Tutorial: Creación y configuración de una organización

1. Inicie sesión AWS como administrador de la cuenta 1111 y abra la AWS Organizations consola.

2. En la página de introducción, elija Crear organización.

3. En el cuadro de diálogo de confirmación, elija Crear organización.

   nota

   De forma predeterminada, la organización se crea con todas las características habilitadas. También puede crear la organización únicamente con las características de facturación unificada habilitadas.

   AWS crea la organización y muestra la Cuentas de AWSpágina. Si está en una página diferente, elija Cuentas de AWS en el panel de navegación de la izquierda.

   Si la cuenta que utiliza nunca ha tenido su dirección de correo electrónico verificada por AWS, se envía automáticamente un correo electrónico de verificación a la dirección asociada a la cuenta de administración. Puede pasar algún tiempo hasta que reciba el correo electrónico de verificación.

4. Verifique la dirección de correo electrónico en un plazo de 24 horas. Para obtener más información, consulte Verificación de la dirección de correo electrónico con AWS Organizations.

Para invitar a una cuenta existente a unirse

1. Vaya a la página Cuentas de AWS y elija Agregar un Cuenta de AWS.

2. En la página Añadir una Cuenta de AWS página, selecciona Invitar a una existente Cuenta de AWS.

3. En el cuadro ID de cuenta o correo electrónico de un Cuenta de AWS para invitar, ingrese la dirección de correo electrónico del propietario de la cuenta a la que desea invitar, similar a lo siguiente: member222@example.com. Como alternativa, si conoces el número de Cuenta de AWS identificación, puedes ingresarlo en su lugar.

4. Escriba el texto que desee en el cuadro de texto Mensaje a incluir en el mensaje de correo electrónico de invitación. Este texto se incluirá en el correo electrónico que se envía al propietario de la cuenta.

5. Selecciona Enviar invitación. AWS Organizations envía la invitación al propietario de la cuenta.

   importante

   Expanda el mensaje de error si se indica. Si el error indica que ha excedido los límites de la cuenta para la organización o que no puede añadir una cuenta porque la organización sigue inicializándose, espere a que pase una hora desde que creó la organización e inténtelo de nuevo. Si el error persiste, póngase en contacto con AWS Support.

6. A efectos de este tutorial, ahora tiene que aceptar su propia invitación. Realice alguna de las siguientes acciones para ir a la página Invitations en la consola:

   • Abre el correo electrónico AWS enviado desde la cuenta de administración y elige el enlace para aceptar la invitación. Cuando se le pida que inicie sesión, hágalo como administrador de la cuenta miembro invitada.

   • Abra la consola de AWS Organizations y navegue hasta la página de Invitaciones.

7. En la página Cuentas de AWS , elija Aceptar y, a continuación, elija Confirmar.

   sugerencia

   La recepción de la invitación podría retrasarse y es posible que tenga que esperar antes de poder aceptarla.

8. Cierre la sesión de la cuenta miembro e inicie sesión de nuevo como administrador en la cuenta de administración.

Para crear una cuenta miembro

1. En la AWS Organizations consola, en la Cuentas de AWSpágina, selecciona Añadir Cuenta de AWS.

2. En la páginaAgregar un Cuenta de AWS, elija Crear un Cuenta de AWS.

3. En Nombre Cuenta de AWS , ingrese un nombre para la cuenta, como MainApp Account.

4. En Dirección de correo electrónico del usuario del nodo raíz de la cuenta, ingrese la dirección de correo electrónico de la persona que va a recibir las comunicaciones en nombre de la cuenta. Este valor debe ser único de forma global. Dos cuentas no pueden tener la misma dirección de correo electrónico. Por ejemplo, puede escribir un correo como mainapp@example.com.

5. En IAM role name, puede dejar este campo en blanco para que se use automáticamente el nombre de rol predeterminado de OrganizationAccountAccessRole o puede proporcionar su propio nombre. Este rol le permite tener acceso a la nueva cuenta miembro cuando inicie sesión como un usuario de IAM en la cuenta de administración. En este tutorial, déjelo en blanco para indicar a AWS Organizations que va a crear la función con el nombre predeterminado.

6. Seleccione Crear Cuenta de AWS. Es posible que tenga que esperar un rato y actualizar la página para ver la nueva cuenta en la página Cuentas de AWS.

   importante

   Si obtiene un error que indica que ha excedido los límites de la cuenta para la organización o que no puede añadir una cuenta porque la organización sigue inicializándose, espere a que pase una hora desde que creó la organización e inténtelo de nuevo. Si el error persiste, póngase en contacto con AWS Support.

Para crear y rellenar las unidades organizativas

1. En la consola de AWS Organizations, vaya a la página Cuentas de AWS.

2. Active la casilla de verificación junto al contenedor de Nodo raíz.

3. Seleccione el menú desplegable Acciones y, a continuación, en la unidad organizativa, seleccione Crear nueva.

4. En la página Crear unidad organizativa en Nodo raíz, para el Nombre de la unidad organizativa, ingrese Production y luego Crear unidad organizativa.

5. Active la casilla de verificación junto a su nueva OU de Producción.

6. Seleccionar Acciones y, a continuación, en Unidad organizativa, elija Crear nuevo.

7. En la página Crear unidad organizativa en Producción, para el nombre de la segunda OU, ingrese MainApp y luego elija Crear unidad organizativa.

   Ahora puede mover sus cuentas miembro a estas unidades organizativas.

8. Vuelva a la página Cuentas de AWS y, a continuación, expanda el árbol bajo la unidad organizativa Production (Producción) eligiendo el triángulo situado junto a ella. Esto muestra la MainAppOU como un elemento secundario de la producción.

9. Junto a 333333333333, elija la casilla de verificación (no su nombre), elija Acciones y, a continuación, en Cuenta de AWS, elija Mover.

10. En la página Mover Cuenta de AWS «333333333333», elija el triángulo situado junto a Producción para expandirlo. Junto a él MainApp, selecciona el botón de radio (no su nombre) y, a continuación, selecciona Move. Cuenta de AWS

11. Junto a 222222222222, elija la casilla de verificación (no su nombre), elija Acciones y, a continuación, en Cuenta de AWS, elija Mover.

12. En la página Mover Cuenta de AWS «222222222222», junto a Producción, selecciona el botón de radio (no su nombre) y, a continuación, selecciona Mover. Cuenta de AWS

Para habilitar SCP para su organización.

1. Vaya a la página de Políticas y, a continuación, elija Políticas de control de servicios.

2. En la página Políticas de control de servicios, elija Habilitar políticas de control de servicios.

   Aparece un banner verde para informarle que ahora puede crear SCP en su organización.

Para crear el primer SCP que bloquee las acciones de configuración CloudTrail

1. Vaya a la página de Políticas y, a continuación, elija Políticas de control de servicios.

2. En la página Políticas de control de servicios, seleccione Crear política.

3. Para Policy name (Nombre de política), introduzca Block CloudTrail Configuration Actions.

4. En la sección Política, en la lista de servicios de la derecha, seleccione CloudTrail el servicio. A continuación, elija las siguientes acciones: AddTagsCreateTrailDeleteTrail, RemoveTags, StartLogging, StopLogging, y UpdateTrail.

5. Aún en el panel derecho, selecciona Agregar recurso y especificar CloudTraily Todos los recursos. A continuación, elija Add resource (Añadir recurso).

   La declaración de la política ubicada a la izquierda tendrá un aspecto similar a la siguiente.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt1234567890123",
               "Effect": "Deny",
               "Action": [
                   "cloudtrail:AddTags",
                   "cloudtrail:CreateTrail",
                   "cloudtrail:DeleteTrail",
                   "cloudtrail:RemoveTags",
                   "cloudtrail:StartLogging",
                   "cloudtrail:StopLogging",
                   "cloudtrail:UpdateTrail"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

6. Elija Crear política.

Para crear la segunda política que permite usar los servicios aprobados para la unidad organizativa de producción

1. En la página Políticas de control de servicios, seleccione Crear política.

2. Para Policy name (Nombre de política), introduzca Allow List for All Approved Services.

3. Sitúe el cursor en el panel derecho de la sección Policy (Política) y pegue una política como la siguiente.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt1111111111111",
               "Effect": "Allow",
               "Action": [ 
                   "ec2:*",
                   "elasticloadbalancing:*",
                   "codecommit:*",
                   "cloudtrail:*",
                   "codedeploy:*"
                 ],
               "Resource": [ "*" ]
           }
       ]
   }

4. Elija Crear política.

Para crear la tercera política que deniegue el acceso a los servicios que no se pueden utilizar en la OU MainApp

1. En la página Políticas de control de servicios, seleccione Crear política.

2. Para Policy name (Nombre de política), introduzca Deny List for MainApp Prohibited Services.

3. En la sección Policy (Política) de la izquierda, seleccione el servicio Amazon DynamoDB. Para la acción, elija All actions (Todas las acciones).

4. En el panel de la izquierda, elija Add resource (Agregar recurso) y especifique DynamoDB y All Resources (Todos los recursos). A continuación, elija Add resource (Añadir recurso).

   La instrucción de la política de la derecha se actualizará y tendrá un aspecto similar al siguiente.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [ "dynamodb:*" ],
         "Resource": [ "*" ]
       }
     ]
   }

5. Elija Create policy para guardar la SCP.

Para asociar las políticas al nodo raíz y a las unidades organizativas

1. Vaya a la página Cuentas de AWS.

2. En la página Cuentas de AWS, elija Root (Raíz) (su nombre, no el botón de opción) para desplazarse a su página de detalles.

3. En la página de detalles de Nodo raíz, elija la pestaña Políticas y, a continuación, en Políticas de control de servicios, elija Adjuntar.

4. En la página Adjuntar una política de control de servicios, elija el botón de opción situado al lado del SCP denominado Block CloudTrail Configuration Actions, y luego elija Adjuntar. En este tutorial, la debe adjuntar a la raíz para que afecte a todas las cuentas de los miembros y evitar que alguien modifique la forma en que la configuró CloudTrail.

   La página de detalles del Nodo raíz, la pestana Políticas muestra ahora que hay dos SCP asociadas al nodo raíz: la que acaba de asociar y la predeterminada FullAWSAccess SCP.

5. Vuelva a la página Cuentas de AWS y elija la unidad organizativa Production (Producción) (su nombre, no el botón de opción) para desplazarse a su página de detalles.

6. En la página de detalles de la OU de Producción, elija la pestaña Políticas.

7. Bajo Políticas de control de servicios, elija Adjuntar.

8. En la página Adjuntar una política de control de servicios, elija el botón de opción situado al lado de Allow List for All Approved Services, y luego elija Adjuntar. Esto le permite a los usuarios o roles de las cuentas miembro en la unidad organizativa de Producción tener acceso a los servicios aprobados.

9. Elija la pestaña Políticas nuevamente para ver que hay dos SCP asociadas a la OU: la que acaba de asociar y la SCP FullAWSAccess predeterminada. Sin embargo, como la política SCP FullAWSAccess también permite todos los servicios y acciones, ahora debe desconectar esta política SCP para asegurarse de que solo se permitan los servicios aprobados.

10. Para eliminar la política predeterminada de la unidad organizativa de producción, pulse el botón de opción Completa AWSAccess, elija Separar y, a continuación, en el cuadro de diálogo de confirmación, elija Separar política.

    Después de eliminar esta política predeterminada, todas las cuentas miembro bajo la OU de Producción pierden inmediatamente el acceso a todas las acciones y servicios que no estén en la política SCP de lista de permitidos que se ha asociado en el paso anterior. Cualquier solicitud para utilizar acciones que no estén incluidas en la SCP Allow List for All Approved Services (Lista de permitidos para todos los servicios aprobados) se deniega. Esto es así incluso si un administrador de una cuenta concede acceso a otro servicio asociando una política de permisos de IAM a un usuario de una de las cuentas miembro.

11. Ahora puede adjuntar el SCP nombrado Deny List for MainApp Prohibited services para impedir que cualquier persona de las cuentas de la MainApp OU utilice alguno de los servicios restringidos.

    Para ello, navegue hasta la Cuentas de AWSpágina, elija el icono triangular para expandir la rama de la unidad organizativa de producción y, a continuación, elija la MainAppunidad organizativa (su nombre, no el botón de opción) para acceder a su contenido.

12. En la página de MainAppdetalles, seleccione la pestaña Políticas.

13. En Políticas de control de servicios, selecciona Adjuntar y, a continuación, en la lista de políticas disponibles, pulsa el botón de radio situado junto a Denegar la lista de servicios MainApp prohibidos y, a continuación, selecciona Adjuntar política.