Praktische Anleitung: Erstellen und Konfigurieren einer Organisation

1. Melden Sie sich AWS als Administrator des Kontos 111111111111 an und öffnen Sie die Konsole.AWS Organizations

2. Wählen Sie auf der Einführungsseite Create organization (Organisation erstellen) aus.

3. Wählen Sie im Bestätigungsdialogfeld Organisation erstellen.

   Anmerkung

   Standardmäßig wird die Organisation mit allen Funktionen aktiviert erstellt. Sie können auch angeben, dass für die erstellte Organisation nur Funktionen für die konsolidierte Fakturierung aktiviert sein sollen.

   AWS erstellt die Organisation und zeigt Ihnen die Seite. AWS-Konten Wenn Sie sich auf einer anderen Seite befinden, wählen Sie AWS-Konten auf der linken Seite des Navigationsbereichs.

   Wenn die E-Mail-Adresse des von Ihnen verwendeten Kontos noch nie von AWS verifiziert wurde, wird automatisch eine Verifizierungs-E-Mail an die Adresse gesendet, die Ihrem Verwaltungskonto zugeordnet ist. Es kann eine Verzögerung eintreten, bevor Sie die Verifizierungs-E-Mail erhalten.

4. Überprüfen Sie Ihre E-Mail-Adresse innerhalb von 24 Stunden. Weitere Informationen finden Sie unter Überprüfung der E-Mail-Adresse mit AWS Organizations.

Einladen eines vorhandenen Kontos zum Beitritt

1. Navigieren Sie zu AWS-Konten und wählen Sie Hinzufügen eines AWS-Konto aus.

2. Wählen Sie auf der AWS-Konto Seite Eine Seite hinzufügen die Option Bestehende Seite einladen aus AWS-Konto.

3. Geben Sie in das Feld E-Mail-Adresse oder Konto-ID eines AWS-Konto einladen die E-Mail-Adresse des Kontoinhabers ein, den Sie einladen möchten, z. B. member222@example.com. Wenn Sie die AWS-Konto ID-Nummer kennen, können Sie sie stattdessen auch eingeben.

4. Geben Sie den gewünschten Text in das Feld In die Einladungs-E-Mail-Nachricht einzuschließende Nachricht ein. Dieser Text ist in der E-Mail enthalten, die an den Kontoinhaber gesendet wird.

5. Wählen Sie Einladung senden. AWS Organizations sendet die Einladung an den Kontoinhaber.

   Wichtig

   Erweitern Sie die Fehlermeldung, falls angegeben. Wenn der Fehler darauf hinweist, dass Sie Ihr Kontolimit für die Organisation überschritten haben oder dass Sie kein Konto hinzufügen können, weil Ihre Organisation noch initialisiert wird, warten Sie eine Stunde nach Erstellung der Organisation und versuchen Sie es erneut. Wenn das Problem weiterhin besteht, wenden Sie sich bitte an den AWS -Support.

6. Im Rahmen dieser praktischen Anleitung müssen Sie nun Ihre eigene Einladung annehmen. Führen Sie einen der folgenden Schritte aus, um die Seite Invitations in der Konsole aufzurufen:

   • Öffnen Sie die E-Mail, die vom Verwaltungskonto AWS gesendet wurde, und wählen Sie den Link, um die Einladung anzunehmen. Wenn Sie dazu aufgefordert werden, melden Sie sich als Administrator am eingeladenen Mitgliedskonto an.

   • Öffnen Sie die AWS Organizations -Konsole und navigieren Sie zur Seite Einladungen.

7. Wählen Sie auf der Seite AWS-Konten Annehmen und danach Bestätigen.

   Tipp

   Der Eingang der Einladung kann sich verzögern und Sie müssen möglicherweise warten, bis Sie die Einladung annehmen können.

8. Melden Sie sich von Ihrem Mitgliedskonto ab, und melden Sie sich als Administrator an Ihrem Verwaltungskonto an.

Erstellen eines Mitgliedskontos

1. Wählen Sie in der AWS Organizations Konsole auf der AWS-KontenSeite Hinzufügen aus AWS-Konto.

2. Wählen Sie auf der Seite Hinzufügen eines AWS-Konto Erstellen eines AWS-Konto aus.

3. Geben Sie unter AWS-Konto -Name) einen Namen für das Konto ein, z. B. MainApp Account.

4. Geben Sie unter E-Mail des Stammbenutzerkontos die E-Mail-Adresse der Person ein, die Mitteilungen zu diesem Konto erhalten soll. Dieser Wert muss global eindeutig sein. Zwei Konten können nicht dieselbe E-Mail-Adresse haben. Sie können beispielsweise etwas verwenden wie: mainapp@example.com.

5. Für IAM role name (IAM-Rollenname) können Sie das Feld leer lassen und automatisch den Standardrollenamen OrganizationAccountAccessRole verwenden oder Ihren eigenen Namen angeben. Mit dieser Rolle können Sie auf das neue Mitgliedskonto zugreifen, wenn Sie am Verwaltungskonto als IAM-Benutzer angemeldet sind. Lassen Sie das Feld im Rahmen dieser Anleitung leer, um AWS Organizations anzuweisen, die Rolle mit dem Standardnamen zu erstellen.

6. Wählen Sie Erstellen AWS-Konto. Möglicherweise müssen Sie kurz warten und die Seite aktualisieren, damit das neue Konto auf der Seite AWS-Konten angezeigt wird.

   Wichtig

   Wenn Sie einen Fehler erhalten, der darauf hinweist, dass Sie Ihr Kontolimit für die Organisation überschritten haben oder dass Sie kein Konto hinzufügen können, weil Ihre Organisation noch initialisiert wird, warten Sie eine Stunde nach Erstellung der Organisation und versuchen Sie es erneut. Wenn das Problem weiterhin besteht, wenden Sie sich bitte an den AWS -Support.

Erstellen und Auffüllen der Organisationseinheiten

1. Navigieren Sie in der AWS Organizations -Konsole zur Seite AWS-Konten.

2. Aktivieren Sie das -Kontrollkästchen neben dem Stamm-Container.

3. Wählen Sie das Drop-down-Menü Aktionen und dann unter Organisationseinheit die Option Neu erstellen aus.

4. Geben Sie auf der Seite Organisationseinheit im Stamm erstellen für den Namen der Organisationseinheit Production ein und wählen Sie dann Organisationseinheit erstellen.

5. Aktivieren Sie das Kontrollkästchen neben der neuen Produktions-OU.

6. Wählen Sie Aktionen und dann unter Organisationseinheit die Option Neu erstellen aus.

7. Geben Sie auf der Seite Organisationseinheit in Produktion erstellen für den Namen der zweiten Organisationseinheit MainApp ein und wählen Sie dann Organisationseinheit erstellen.

   Nun können Sie Ihre Mitgliedskonten in diese Organisationseinheiten verschieben.

8. Kehren Sie zur Seite AWS-Konten zurück, und erweitern Sie dann den Baum unter Ihrer Produktions-OU, indem Sie das Dreieck daneben auswählen. Dadurch wird die MainAppOrganisationseinheit als untergeordnetes Element von Production angezeigt.

9. Aktivieren Sie neben 333333333333 das Kontrollkästchen (nicht seinen Namen), wählen Sie Aktionen und dann unter AWS-Konto die Option Verschieben.

10. Wählen Sie auf der Seite Move AWS-Konto '3333333333' das Dreieck neben Production aus, um es zu erweitern. Wählen Sie neben dem MainAppOptionsfeld das Optionsfeld (nicht den Namen) und anschließend das Optionsfeld „Verschieben“ aus. AWS-Konto

11. Aktivieren Sie neben 222222222222 das Kontrollkästchen (nicht seinen Namen), wählen Sie Aktionen und dann unter AWS-Konto die Option Verschieben aus.

12. Wählen Sie auf der Move-Seite AWS-Konto „222222222222“ neben Produktion das Optionsfeld (nicht den Namen) und anschließend „Verschieben“ aus. AWS-Konto

So aktivieren Sie SCPs für Ihre Organisation

1. Navigieren Sie zu Richtlinien und wählen Sie dann Service-Kontrollrichtlinien aus.

2. Wählen Sie auf der Seite Service-Kontrollrichtlinien Aktivieren von Service-Kontrollrichtlinien aus.

   Es wird ein grünes Banner angezeigt, das Sie darüber informiert, dass Sie jetzt SCPs in Ihrer Organisation erstellen können.

Um den ersten SCP zu erstellen, der Konfigurationsaktionen blockiert CloudTrail

1. Navigieren Sie zu Richtlinien und wählen Sie dann Service-Kontrollrichtlinien aus.

2. Wählen Sie auf der Seite Service-Kontrollrichtlinien die Option Richtlinie erstellen aus.

3. Geben Sie unter Policy name (Richtlinienname) Block CloudTrail Configuration Actions ein.

4. Wählen Sie im Abschnitt Richtlinie in der Liste der Dienste auf der rechten Seite CloudTrail den Dienst aus. Wählen Sie dann die folgenden Aktionen aus: AddTagsCreateTrailDeleteTrail, RemoveTags, StartLogging, StopLogging, und UpdateTrail.

5. Wählen Sie im rechten Bereich die Optionen Ressource hinzufügen und angeben CloudTrailund Alle Ressourcen aus. Wählen Sie dann Add resource (Ressource hinzufügen).

   Die Richtlinienanweisung auf der linken Seite sollte in etwa wie folgt aussehen.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt1234567890123",
               "Effect": "Deny",
               "Action": [
                   "cloudtrail:AddTags",
                   "cloudtrail:CreateTrail",
                   "cloudtrail:DeleteTrail",
                   "cloudtrail:RemoveTags",
                   "cloudtrail:StartLogging",
                   "cloudtrail:StopLogging",
                   "cloudtrail:UpdateTrail"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

6. Wählen Sie Richtlinie erstellen aus.

So erstellen Sie die zweiten Richtlinie zur Aufnahme von genehmigten Services in die Whitelist für die Produktionsorganisationseinheit

1. Wählen Sie auf der Seite Service-Kontrollrichtlinien die Option Richtlinie erstellen aus.

2. Geben Sie unter Policy name (Richtlinienname) Allow List for All Approved Services ein.

3. Positionieren Sie den Cursor im rechten Bereich des Abschnitts Policy (Richtlinie) und fügen Sie eine Richtlinie wie die folgende ein.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt1111111111111",
               "Effect": "Allow",
               "Action": [ 
                   "ec2:*",
                   "elasticloadbalancing:*",
                   "codecommit:*",
                   "cloudtrail:*",
                   "codedeploy:*"
                 ],
               "Resource": [ "*" ]
           }
       ]
   }

4. Wählen Sie Richtlinie erstellen aus.

Um die dritte Richtlinie zu erstellen, die den Zugriff auf Dienste verweigert, die in der Organisationseinheit nicht verwendet werden können MainApp

1. Wählen Sie auf der Seite Service-Kontrollrichtlinien die Option Richtlinie erstellen aus.

2. Geben Sie unter Policy name (Richtlinienname) Deny List for MainApp Prohibited Services ein.

3. Wählen Sie im Abschnitt Policy (Richtlinie) auf der linken Seite Amazon DynamoDB für den Service aus. Wählen Sie für die Aktion All actions (Alle Aktionen) aus.

4. Wählen Sie ebenfalls auf der linken Seite Ressource hinzufügen und geben Sie DynamoDB und Alle Ressourcen an. Wählen Sie dann Add resource (Ressource hinzufügen).

   Die Richtlinienanweisung auf der rechten Seite wird aktualisiert und sieht in etwa wie folgt aus.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [ "dynamodb:*" ],
         "Resource": [ "*" ]
       }
     ]
   }

5. Wählen Sie Create Policy (Richtlinie erstellen), um die SCP zu speichern.

Anfügen der Richtlinien an den Root und die Organisationseinheiten

1. Navigieren Sie zur Seite AWS-Konten.

2. Wählen Sie auf der Seite AWS-Konten Stamm (seinen Namen, nicht das Optionsfeld) aus, um zur Detailseite zu navigieren.

3. Wählen Sie auf der Seite Stamm-Details die Registerkarte Richtlinien aus, und wählen Sie dann unter Service-Kontrollrichtlinien die Option Anfügen aus.

4. Wählen Sie auf der Seite Service-Kontrollrichtlinie anfügen das Optionsfeld neben dem SCP mit dem Namen Block CloudTrail Configuration Actions aus und wählen Sie dann Anfügen aus. In diesem Tutorial fügen Sie sie an das Stammverzeichnis an, sodass sie sich auf alle Mitgliedskonten auswirkt, um zu verhindern, dass jemand die Art und Weise, wie Sie konfiguriert haben, ändert. CloudTrail

   Auf der Seite Stamm-Details auf der Registerkarte Richtlinien wird nun angezeigt, dass zwei SCPs mit dem Stamm verbunden sind: der gerade angehängte und der Standard-FullAWSAccess-SCP.

5. Navigieren Sie zurück zur Seite AWS-Konten und wählen Sie die Produktions-OU (der Name, nicht das Optionsfeld), um zur Detailseite zu navigieren.

6. Wählen Sie auf der Detailseite der Produktions-OU die Registerkarte Richtlinien aus.

7. Wählen Sie unter Service-Kontrollrichtlinien die Option Anfügen aus.

8. Wählen Sie auf der Seite Service-Kontrollrichtlinie anfügen das Optionsfeld neben Allow List for All Approved Services aus und wählen Sie dann Anfügen aus. Dadurch können Benutzer oder Rollen in Mitgliedskonten in der Produktionsorganisationseinheit auf die genehmigten Services zugreifen.

9. Wählen Sie erneut die Registerkarte Richtlinien, um zu sehen, dass zwei SCPs an die OU angehängt sind: der gerade angehängte und der Standard-FullAWSAccess-SCP. Da die FullAWSAccess-SCP jedoch auch eine Whitelist ist, mit der alle Services und Aktionen freigegeben werden, müssen Sie jetzt die Zuweisung dieser SCP aufheben, um sicherzustellen, dass nur Ihre genehmigten Services zulässig sind.

10. Um die Standardrichtlinie aus der Produktionsorganisationseinheit zu entfernen, wählen Sie das Optionsfeld AWSAccessVollständig aus, wählen Sie Trennen und dann im Bestätigungsdialogfeld die Option Richtlinie trennen aus.

    Nachdem Sie die Standardrichtlinie entfernt haben, verlieren alle der Produktions-OU untergeordneten Mitgliedskonten den Zugriff auf sämtliche Aktionen und Services, die nicht in der im vorherigen Schritt zugewiesenen Whitelist-SCP enthalten sind. Alle Anforderungen zur Verwendung von Aktionen, die nicht in der Allow List for All Approved Services (Whitelist für alle zugelassenen Services) enthalten sind, werden verweigert. Dies gilt auch dann, wenn ein Administrator in einem Konto Zugriff auf einen anderen Service gewährt, indem er einem Benutzer in einem der Mitgliedskonten eine IAM-Berechtigungsrichtlinie zuweist.

11. Jetzt können Sie den SCP mit dem Namen anhängenDeny List for MainApp Prohibited services, um zu verhindern, dass jemand in den Konten in der MainApp Organisationseinheit einen der eingeschränkten Dienste nutzt.

    Navigieren Sie dazu zu der AWS-KontenSeite, wählen Sie das dreieckige Symbol, um den Zweig der Produktionseinheit zu erweitern, und wählen Sie dann die MainAppOrganisationseinheit (ihren Namen, nicht das Optionsfeld), um zum Inhalt zu gelangen.

12. Wählen Sie auf der MainAppDetailseite die Registerkarte Richtlinien aus.

13. Wählen Sie unter Service Control-Richtlinien die Option Anhängen aus und wählen Sie dann in der Liste der verfügbaren Richtlinien das Optionsfeld neben Liste für MainApp verbotene Dienste ablehnen aus, und wählen Sie dann Richtlinie anhängen aus.