Quando utilizzarlo AWS Organizations

Queste informazioni riguardano quando utilizzarle nel AWS Organizations caso in cui l'utente si sia registrato AWS utilizzando l'opzione Sign up for AWS (avanzata) o se abbia attivato funzionalità avanzate per il proprio account. Per confrontare le opzioni di iscrizione, consultaConfronta le opzioni di iscrizione.

AWS Organizations è un AWS servizio che puoi usare per gestire le tue attività Account AWS come gruppo. Ciò fornisce funzionalità come la fatturazione consolidata, in cui tutte le fatture dei tuoi account sono raggruppate e gestite da un unico pagatore. Puoi anche gestire centralmente la sicurezza della tua organizzazione utilizzando controlli basati su policy. Per ulteriori informazioni AWS Organizations, consulta la Guida AWS Organizations per l'utente.

Accesso attendibile

Quando si utilizza AWS Organizations per gestire gli account come gruppo, la maggior parte delle attività amministrative dell'organizzazione può essere eseguita solo dall'account di gestione dell'organizzazione. Per impostazione predefinita, sono incluse solo le operazioni relative alla gestione dell'organizzazione stessa. È possibile estendere questa funzionalità aggiuntiva ad altri AWS servizi abilitando l'accesso affidabile tra le organizzazioni e quel servizio. L'accesso attendibile concede al AWS servizio specificato le autorizzazioni per accedere alle informazioni sull'organizzazione e sugli account in essa contenuti. Quando si abilita l'accesso affidabile per la gestione degli account, il servizio di gestione degli account concede alle organizzazioni e ai relativi account di gestione le autorizzazioni per accedere ai metadati, come le informazioni di contatto primarie o alternative, per tutti gli account membri dell'organizzazione.

Per ulteriori informazioni, consulta Abilita l'accesso affidabile per AWS Gestione dell'account.

Amministratore delegato

Dopo aver abilitato l'accesso affidabile, puoi anche scegliere di designare uno dei tuoi account membri come account amministratore delegato per AWS la gestione degli account. Ciò consente all'account amministratore delegato di eseguire le stesse attività di gestione dei metadati di gestione dell'account per gli account membri dell'organizzazione che in precedenza solo l'account di gestione poteva eseguire. L'account amministratore delegato può accedere solo alle attività di gestione del servizio di gestione dell'account. L'account amministratore delegato non dispone di tutti gli accessi amministrativi all'organizzazione di cui dispone l'account di gestione.

Per ulteriori informazioni, consulta Attivare un account amministratore delegato per AWS Gestione dell'account.

Policy di controllo dei servizi

Quando fai Account AWS parte di un'organizzazione gestita da AWS Organizations, l'amministratore dell'organizzazione può applicare politiche di controllo dei servizi (SCP) che possono limitare ciò che i responsabili degli account membri possono fare. Un SCP non concede mai autorizzazioni; è invece un filtro che limita le autorizzazioni che possono essere utilizzate dall'account membro. Un utente o ruolo (un principale) in un account membro può eseguire solo quelle operazioni che si intersecano tra quanto consentito dagli SCP che si applicano all'account e le politiche di autorizzazione IAM associate al principale. Ad esempio, puoi utilizzare gli SCP per impedire a qualsiasi principale di un account di modificare i contatti alternativi del proprio account.

Ad esempio, gli SCP che si applicano a, vedi. Account AWSLimita l'accesso utilizzando AWS Organizations policy di controllo dei servizi