Tindakan, sumber daya, dan kunci kondisi untuk AWS Organizations - Referensi Otorisasi Layanan
TindakanJenis sumber dayaKunci syarat

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Tindakan, sumber daya, dan kunci kondisi untuk AWS Organizations

AWS Organizations (awalan layanan:organizations) menyediakan sumber daya, tindakan, dan kunci konteks kondisi khusus layanan berikut untuk digunakan dalam IAM kebijakan izin.

Referensi:

Tindakan yang ditentukan oleh AWS Organizations

Anda dapat menentukan tindakan berikut dalam Action elemen pernyataan IAM kebijakan. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Ketika Anda menggunakan tindakan dalam kebijakan, Anda biasanya mengizinkan atau menolak akses ke API operasi atau CLI perintah dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan tunggal mengontrol akses ke lebih dari satu operasi. Atau, beberapa operasi memerlukan beberapa tindakan yang berbeda.

Kolom tipe sumber daya pada tabel Tindakan menunjukkan apakah setiap tindakan mendukung izin tingkat sumber daya. Jika tidak ada nilai untuk kolom ini, Anda harus menentukan semua sumber daya (“*”) yang berlaku kebijakan dalam Resource elemen pernyataan kebijakan Anda. Jika kolom menyertakan jenis sumber daya, maka Anda dapat menentukan ARN jenis itu dalam pernyataan dengan tindakan tersebut. Jika tindakan memiliki satu atau lebih sumber daya yang diperlukan, pemanggil harus memiliki izin untuk menggunakan tindakan dengan sumber daya tersebut. Sumber daya yang diperlukan ditunjukkan dalam tabel dengan tanda bintang (*). Jika Anda membatasi akses sumber daya dengan Resource elemen dalam IAM kebijakan, Anda harus menyertakan pola ARN atau untuk setiap jenis sumber daya yang diperlukan. Beberapa tindakan mendukung berbagai jenis sumber daya. Jika jenis sumber daya opsional (tidak ditunjukkan sesuai kebutuhan), maka Anda dapat memilih untuk menggunakan salah satu jenis sumber daya opsional.

Kolom Condition keys pada tabel Actions menyertakan kunci yang dapat Anda tentukan dalam Condition elemen pernyataan kebijakan. Untuk informasi selengkapnya tentang kunci kondisi yang terkait dengan sumber daya untuk layanan, lihat kolom Kunci kondisi pada tabel Jenis sumber daya.

catatan

Kunci kondisi sumber daya tercantum dalam tabel Jenis sumber daya. Anda dapat menemukan tautan ke jenis sumber daya yang berlaku untuk tindakan di kolom Jenis sumber daya (*wajib) pada tabel Tindakan. Jenis sumber daya dalam tabel Jenis sumber daya menyertakan kolom Kunci kondisi, yang merupakan kunci kondisi sumber daya yang berlaku untuk tindakan dalam tabel Tindakan.

Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tindakan.

Tindakan Deskripsi Tingkat akses Jenis sumber daya (*diperlukan) Kunci syarat Tindakan bergantung
AcceptHandshake Memberikan izin untuk mengirim tanggapan kepada pencetus jabat tangan yang menyetujui tindakan yang diusulkan oleh permintaan jabat tangan Tulis

handshake*

iam:CreateServiceLinkedRole

AttachPolicy Memberikan izin untuk melampirkan kebijakan ke root, unit organisasi, atau akun individu Tulis

policy*

account

organizationalunit

root

organizations:PolicyType

CancelHandshake Memberikan izin untuk membatalkan jabat tangan Tulis

handshake*

CloseAccount Memberikan izin untuk menutup sebuah Akun AWS yang sekarang menjadi bagian dari Organizations, baik yang dibuat dalam organisasi, atau diundang untuk bergabung dengan organisasi Tulis

account*

CreateAccount Memberikan izin untuk membuat Akun AWS yang secara otomatis merupakan anggota organisasi dengan kredensil yang membuat permintaan Tulis

aws:RequestTag/${TagKey}

aws:TagKeys

CreateGovCloudAccount Memberikan izin untuk membuat akun AWS GovCloud (AS) Tulis

aws:RequestTag/${TagKey}

aws:TagKeys

CreateOrganization Memberikan izin untuk membuat organisasi. Akun dengan kredensil yang memanggil CreateOrganization operasi secara otomatis menjadi akun manajemen organisasi baru Tulis

iam:CreateServiceLinkedRole

CreateOrganizationalUnit Memberikan izin untuk membuat unit organisasi (OU) dalam root atau OU induk Tulis

organizationalunit

root

aws:RequestTag/${TagKey}

aws:TagKeys

CreatePolicy Memberikan izin untuk membuat kebijakan yang dapat Anda lampirkan ke root, unit organisasi (OU), atau individu Akun AWS Tulis

organizations:PolicyType

aws:RequestTag/${TagKey}

aws:TagKeys

DeclineHandshake Memberikan izin untuk menolak permintaan jabat tangan. Ini menetapkan status jabat tangan DECLINED dan secara efektif menonaktifkan permintaan Tulis

handshake*

DeleteOrganization Memberikan izin untuk menghapus organisasi Tulis
DeleteOrganizationalUnit Memberikan izin untuk menghapus unit organisasi dari root atau OU lain Tulis

organizationalunit*

DeletePolicy Memberikan izin untuk menghapus kebijakan dari organisasi Anda Tulis

policy*

organizations:PolicyType

DeleteResourcePolicy Memberikan izin untuk menghapus kebijakan sumber daya dari organisasi Anda Tulis
DeregisterDelegatedAdministrator Memberikan izin untuk membatalkan pendaftaran anggota yang ditentukan Akun AWS sebagai administrator yang didelegasikan untuk layanan yang ditentukan oleh AWS ServicePrincipal Tulis

account*

organizations:ServicePrincipal

DescribeAccount Memberikan izin untuk mengambil rincian terkait Organisasi tentang akun yang ditentukan Baca

account*

DescribeCreateAccountStatus Memberikan izin untuk mengambil status permintaan asinkron saat ini untuk membuat akun Baca
DescribeEffectivePolicy Memberikan izin untuk mengambil kebijakan efektif untuk akun Baca

account*

organizations:PolicyType

DescribeHandshake Memberikan izin untuk mengambil detail tentang jabat tangan yang diminta sebelumnya Baca

handshake*

DescribeOrganization Memberikan izin untuk mengambil detail tentang organisasi yang menjadi milik kredensi pemanggilan Baca
DescribeOrganizationalUnit Memberikan izin untuk mengambil rincian tentang unit organisasi (OU) Baca

organizationalunit*

DescribePolicy Memberikan izin untuk mengambil detail tentang kebijakan Baca

policy*

organizations:PolicyType

DescribeResourcePolicy Memberikan izin untuk mengambil informasi tentang kebijakan sumber daya Baca
DetachPolicy Memberikan izin untuk melepaskan kebijakan dari akar target, unit organisasi, atau akun Tulis

policy*

account

organizationalunit

root

organizations:PolicyType

DisableAWSServiceAccess Memberikan izin untuk menonaktifkan integrasi AWS layanan (layanan yang ditentukan oleh ServicePrincipal) dengan AWS Organizations Tulis

organizations:ServicePrincipal

DisablePolicyType Memberikan izin untuk menonaktifkan jenis kebijakan organisasi di root Tulis

root*

organizations:PolicyType

EnableAWSServiceAccess Memberikan izin untuk mengaktifkan integrasi AWS layanan (layanan yang ditentukan oleh ServicePrincipal) dengan AWS Organizations Tulis

organizations:ServicePrincipal

EnableAllFeatures Memberikan izin untuk memulai proses untuk mengaktifkan semua fitur dalam organisasi, memutakhirkannya dari hanya mendukung fitur Penagihan Konsolidasi Tulis
EnablePolicyType Memberikan izin untuk mengaktifkan jenis kebijakan di root Tulis

root*

organizations:PolicyType

InviteAccountToOrganization Memberikan izin untuk mengirim undangan ke orang lain Akun AWS, memintanya untuk bergabung dengan organisasi Anda sebagai akun anggota Tulis

account

aws:RequestTag/${TagKey}

aws:TagKeys

LeaveOrganization Memberikan izin untuk menghapus akun anggota dari organisasi induknya Tulis
ListAWSServiceAccessForOrganization Memberikan izin untuk mengambil daftar AWS layanan yang Anda aktifkan integrasi dengan organisasi Anda Daftar
ListAccounts Memberikan izin untuk membuat daftar semua akun di organisasi Daftar
ListAccountsForParent Memberikan izin untuk membuat daftar akun dalam organisasi yang terkandung oleh root atau unit organisasi (OU) Daftar

organizationalunit

root

ListChildren Memberikan izin untuk membuat daftar semua OUs atau akun yang terkandung dalam OU induk atau root Daftar

organizationalunit

root

ListCreateAccountStatus Memberikan izin untuk mencantumkan permintaan pembuatan akun asinkron yang saat ini sedang dilacak untuk organisasi Daftar
ListDelegatedAdministrators Memberikan izin untuk membuat daftar AWS akun yang ditetapkan sebagai administrator yang didelegasikan dalam organisasi ini Daftar

organizations:ServicePrincipal

ListDelegatedServicesForAccount Memberikan izin untuk membuat daftar AWS layanan yang akunnya ditentukan adalah administrator yang didelegasikan dalam organisasi ini Daftar

account*

ListHandshakesForAccount Memberikan izin untuk membuat daftar semua jabat tangan yang terkait dengan akun Daftar
ListHandshakesForOrganization Memberikan izin untuk membuat daftar jabat tangan yang terkait dengan organisasi Daftar
ListOrganizationalUnitsForParent Memberikan izin untuk mencantumkan semua unit organisasi (OUs) di unit organisasi induk atau root Daftar

organizationalunit

root

ListParents Memberikan izin untuk membuat daftar root atau unit organisasi (OUs) yang berfungsi sebagai orang tua langsung dari OU atau akun anak Daftar

account

organizationalunit

ListPolicies Memberikan izin untuk membuat daftar semua kebijakan dalam suatu organisasi Daftar

organizations:PolicyType

ListPoliciesForTarget Memberikan izin untuk membuat daftar semua kebijakan yang secara langsung dilampirkan ke root, unit organisasi (OU), atau akun Daftar

account

organizationalunit

root

organizations:PolicyType

ListRoots Memberikan izin untuk membuat daftar semua akar yang didefinisikan dalam organisasi Daftar
ListTagsForResource Memberikan izin untuk mencantumkan semua tag untuk sumber daya yang ditentukan Daftar

account

organizationalunit

policy

resourcepolicy

root

ListTargetsForPolicy Memberikan izin untuk membuat daftar semua akarOUs,, dan akun yang dilampirkan kebijakan Daftar

policy*

organizations:PolicyType

MoveAccount Memberikan izin untuk memindahkan akun dari root atau OU saat ini ke root induk lain atau OU Tulis

account*

organizationalunit*

root*

PutResourcePolicy Memberikan izin untuk membuat atau memperbarui kebijakan sumber daya Tulis

resourcepolicy*

aws:RequestTag/${TagKey}

aws:TagKeys

RegisterDelegatedAdministrator Memberikan izin untuk mendaftarkan akun anggota yang ditentukan untuk mengelola fitur Organizations dari AWS layanan yang ditentukan oleh ServicePrincipal Tulis

account*

organizations:ServicePrincipal

RemoveAccountFromOrganization Memberikan izin untuk menghapus akun yang ditentukan dari organisasi Tulis

account*

TagResource Memberikan izin untuk menambahkan satu atau beberapa tag ke sumber daya yang ditentukan Penandaan

account

organizationalunit

policy

resourcepolicy

root

aws:TagKeys

aws:RequestTag/${TagKey}

UntagResource Memberikan izin untuk menghapus satu atau beberapa tag dari sumber daya yang ditentukan Penandaan

account

organizationalunit

policy

resourcepolicy

root

aws:TagKeys

UpdateOrganizationalUnit Memberikan izin untuk mengganti nama unit organisasi (OU) Tulis

organizationalunit*

UpdatePolicy Memberikan izin untuk memperbarui kebijakan yang ada dengan nama, deskripsi, atau konten baru Tulis

policy*

organizations:PolicyType

Jenis sumber daya yang ditentukan oleh AWS Organizations

Jenis sumber daya berikut ditentukan oleh layanan ini dan dapat digunakan dalam Resource elemen pernyataan kebijakan IAM izin. Setiap tindakan dalam Tabel tindakan mengidentifikasi jenis sumber daya yang dapat ditentukan dengan tindakan tersebut. Jenis sumber daya juga dapat menentukan kunci kondisi mana yang dapat Anda sertakan dalam kebijakan. Tombol-tombol ini ditampilkan di kolom terakhir dari tabel Jenis sumber daya. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tipe sumber daya.

Jenis sumber daya ARN Kunci syarat
account arn:${Partition}:organizations::${Account}:account/o-${OrganizationId}/${AccountId}

aws:ResourceTag/${TagKey}

handshake arn:${Partition}:organizations::${Account}:handshake/o-${OrganizationId}/${HandshakeType}/h-${HandshakeId}
organization arn:${Partition}:organizations::${Account}:organization/o-${OrganizationId}
organizationalunit arn:${Partition}:organizations::${Account}:ou/o-${OrganizationId}/ou-${OrganizationalUnitId}

aws:ResourceTag/${TagKey}

policy arn:${Partition}:organizations::${Account}:policy/o-${OrganizationId}/${PolicyType}/p-${PolicyId}

aws:ResourceTag/${TagKey}

resourcepolicy arn:${Partition}:organizations::${Account}:resourcepolicy/o-${OrganizationId}/rp-${ResourcePolicyId}

aws:ResourceTag/${TagKey}

awspolicy arn:${Partition}:organizations::aws:policy/${PolicyType}/p-${PolicyId}
root arn:${Partition}:organizations::${Account}:root/o-${OrganizationId}/r-${RootId}

aws:ResourceTag/${TagKey}

Kunci kondisi untuk AWS Organizations

AWS Organizations mendefinisikan kunci kondisi berikut yang dapat digunakan dalam Condition elemen IAM kebijakan. Anda dapat menggunakan kunci ini untuk menyempurnakan syarat lebih lanjut saat pernyataan kebijakan berlaku. Untuk detail tentang kolom dalam tabel berikut, lihat Tabel tombol kondisi.

Untuk melihat kunci kondisi global yang tersedia untuk semua layanan, lihat Kunci kondisi global yang tersedia.

Kunci syarat Deskripsi Jenis
aws:RequestTag/${TagKey} Filter akses berdasarkan tanda yang diberikan dalam permintaan String
aws:ResourceTag/${TagKey} Filter akses dengan tanda yang terkait dengan sumber daya String
aws:TagKeys Filter akses berdasarkan kunci tanda yang diberikan dalam permintaan ArrayOfString
organizations:PolicyType Memfilter akses berdasarkan nama jenis kebijakan yang ditentukan String
organizations:ServicePrincipal Memfilter akses dengan nama utama layanan yang ditentukan String