AWS Organizations での組織へのアクセス許可の管理

組織の階層構造を構成するルートおよび OU

組織のメンバーであるアカウント

組織のエンティティにアタッチするポリシー

組織の状態の変更に使用するハンドシェイク

aws:PrincipalOrgID － リソースベースのポリシーの Principal 要素の指定を簡素化します。このグローバルキーは、組織内のすべての AWS アカウントのすべてのアカウント ID を一覧表示する代わりに使用できます。組織のメンバーであるすべてのアカウントを一覧表示せずに、Condition 要素に組織 ID を指定することができます。

詳細については、「IAM ユーザーガイド」で「AWS グローバル条件コンテキストキー」の PrincipalOrgID の説明を参照してください。

aws:PrincipalOrgPaths － この条件キーを使用して、特定の組織ルート、OU、またはその子のメンバーを照合します。リクエストを行うプリンシパル (ルートユーザー、IAM ユーザー、またはロール) が指定された組織パスにある場合、aws:PrincipalOrgPaths 条件キーは true を返します。パスとは、AWS Organizations エンティティの構造をテキストで表記したものです。パスの詳細については、「IAM ユーザーガイド」の「Understand the AWS Organizations entity path」を参照してください。この条件キーの使用の詳細については、IAM ユーザーガイドの「aws:PrincipalOrgPaths」を参照してください。

例えば次の条件要素は、同じ組織内の 2 つの OU のいずれかのメンバーと一致します。

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType － この条件キーを使用して、Organization ポリシー関連 API オペレーションを、指定したタイプの Organization ポリシーでのみ動作するように制限できます。この条件キーは、Organizations ポリシーとやり取りするアクションを含むポリシーステートメントに適用できます。

この条件キーでは、次の値を使用できます。

例えば、次のポリシー例では、ユーザーが任意の Organizations オペレーションを実行できます。ただし、ポリシー引数を取るオペレーションをユーザーが実行した場合、指定したポリシーがタグ付けポリシーである場合にのみオペレーションが許可されます。ユーザーが他のタイプのポリシーを指定した場合、オペレーションは失敗します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal － EnableAWSServiceAccess オペレーションまたは DisableAWSServiceAccess オペレーションで、他の AWS のサービスを使用して信頼されたアクセスを有効または無効にする場合の条件として使用できます。organizations:ServicePrincipal を使用して、これらのオペレーションからのリクエストを、承認されたサービスプリンシパル名のリストに制限できます。

例えば以下のポリシーでは、ユーザーは、AWS Firewall Manager を使用して信頼されたアクセスを有効および無効にする場合のみ、AWS Organizations を指定することができます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

管理アカウントのルートアカウントの認証情報を使用して OU を作成する場合の管理アカウントは、リソースの所有者です。(AWS Organizations で、リソースは OU です)。

管理アカウントに IAM ユーザーを作成し、そのユーザーに OU を作成するためのアクセス権限を付与する場合、そのユーザーは OU を作成できます。ただし、OU リソースを所有しているのは、このユーザーが属する管理アカウントです。

OU を作成するためのアクセス権限を持つ管理アカウントに IAM ロールを作成する場合は、ロールを引き受けることのできるユーザーはいずれも OU を作成できます。OU リソースを所有するのは、ロール (引き受けるユーザーではない) が属する管理アカウントです。

アカウントのユーザーまたはグループにアクセス許可ポリシーをアタッチする - サービスコントロールポリシー (SCP) または OU などの AWS Organizations リソースを作成するための権限をユーザーに付与するには、ユーザーまたはユーザーが所属するグループにアクセス許可ポリシーをアタッチします。ユーザーまたはグループを組織の管理アカウントにする必要があります。

アクセス許可ポリシーをロールにアタッチする (クロスアカウントのアクセス許可を付与する) － アイデンティティベースのアクセス許可ポリシーを IAM ロールにアタッチして、クロスアカウントのアクセス許可を組織に付与することができます。例えば、管理アカウントの管理者はロールを作成し、次のようにクロスアカウントのアクセス許可をメンバーアカウントのユーザーに付与できます。

IAM を使用した許可の委任の詳細については、「IAM ユーザーガイド」の「アクセス管理」を参照してください。

AttachPolicy および DetachPolicy

CreateOrganizationalUnit および DeleteOrganizationalUnit

ListOrganizationalUnits および DescribeOrganizationalUnit

Action － このキーワードを使用して、許可または拒否するオペレーション (アクション) を識別します。例えば、指定した Effect に応じて、organizations:CreateAccount では、AWS Organizations の CreateAccount オペレーションを実行するユーザーのアクセス権限を許可または拒否します。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素 Action」を参照してください。

Resource － このキーワードを使用して、ポリシー構文が適用されるリソースの ARN を指定します。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素 Resource」を参照してください。

Condition － ポリシーステートメントを満たす必要がある条件を指定するために、このキーワードを使用します。Condition は通常、ポリシーが一致するために満たす必要がある追加条件を指定します。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素: 条件」を参照してください。

Effect － このキーワードを使用して、ポリシー構文でリソースのアクションを許可または拒否するかどうかを指定します。リソースへのアクセス権を明示的に付与 (または許可) していない場合、アクセスは暗黙的に拒否されます。また、リソースへのアクセスを明示的に拒否することもできます。これにより、別のポリシーによってアクセスが許可されていても、ユーザーは、指定のリソースで指定のアクションを実行できないことがあります。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素 Effect」を参照してください。

Principal － アイデンティティベースのポリシー (IAM ポリシー) では、ポリシーがアタッチされているユーザーが自動的かつ暗黙的にプリンシパルとなります。リソースベースのポリシーでは、権限 (リソースベースのポリシーにのみ適用) を受け取りたいユーザー、アカウント、サービス、またはその他のエンティティを指定します。現在、AWS Organizations では、アイデンティティベースのポリシーのみサポートしており、リソースベースのポリシーはサポートしていません。