Mengelola izin akses untuk organisasi AWS Anda

Root dan OU yang membentuk struktur hirarkis dari suatu organisasi

Akun yang merupakan anggota organisasi

Kebijakan yang Anda lampirkan ke entitas dalam organisasi

Jabat tangan yang Anda gunakan untuk mengubah status organisasi

aws:PrincipalOrgID — Menyederhanakan penentuan elemen Principal dalam kebijakan berbasis sumber daya. Kunci global ini menyediakan alternatif untuk mendaftar semua ID akun untuk semua Akun AWS di suatu organisasi. Alih-alih membuat daftar dari semua akun yang merupakan anggota organisasi, Anda dapat menentukan ID Organisasi dalam elemen Condition.

Untuk informasi selengkapnya, lihat deskripsi kunci konteks kondisi AWS global PrincipalOrgID di Panduan Pengguna IAM.

aws:PrincipalOrgPaths — Gunakan kunci syarat ini untuk mencocokkan anggota root organisasi tertentu, OU, atau anak-anaknya. Kunci syarat aws:PrincipalOrgPaths mengembalikan BETUL ketika prinsipal utama (root user, IAM user, atau peran) membuat permintaan di path organisasi yang ditentukan. Path adalah representasi teks dari struktur dari sebuah entitas AWS Organizations. Untuk informasi selengkapnya tentang jalur, lihat Memahami jalur AWS Organizations entitas di Panduan Pengguna IAM. Untuk informasi selengkapnya tentang penggunaan kunci kondisi ini, lihat aws: PrincipalOrgPaths di Panduan Pengguna IAM.

Misalnya, elemen syarat berikut cocok untuk anggota dari salah satu dari dua OU yang ada dalam organisasi yang sama.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType — Anda dapat menggunakan kunci syarat ini untuk membatasi operasi API terkait kebijakan Organizations untuk bekerja hanya pada kebijakan Organizations dari jenis tertentu. Anda dapat menerapkan kunci syarat ini untuk setiap pernyataan kebijakan yang mencakup tindakan yang berinteraksi dengan kebijakan Organizations.

Anda dapat menggunakan nilai berikut dengan kunci syarat ini:

Misalnya, kebijakan contoh berikut memungkinkan pengguna untuk melakukan operasi Organizations. Namun, jika pengguna melakukan operasi yang mengambil argumen kebijakan, maka operasi diperbolehkan hanya jika kebijakan tertentu adalah kebijakan penandaan. Operasi gagal jika pengguna menentukan jenis kebijakan lainnya.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— Tersedia sebagai kondisi jika Anda menggunakan AWSServiceAccess operasi Aktifkan AWSServiceAccess atau Nonaktifkan untuk mengaktifkan atau menonaktifkan akses tepercaya dengan AWS layanan lain. Anda dapat menggunakan organizations:ServicePrincipal untuk membatasi permintaan yang dibuat operasi tersebut ke daftar nama prinsipal utama layanan yang disetujui.

Misalnya, kebijakan berikut memungkinkan pengguna untuk menentukan hanya AWS Firewall Manager saat mengaktifkan dan menonaktifkan akses tepercaya dengan AWS Organizations.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

Jika Anda menggunakan kredensial akun root dari akun pengelolaan Anda untuk membuat OU, maka akun pengelolaan Anda adalah pemilik sumber daya . (Dalam AWS Organizations, sumber daya adalah OU.)

Jika Anda membuat pengguna IAM dalam akun pengelolaan Anda dan memberikan izin untuk membuat tabel sebuah OU ke pengguna tersebut, maka pengguna dapat membuat OU. Namun, akun pengelolaan Anda yang memiliki pengguna, memiliki sumber daya OU.

Jika Anda membuat IAM role di akun pengelolaan Anda dengan izin untuk membuat OU, siapa pun yang dapat menggunakan peran tersebut dapat membuat OU. Akun pengelolaan, yang memiliki peran (bukan pengguna yang mengambil), memiliki sumber daya OU.

Melampirkan kebijakan izin ke pengguna atau grup di akun Anda — Untuk memberikan izin pengguna untuk membuat AWS Organizations sumber daya, seperti kebijakan kontrol layanan (SCP) atau OU, Anda dapat melampirkan kebijakan izin ke pengguna atau grup tempat pengguna tersebut berada. Pengguna atau grup harus ada dalam akun pengelolaan organisasi.

Melampirkan kebijakan izin untuk peran (memberikan izin lintas akun) – Anda dapat melampirkan kebijakan izin berbasis identitas ke IAM role untuk memberikan izin lintas akun ke sebuah organisasi. Misalnya, administrator dalam akun pengelolaan dapat membuat peran untuk memberikan izin lintas akun ke pengguna yang ada dalam akun anggota sebagai berikut:

Untuk informasi selengkapnya tentang menggunakan IAM untuk mendelegasikan izin, lihat Manajemen Akses dalam Panduan Pengguna IAM.

AttachPolicy dan DetachPolicy

CreateOrganizationalUnit dan DeleteOrganizationalUnit

ListOrganizationalUnits dan DescribeOrganizationalUnit

Tindakan – Gunakan kata kunci untuk mengidentifikasi operasi (tindakan) yang ingin Anda izinkan atau tolak. Misalnya, tergantung pada Effect, organizations:CreateAccount mengizinkan atau menolak izin pengguna untuk melakukan operasi AWS Organizations CreateAccount. Untuk informasi selengkapnya, lihat elemen kebijakan IAM JSON: Tindakan dalam Panduan Pengguna IAM.

Sumber Daya – Gunakan kata kunci ini untuk menentukan ARN dari sumber daya yang kepadanya pernyataan kebijakan berlaku. Untuk informasi selengkapnya, lihat elemen kebijakan IAM JSON: Sumber daya dalam Panduan Pengguna IAM.

Syarat – Gunakan kata kunci ini untuk menentukan syarat yang harus dipenuhi agar pernyataan kebijakan dapat diterapkan. Condition biasanya menentukan keadaan tambahan yang harus BETUL agar kebijakan dapat dicocokkan. Untuk informasi selengkapnya, lihat Elemen kebijakan JSON IAM: Syarat di Panduan Pengguna IAM.

Efek – Gunakan kata kunci ini untuk menentukan apakah pernyataan kebijakan mengizinkan atau menolak tindakan pada sumber daya. Jika Anda tidak secara eksplisit memberikan akses ke (mengizinkan) sumber daya, maka akses akan ditolak secara implisit. Anda juga dapat secara eksplisit menolak akses ke sumber daya, yang mungkin Anda lakukan untuk memastikan bahwa pengguna tidak dapat melakukan tindakan tertentu pada sumber daya tertentu, meskipun kebijakan yang berbeda memberikan akses. Untuk informasi selengkapnya, lihat elemen kebijakan IAM JSON: Efek dalam Panduan Pengguna IAM.

Prinsipal – Dalam kebijakan berbasis identitas (kebijakan IAM), pengguna yang kepadanya kebijakan tersebut terlampir secara otomatis adalah prinsipal. Untuk kebijakan berbasis sumber daya, Anda menentukan pengguna, akun, layanan, atau entitas lain yang ingin Anda terima izinnya (berlaku hanya untuk kebijakan berbasis-sumber daya). AWS Organizations men-support kebijakan berbasis-identitas saat ini, tidak men-support kebijakan berbasis sumber daya.