Gestione delle autorizzazioni di accesso per un'organizzazione con AWS Organizations

La radice e il OUs che costituiscono la struttura gerarchica di un'organizzazione

Account membri dell'organizzazione

Policy collegate alle entità dell'organizzazione

Handshake utilizzati per modificare lo stato dell'organizzazione

aws:PrincipalOrgID - Semplifica la determinazione dell'elemento Principal in una policy basata su risorse. Questa chiave globale offre un'alternativa all'elenco di tutti IDs gli account Account AWS di un'organizzazione. Invece di elencare tutti gli account che sono membri di un'organizzazione, puoi specificare l'ID organizzazione nell'elemento Condition.

Per ulteriori informazioni, consulta la descrizione delle chiavi contestuali PrincipalOrgID in condizione AWS globale nella Guida per l'IAMutente.

aws:PrincipalOrgPaths - Utilizza questa chiave di condizione per abbinare i membri di un root dell'organizzazione specifica, di un'unità organizzativa o dei relativi elementi figlio. La chiave di aws:PrincipalOrgPaths condizione restituisce true quando il principale (utente root, IAM utente o ruolo) che effettua la richiesta si trova nel percorso organizzativo specificato. Un percorso è una rappresentazione testuale della struttura di un' AWS Organizations entità. Per ulteriori informazioni sui percorsi, consulta Comprendere il percorso dell' AWS Organizations entità nella Guida IAM per l'utente. Per ulteriori informazioni sull'utilizzo di questa chiave di condizione, consulta aws: PrincipalOrgPaths nella Guida IAM per l'utente.

Ad esempio, il seguente elemento di condizione corrisponde ai membri di una delle due persone OUs della stessa organizzazione.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType— È possibile utilizzare questa chiave di condizione per limitare le API operazioni relative alle politiche di Organizations in modo che funzionino solo sulle politiche di Organizations del tipo specificato. Puoi applicare questa chiave di condizione a qualsiasi istruzione delle policy che include un'operazione che interagisce con le policy di Organizations.

Puoi utilizzare i seguenti valori con questa chiave di condizione:

Ad esempio, la seguente policy consente all'utente di eseguire qualsiasi operazione di Organizations. Tuttavia, se l'utente esegue un'operazione che accetta un argomento della policy, l'operazione è consentita solo se la policy specificata è una policy di tagging. L'operazione non riesce se l'utente specifica qualsiasi altro tipo di policy.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— Disponibile come condizione se si utilizzano le operazioni E nableAWSService Access o D isableAWSService Access per abilitare o disabilitare l'accesso affidabile con altri AWS servizi. Puoi utilizzare organizations:ServicePrincipal per limitare le richieste effettuate da tali operazioni a un elenco di nomi principali dei servizi approvati.

Ad esempio, la seguente politica consente all'utente di specificare solo AWS Firewall Manager quando abilitare e disabilitare l'accesso affidabile con AWS Organizations.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

Se utilizzi le credenziali dell'account root dell'account di gestione per creare un'UO, il tuo account di gestione è il proprietario della risorsa. (In AWS Organizations, la risorsa è l'unità organizzativa).

Se si crea un IAM utente nel proprio account di gestione e si concedono le autorizzazioni per creare un'unità organizzativa a tale utente, l'utente può creare un'unità organizzativa. Tuttavia, è l'account di gestione, al quale appartiene l'utente, il proprietario della risorsa UO.

Se si crea un IAM ruolo nel proprio account di gestione con le autorizzazioni per creare un'unità organizzativa, chiunque possa assumere il ruolo può creare un'unità organizzativa. L'account di gestione a cui appartiene il ruolo (non l'utente che lo assume) è il proprietario della risorsa UO.

Allega una politica di autorizzazioni a un utente o a un gruppo del tuo account: per concedere a un utente le autorizzazioni per creare una AWS Organizations risorsa, ad esempio una politica di controllo del servizio (SCP) o un'unità organizzativa, puoi allegare una politica di autorizzazioni a un utente o a un gruppo a cui appartiene l'utente. L'utente o il gruppo devono trovarsi nell'account di gestione dell'organizzazione.

Associare una politica di autorizzazioni a un ruolo (concedere autorizzazioni per più account): puoi allegare una politica di autorizzazioni basata sull'identità a un IAM ruolo per concedere l'accesso tra più account a un'organizzazione. Ad esempio, l'amministratore dell'account di gestione può creare un ruolo per concedere autorizzazioni tra account a un utente nell'account membro, come segue:

Per ulteriori informazioni sull'utilizzo per IAM delegare le autorizzazioni, consulta Gestione degli accessi nella Guida per l'IAMutente.

AttachPolicy e DetachPolicy

CreateOrganizationalUnit e DeleteOrganizationalUnit

ListOrganizationalUnits e DescribeOrganizationalUnit

Action (Operazione) - Utilizza questa parola chiave per identificare le operazioni (azioni) che vuoi consentire o rifiutare. Ad esempio, a seconda di quanto specificatoEffect, organizations:CreateAccount consente o nega all'utente le autorizzazioni per eseguire l' AWS Organizations CreateAccountoperazione. Per ulteriori informazioni, consulta Elementi IAM JSON della politica: Azione nella guida per l'IAMutente.

Risorsa: utilizzate questa parola chiave per specificare la ARN risorsa a cui si applica l'informativa. Per ulteriori informazioni, consulta Elementi IAM JSON della policy: Resource in the IAMUser Guide.

Condizione - Utilizza questa parola chiave per specificare una condizione che deve essere soddisfatta per l'istruzione di policy da applicare. Condition in genere specifica ulteriori circostanze che devono essere vere affinché la policy corrisponda. Per ulteriori informazioni, consulta Elementi IAM JSON della politica: Condizione nella Guida IAM per l'utente.

Effetto - Utilizza questa parola chiave per specificare se l'istruzione di policy consente o rifiuta l'operazione sulla risorsa. Se non concedi esplicitamente l'accesso a una risorsa (o la consenti), l'accesso viene implicitamente rifiutato. Puoi anche rifiutare esplicitamente l'accesso a una risorsa per essere certo che un utente non possa eseguire un'operazione specifica sulla risorsa specifica, anche quando tale accesso è assegnato da un'altra policy. Per ulteriori informazioni, consulta Elementi IAM JSON delle politiche: Effetti nella Guida IAM per l'utente.

Principio: nelle politiche (IAMpolitiche) basate sull'identità, l'utente a cui è associata la politica è automaticamente e implicitamente il principale. Per le politiche basate sulle risorse, si specifica l'utente, l'account, il servizio o l'altra entità a cui si desidera ricevere le autorizzazioni (si applica solo alle politiche basate sulle risorse). AWS Organizations attualmente supporta solo politiche basate sull'identità, non politiche basate sulle risorse.