Administración de permisos en su organización de

La raíz y la OUs que componen la estructura jerárquica de una organización

Las cuentas que son miembros de la organización

Las políticas que adjunta a las entidades de la organización

Los protocolos que usa para cambiar el estado de la organización

aws:PrincipalOrgID - simplifica la especificación del elemento Principal en una política basada en recursos. Esta clave global ofrece una alternativa a enumerar todas IDs las cuentas Cuentas de AWS de una organización. En lugar de mostrar todas las cuentas de la organización, puede especificar el ID de organización en el elemento Condition.

Para obtener más información, consulte la descripción de las claves de contexto de las condiciones AWS globales PrincipalOrgID en la Guía del IAM usuario.

aws:PrincipalOrgPaths - Utiliza esta clave de condición para hacer coincidir los miembros de una raíz de organización específica, una unidad organizativa o sus secundarias. La clave de aws:PrincipalOrgPaths condición vuelve a ser verdadera cuando el principal (usuario raíz, IAM usuario o rol) que realiza la solicitud se encuentra en la ruta de la organización especificada. Una ruta es una representación textual de la estructura de una AWS Organizations entidad. Para obtener más información sobre las rutas, consulte Comprender la ruta de la AWS Organizations entidad en la Guía del IAM usuario. Para obtener más información sobre el uso de esta clave de condición, consulte aws: PrincipalOrgPaths en la Guía del IAM usuario.

Por ejemplo, el siguiente elemento de condición coincide con los miembros de cualquiera de las dos organizaciones OUs de la misma organización.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType— Puede utilizar esta clave de condición para restringir las API operaciones relacionadas con las políticas de la Organización para que funcionen únicamente con las políticas de la Organización del tipo especificado. Puede aplicar esta clave de condición a cualquier instrucción de política que incluya una acción que interactúe con las políticas de Organizations.

Puede utilizar los siguientes valores con esta clave de condición:

Por ejemplo, la siguiente política de ejemplo permite al usuario realizar cualquier operación de Organizations. Sin embargo, si el usuario realiza una operación que toma un argumento de política, la operación solo se permite si la política especificada es una política de etiquetado. La operación produce un error si el usuario especifica cualquier otro tipo de política.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— Disponible como condición si utiliza las operaciones E nableAWSService Access o D isableAWSService Access para habilitar o deshabilitar el acceso confiable con otros AWS servicios. Puede utilizar organizations:ServicePrincipal para limitar las solicitudes que esas operaciones realizan a una lista de nombres de principal de servicio aprobados.

Por ejemplo, la siguiente política permite al usuario especificar únicamente AWS Firewall Manager cuándo habilitar o deshabilitar el acceso de confianza con AWS Organizations.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

Si utiliza las credenciales de cuenta raíz de su cuenta de administración para crear una unidad organizativa, su cuenta de administración será la propietaria del recurso. (En AWS Organizations, el recurso es la OU).

Si crea un IAM usuario en su cuenta de administración y concede permisos para crear una OU a ese usuario, el usuario puede crear una OU. Sin embargo, la cuenta de administración, a la que pertenece el usuario, es la propietaria del recurso de unidad organizativa.

Si crea un IAM rol en su cuenta de administración con permisos para crear una OU, cualquier persona que pueda asumir la función podrá crear una OU. La cuenta de administración, a la que pertenece el rol (y no el usuario que lo asume), es la propietaria del recurso de unidad organizativa.

Adjunte una política de permisos a un usuario o grupo de su cuenta: para conceder a un usuario permisos para crear un AWS Organizations recurso, como una política de control de servicios (SCP) o una OU, puede adjuntar una política de permisos a un usuario o grupo al que pertenezca el usuario. El usuario o grupo debe estar en la organización de la cuenta de administración.

Adjuntar una política de permisos a un rol (conceder permisos para varias cuentas): puede adjuntar una política de permisos basada en la identidad a un IAM rol para conceder el acceso multicuenta a una organización. Por ejemplo, el administrador de la cuenta de administración puede crear un rol para conceder permisos entre cuentas a un usuario de una cuenta miembro de la siguiente manera:

Para obtener más información sobre cómo IAM delegar permisos, consulte Administración del acceso en la Guía del IAM usuario.

AttachPolicy y DetachPolicy

CreateOrganizationalUnit y DeleteOrganizationalUnit

ListOrganizationalUnits y DescribeOrganizationalUnit

Action - Puede utilizar esta palabra clave para identificar las operaciones (acciones) que desea permitir o denegar. Por ejemplo, según lo especificadoEffect, organizations:CreateAccount permite o deniega al usuario los permisos para realizar la AWS Organizations CreateAccount operación. Para obtener más información, consulte los elementos IAM JSON de la política: Acción en la Guía del IAM usuario.

Recurso: utilice esta palabra clave para especificar ARN el recurso al que se aplica la declaración de política. Para obtener más información, consulte los elementos IAM JSON de política: recurso en la Guía del IAM usuario.

Condition - Utilice esta palabra clave para especificar condiciones adicionales que se deben cumplir para que la instrucción de política sea aplicable. Condition suele especificar circunstancias adicionales que deben estar definidas como "true" para que la política coincida. Para obtener más información, consulte los elementos IAM JSON de política: Condición en la Guía del IAM usuario.

Effect - Puede utilizar esta palabra clave para especificar si la instrucción de la política permite o deniega la acción en el recurso. Si no concede acceso de forma explícita (o permite) un recurso, el acceso se deniega implícitamente. También puede denegar explícitamente el acceso a un recurso; de esta forma, se asegurará de que un usuario no pueda realizar la acción especificada en el recurso especificado, incluso si otra política otorga acceso. Para obtener más información, consulte los elementos IAM JSON de política: Efecto en la Guía del IAM usuario.

Principal: en las políticas basadas en la identidad (IAMpolíticas), el usuario al que está asociada la política es el principal de forma automática e implícita. En el caso de las políticas basadas en recursos, debe especificar el usuario, la cuenta, el servicio u otra entidad a la que desea recibir los permisos (solo se aplica a las políticas basadas en recursos). AWS Organizations actualmente solo admite políticas basadas en la identidad, no en políticas basadas en recursos.