Terminologie et concepts pour AWS Organizations

Toutes les fonctionnalités est l'ensemble de fonctionnalités par défaut disponible pour AWS Organizations. Vous pouvez définir des politiques et des exigences de configuration centralisées pour l'ensemble d'une organisation, créer des autorisations ou des fonctionnalités personnalisées au sein de l'organisation, gérer et organiser vos comptes sous une seule facture et déléguer des responsabilités à d'autres comptes au nom de l'organisation. Vous pouvez également utiliser des intégrations avec d'autres Services AWS pour définir des configurations centrales, des mécanismes de sécurité, des exigences d'audit et le partage des ressources entre tous les comptes membres de votre organisation. Pour de plus amples informations, veuillez consulter Utilisation AWS Organizations avec d'autres Services AWS.

Le mode Toutes les fonctionnalités fournit toutes les fonctionnalités de facturation consolidée ainsi que les fonctionnalités administratives.

La facturation consolidée est l'ensemble de fonctionnalités qui fournit des fonctionnalités de facturation partagée, mais n'inclut pas les fonctionnalités les plus avancées de AWS Organizations. Par exemple, vous ne pouvez pas permettre à d'autres AWS services de s'intégrer à votre organisation pour qu'ils fonctionnent sur tous ses comptes, ni utiliser des politiques pour restreindre ce que peuvent faire les utilisateurs et les rôles des différents comptes.

Vous pouvez activer toutes les fonctionnalités pour une organisation qui, à l'origine, ne prenait en charge que les fonctionnalités de facturation consolidée. Pour activer toutes les fonctions, tous les comptes membres invités doivent approuver la modification en acceptant l'invitation envoyée lorsque le compte de gestion commence le processus. Pour de plus amples informations, veuillez consulter Activation de toutes les fonctionnalités pour une organisation avec AWS Organizations.

Une organisation est un ensemble Comptes AWS que vous pouvez gérer de manière centralisée et organiser selon une structure hiérarchique arborescente avec une racine en haut et des unités organisationnelles imbriquées sous la racine. Chaque compte peut se trouver directement dans la racine ou être placé dans l'une des unités d'organisation de la hiérarchie.

Chaque organisation comprend :

Une organisation possède la fonctionnalité déterminée par l'ensemble des fonctions que vous activez.

Une racine administrative (root) est contenue dans le compte de gestion et constitue le point de départ pour organiser votre Comptes AWS. La racine est le conteneur le plus haut de la hiérarchie de votre organisation. Sous cette racine, vous pouvez créer des unités d'organisation (UO) pour regrouper logiquement vos comptes et organiser ces UO selon la hiérarchie qui correspond le mieux à vos besoins.

Si vous appliquez une politique déclarative à la racine, elle s'applique à toutes les unités organisationnelles (UO) et à tous les comptes, y compris le compte de gestion de l'organisation.

Si vous appliquez une politique d'autorisation (par exemple, une politique de contrôle des services (SCP)) à la racine, elle s'applique à toutes les unités organisationnelles (UO) et aux comptes membres de l'organisation. Elle ne s'applique pas au compte de gestion de l'organisation.

Une unité organisationnelle (UO) est un groupe Comptes AWS au sein d'une organisation. Une unité d'organisation peut également contenir d'autres unités d'organisation vous permettant de créer une hiérarchie. Par exemple, vous pouvez regrouper tous les comptes appartenant au même département dans une unité d'organisation départementale. De même, vous pouvez regrouper tous les comptes exécutant des services de sécurité dans une unité d'organisation de sécurité.

Les unités d'organisation sont utiles lorsque vous devez appliquer les mêmes contrôles à un sous-ensemble de comptes de votre organisation. L'imbrication des unités d'organisation permet de réduire la taille des unités de gestion. Par exemple, vous pouvez créer des unités d'organisation pour chaque charge de travail, puis créer deux unités d'organisation imbriquées dans chaque unité d'organisation de charge de travail afin de séparer les charges de travail de production de celles de préproduction. Ces unités d'organisation héritent des politiques de l'unité d'organisation parente en plus de tous les contrôles attribués directement à l'unité d'organisation au niveau de l'équipe. En excluant la racine et en la Comptes AWS créant dans les unités d'organisation les plus basses, votre hiérarchie peut comporter cinq niveaux de profondeur.

An Compte AWS est un conteneur pour vos AWS ressources. Vous créez et gérez vos AWS ressources dans un Compte AWS, qui Compte AWS fournit des fonctionnalités administratives pour l'accès et la facturation.

L'utilisation de plusieurs fonctionnalités Comptes AWS constitue une bonne pratique pour faire évoluer votre environnement, car elle permet de limiter les coûts, d'isoler les ressources pour des raisons de sécurité, de donner de la flexibilité aux individus et aux équipes, en plus d'être adaptable aux nouveaux processus.

Il existe deux types de comptes dans une organisation : un compte unique désigné comme compte de gestion et un ou plusieurs comptes membres.

Un compte de gestion est le compte Compte AWS que vous utilisez pour créer votre organisation. Depuis le compte de gestion, vous pouvez effectuer les opérations suivantes :

Le compte de gestion est le propriétaire ultime de l'organisation, ayant le contrôle final sur la sécurité, l'infrastructure et les politiques financières. Ce compte joue le rôle d'un compte payeur et est chargé de payer tous les frais accumulés par les comptes de son organisation.

Un compte de membre est un compte Compte AWS, autre que le compte de gestion, qui fait partie d'une organisation. Si vous êtes administrateur d'une organisation, vous pouvez créer des comptes membres dans l'organisation et inviter des comptes existants à rejoindre l'organisation. Vous pouvez également appliquer des politiques aux comptes des membres.

Nous vous recommandons de n'utiliser le compte de gestion et ses utilisateurs et rôles que pour les tâches qui doivent être effectuées par ce compte. Nous vous recommandons de stocker vos ressources AWS dans d'autres comptes membres de l'organisation et de les garder en dehors du compte de gestion. En effet, les fonctionnalités de sécurité telles que les politiques de contrôle des services (SCP) de l'organisation ne restreignent pas les utilisateurs ou les rôles dans le compte de gestion. Le fait de séparer vos ressources de votre compte de gestion peut également vous aider à comprendre les frais figurant sur vos factures. À partir du compte de gestion de l'organisation, vous pouvez désigner un ou plusieurs comptes membres comme compte d'administrateur délégué pour vous aider à mettre en œuvre cette recommandation. Il existe deux types d'administrateurs délégués :

Une invitation est une demande faite par le compte de gestion d'une organisation à un autre compte. Par exemple, le processus qui consiste à demander à un compte autonome de rejoindre une organisation est une invitation.

Les invitations sont mises en œuvre sous forme de poignées de main. Vous risquez de ne pas voir les handshakes lorsque vous utilisez la console AWS Organizations . Mais si vous utilisez l' AWS Organizations API AWS CLI or, vous devez travailler directement avec handshakes.

Une poignée de main est l'échange sécurisé d'informations entre deux AWS comptes : un expéditeur et un destinataire.

Les poignées de main suivantes sont prises en charge :

Vous devez généralement interagir directement avec les poignées de main uniquement si vous utilisez l' AWS Organizations API ou des outils de ligne de commande tels que. AWS CLI

Une politique de contrôle des services est un type de politique qui offre un contrôle centralisé sur les autorisations maximales disponibles pour les utilisateurs IAM et les rôles IAM au sein d'une organisation.

Cela signifie que les SCP spécifient des contrôles centrés sur le principal. Les SCP créent une barrière d'autorisations ou fixent des limites aux autorisations maximales disponibles pour les directeurs sur vos comptes membres. Vous utilisez un SCP lorsque vous souhaitez appliquer de manière centralisée des contrôles d'accès cohérents aux principaux acteurs de votre organisation.

Cela peut inclure la spécification des services auxquels vos utilisateurs IAM et vos rôles IAM peuvent accéder, des ressources auxquelles ils peuvent accéder ou des conditions dans lesquelles ils peuvent effectuer des demandes (par exemple, depuis des régions ou des réseaux spécifiques). Pour plus d'informations, consultez la section SCP.

Une politique de contrôle des ressources est un type de politique qui offre un contrôle centralisé sur les autorisations maximales disponibles pour les ressources d'une organisation.

Cela signifie que les RCP spécifient des contrôles centrés sur les ressources. Les RCP créent une barrière d'autorisations, ou fixent des limites, aux autorisations maximales disponibles pour les ressources de vos comptes membres. Utilisez un RCP lorsque vous souhaitez appliquer de manière centralisée des contrôles d'accès cohérents aux ressources de votre organisation.

Cela peut inclure la restriction de l'accès à vos ressources afin que seules les identités appartenant à votre organisation puissent y accéder, ou la spécification des conditions dans lesquelles les identités externes à votre organisation peuvent accéder à vos ressources. Pour plus d'informations, consultez les RCP.