View a markdown version of this page

Contrôles de sécurité par défaut dans AWS Organizations - AWS Organizations

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôles de sécurité par défaut dans AWS Organizations

La gestion de la sécurité dans un environnement multi-comptes nécessite une gouvernance cohérente dès le départ. Lorsque vous créez une organisation à l'aide de la AWS Organizations console, le service applique automatiquement des contrôles de sécurité pour protéger votre organisation contre les risques courants. Ces contrôles établissent une base de sécurité AWS recommandée dès la création de votre organisation.

Important

Ces contrôles s'appliquent uniquement aux organisations créées via la AWS Organizations console après le 10 juillet 2026 et n'affectent pas les organisations existantes. Organizations ne prend actuellement pas en charge ces contrôles lorsque vous créez une organisation à l'aide de l'interface de ligne de AWS commande (AWS CLI), AWS des SDK ou CloudFormation. Si vous utilisez directement l'CreateOrganizationAPI ou si vous souhaitez ajouter ces contrôles à une organisation existante, vous devez les configurer manuellement. Pour plus d’informations, consultez Désactivation d'un type de politique, Création de politiques d'organisation avec AWS Organizations et Joindre les politiques de l'organisation à AWS Organizations.

Organizations active les politiques de contrôle des services (SCP) et attache un SCP à la racine qui refuse à la fois les account:CloseAccount actions organizations:LeaveOrganization et les actions pour tous les comptes membres. Les comptes des membres ne peuvent pas quitter l'organisation ou être fermés sans l'intervention du compte de gestion ou d'un administrateur délégué.

La politique suivante indique que le SCP interdit aux comptes des membres de quitter l'organisation ou de fermer leurs comptes :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyLeaveOrganizationAndCloseAccount",
            "Effect": "Deny",
            "Action": [
                "organizations:LeaveOrganization",
                "account:CloseAccount"
            ],
            "Resource": "*"
        }
    ]
}

Vous pouvez modifier ce SCP ou l'associer à différentes cibles. Nous vous recommandons de le garder attaché à la racine afin de protéger tous les comptes des membres.