Gérer les autorisations d'accès pour une organisation avec AWS Organizations

Les racines et les OUs éléments qui constituent la structure hiérarchique d'une organisation

Les comptes qui sont membres de l'organisation

Les politiques que vous attachez aux entités de l'organisation

Les handshakes que vous utilisez pour modifier l'état de l'organisation

aws:PrincipalOrgID : simplifie la spécification de l'élément Principal dans une politique basée sur les ressources. Cette clé globale constitue une alternative à la liste de tous IDs les comptes Comptes AWS d'une organisation. Au lieu de répertorier tous les comptes qui sont membres d'une organisation, vous pouvez spécifier l'ID d'organisation dans l'élément Condition.

Pour plus d'informations, consultez la description des clés AWS contextuelles PrincipalOrgID en condition globale dans le Guide de IAM l'utilisateur.

aws:PrincipalOrgPaths : utilisez cette clé de condition pour faire correspondre les membres d'une racine d'organisation spécifique, d'une unité d'organisation ou de ses enfants. La clé de aws:PrincipalOrgPaths condition renvoie true lorsque le principal (utilisateur root, IAM utilisateur ou rôle) à l'origine de la demande se trouve dans le chemin d'organisation spécifié. Un chemin est une représentation textuelle de la structure d'une AWS Organizations entité. Pour plus d'informations sur les chemins, voir Comprendre le chemin de l' AWS Organizations entité dans le Guide de IAM l'utilisateur. Pour plus d'informations sur l'utilisation de cette clé de condition, consultez aws : PrincipalOrgPaths dans le guide de IAM l'utilisateur.

Par exemple, l'élément de condition suivant correspond aux membres de l'une ou OUs l'autre des deux organisations.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType— Vous pouvez utiliser cette clé de condition pour limiter les API opérations liées aux politiques des Organisations afin qu'elles ne fonctionnent que sur les politiques des Organisations du type spécifié. Vous pouvez appliquer cette clé de condition à toute déclaration de politique qui inclut une action interagissant avec les politiques Organizations.

Vous pouvez utiliser les valeurs suivantes avec cette clé de condition :

L'exemple de politique suivant permet à l'utilisateur d'effectuer n'importe quelle opération Organizations. Toutefois, si l'utilisateur effectue une opération qui prend un argument de politique, l'opération n'est autorisée que si la politique spécifiée est une politique de balisage. L'opération échoue si l'utilisateur spécifie un autre type de politique.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— Disponible sous condition si vous utilisez les opérations E nableAWSService Access ou D isableAWSService Access pour activer ou désactiver l'accès sécurisé à d'autres AWS services. Vous pouvez utiliser organizations:ServicePrincipal pour restreindre les demandes que ces opérations effectuent à une liste de noms de principal de service approuvés.

Par exemple, la politique suivante permet à l'utilisateur de spécifier uniquement AWS Firewall Manager lors de l'activation et de la désactivation de l'accès sécurisé avec AWS Organizations.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

Si vous utilisez les informations d'identification du compte racine de votre compte de gestion pour créer une unité d'organisation, votre compte de gestion est le propriétaire de la ressource. (Dans AWS Organizations, la ressource est l'UO).

Si vous créez un IAM utilisateur dans votre compte de gestion et que vous accordez des autorisations pour créer une unité d'organisation à cet utilisateur, celui-ci peut créer une unité d'organisation. Toutefois, le compte de gestion, auquel appartient l'utilisateur, détient la ressource de l'unité d'organisation.

Si vous créez un IAM rôle dans votre compte de gestion avec les autorisations nécessaires pour créer une unité d'organisation, toute personne pouvant assumer ce rôle peut créer une unité d'organisation. Le compte de gestion, auquel appartient le rôle (pas l'utilisateur qui l'assume), détient la ressource de l'unité d'organisation.

Associer une politique d'autorisations à un utilisateur ou à un groupe de votre compte : pour accorder à un utilisateur l'autorisation de créer une AWS Organizations ressource, telle qu'une politique de contrôle des services (SCP) ou une unité d'organisation, vous pouvez associer une politique d'autorisations à un utilisateur ou à un groupe auquel appartient l'utilisateur. L'utilisateur ou le groupe doit se trouver dans le compte de gestion de l'organisation.

Associer une politique d'autorisations à un rôle (accorder des autorisations entre comptes) : vous pouvez associer une politique d'autorisations basée sur l'identité à un IAM rôle afin d'accorder un accès entre comptes à une organisation. Par exemple, l'administrateur du compte de gestion peut créer un rôle pour accorder des autorisations intercomptes à un utilisateur d'un compte membre en procédant comme suit :

Pour plus d'informations sur l'utilisation IAM pour déléguer des autorisations, consultez la section Gestion des accès dans le guide de IAM l'utilisateur.

AttachPolicy et DetachPolicy

CreateOrganizationalUnit et DeleteOrganizationalUnit

ListOrganizationalUnits et DescribeOrganizationalUnit

Action : utilisez ce mot-clé pour identifier les opérations (actions) que vous souhaitez autoriser ou refuser. Par exemple, en fonction de ce qui est spécifiéEffect, organizations:CreateAccount autorise ou refuse à l'utilisateur les autorisations nécessaires pour effectuer l' AWS Organizations CreateAccountopération. Pour plus d'informations, voir Éléments IAM JSON de politique : action dans le guide de IAM l'utilisateur.

Ressource : utilisez ce mot clé pour spécifier ARN la ressource à laquelle s'applique la déclaration de politique. Pour plus d'informations, voir Éléments IAM JSON de politique : ressource dans le guide de IAM l'utilisateur.

Condition : utilisez ce mot-clé pour spécifier une condition qui doit être remplie pour que l'instruction de politique s'applique. Condition spécifie généralement des circonstances supplémentaires qui doivent être vraies pour que la politique corresponde. Pour plus d'informations, voir Éléments IAM JSON de politique : Condition dans le guide de IAM l'utilisateur.

Effect : utilisez ce mot-clé pour spécifier si l'instruction de politique autorise ou refuse l'action sur la ressource. Si vous n'accordez pas explicitement l'accès à (autorisez) une ressource, l'accès est implicitement refusé. Vous pouvez également refuser explicitement l'accès à une ressource, pour veiller à ce qu'un utilisateur ne puisse pas exécuter l'action spécifiée sur la ressource spécifiée, même si une politique différente accorde l'accès. Pour plus d'informations, voir Éléments IAM JSON de politique : effet dans le guide de IAM l'utilisateur.

Principal — Dans les politiques basées sur l'identité (IAMpolitiques), l'utilisateur auquel la politique est attachée est automatiquement et implicitement le principal. Pour les politiques basées sur les ressources, vous spécifiez l'utilisateur, le compte, le service ou toute autre entité pour lequel vous souhaitez recevoir des autorisations (s'applique uniquement aux politiques basées sur les ressources). AWS Organizations prend actuellement en charge uniquement les politiques basées sur l'identité, et non les politiques basées sur les ressources.