigter Service Prinzipal-Namen richten.

Mit der folgenden Richtlinie kann der Benutzer beispielsweise nur angeben, ob der vertrauenswürdige Zugriff mit AWS Firewall Manager AWS Organizations aktiviert und deaktiviert werden soll.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

Wenn Sie die Stammkonto-Anmeldeinformationen für Ihr Verwaltungskonto verwenden, um eine OU zu erstellen, ist Ihr Verwaltungskonto der Eigentümer der Ressource. (In AWS Organizations, die Ressource ist die Organisationseinheit).

Wenn Sie in Ihrem Verwaltungskonto einen IAM Benutzer erstellen und diesem Benutzer Berechtigungen zum Erstellen einer Organisationseinheit gewähren, kann der Benutzer eine Organisationseinheit erstellen. Der Eigentümer der OU-Ressource ist jedoch das Verwaltungskonto, dem der Benutzer angehört.

Wenn Sie in Ihrem Verwaltungskonto eine IAM Rolle mit Berechtigungen zum Erstellen einer Organisationseinheit erstellen, kann jeder, der diese Rolle übernehmen kann, eine Organisationseinheit erstellen. Der Eigentümer der OU-Ressource ist das Verwaltungskonto, zu dem die Rolle gehört (nicht der Benutzer mit der Rolle).

Ordnen Sie einem Benutzer oder einer Gruppe in Ihrem Konto eine Berechtigungsrichtlinie zu — Um einem Benutzer Berechtigungen zum Erstellen einer AWS Organizations Ressource zu gewähren, z. B. einer Dienststeuerungsrichtlinie (SCP) oder einer Organisationseinheit, können Sie einem Benutzer oder einer Gruppe, der der Benutzer angehört, eine Berechtigungsrichtlinie anhängen. Der Benutzer oder die Gruppe muss sich in der Organisation des Verwaltungskontos befinden.

Einer Rolle eine Berechtigungsrichtlinie zuordnen (kontoübergreifende Berechtigungen gewähren) — Sie können einer IAM Rolle eine identitätsbasierte Berechtigungsrichtlinie zuordnen, um einer Organisation kontoübergreifenden Zugriff zu gewähren. Der Administrator im Verwaltungskonto kann beispielsweise folgendermaßen eine Rolle erstellen, um einem Benutzer in einem Mitgliedskonto kontenübergreifende Berechtigungen zu erteilen:

Weitere Informationen zur Verwendung IAM zum Delegieren von Berechtigungen finden Sie unter Access Management im IAMBenutzerhandbuch.

AttachPolicy und DetachPolicy

CreateOrganizationalUnit und DeleteOrganizationalUnit

ListOrganizationalUnits und DescribeOrganizationalUnit

Aktion – Mit diesem Schlüsselwort können Sie die Operationen (Aktionen) festlegen, die Sie zulassen oder verweigern möchten. organizations:CreateAccountErlaubt oder verweigert dem Benutzer beispielsweise je nach Angabe Effect die Berechtigungen zur Ausführung des AWS Organizations CreateAccount Vorgangs. Weitere Informationen finden Sie unter IAMJSONRichtlinienelemente: Aktion im IAMBenutzerhandbuch.

Ressource — Verwenden Sie dieses Schlüsselwort, um ARN die Ressource anzugeben, für die die Richtlinienerklärung gilt. Weitere Informationen finden Sie unter IAMJSONRichtlinienelemente: Ressource im IAMBenutzerhandbuch.

Bedingung – Verwenden Sie dieses Schlüsselwort, um eine Bedingung anzugeben, die erfüllt werden muss, damit die Richtlinienanweisung gilt. Condition gibt in der Regel zusätzliche Umstände an, die erfüllt sein müssen, damit die Richtlinie zutrifft. Weitere Informationen finden Sie im IAMBenutzerhandbuch unter IAMJSONRichtlinienelemente: Bedingung.

Effekt – Mit diesem Schlüsselwort geben Sie an, ob die Richtlinienanweisung die Aktion für die Ressource zulässt oder verweigert. Wenn Sie den Zugriff auf eine Ressource nicht ausdrücklich gestatten (bzw. zulassen), wird er automatisch verweigert. Sie können außerdem den Zugriff auf eine Ressource explizit verweigern. So können Sie gewährleisten, dass ein Benutzer die angegebene Aktion für die definierte Ressource nicht ausführen kann (selbst dann nicht, wenn er über eine andere Richtlinie Zugriff erhält). Weitere Informationen finden Sie im IAMBenutzerhandbuch unter IAMJSONRichtlinienelemente: Wirkung.

Principal — In identitätsbasierten Richtlinien (IAMRichtlinien) ist der Benutzer, dem die Richtlinie zugeordnet ist, automatisch und implizit der Prinzipal. Bei ressourcenbasierten Richtlinien geben Sie den Benutzer, das Konto, den Dienst oder die andere Entität an, für die Sie Berechtigungen erhalten möchten (gilt nur für ressourcenbasierte Richtlinien). AWS Organizations unterstützt derzeit nur identitätsbasierte Richtlinien, keine ressourcenbasierten Richtlinien.