組織へのアクセス許可の管理

組織の階層構造OUsを構成するルートと

組織のメンバーであるアカウント

組織のエンティティにアタッチするポリシー

組織の状態の変更に使用するハンドシェイク

aws:PrincipalOrgID － リソースベースのポリシーの Principal 要素の指定を簡素化します。このグローバルキーは、組織 AWS アカウント 内のすべての IDs のすべてのアカウントを一覧表示する代替手段を提供します。組織のメンバーであるすべてのアカウントを一覧表示せずに、Condition 要素に組織 ID を指定することができます。

詳細については、「 ユーザーガイドPrincipalOrgID」のAWS 「 グローバル条件コンテキストキーでの の説明IAM」を参照してください。

aws:PrincipalOrgPaths － この条件キーを使用して、特定の組織ルート、OU、またはその子のメンバーを照合します。リクエストを行うプリンシパル (ルートユーザー、IAMユーザー、またはロール) が指定された組織パスにある場合、aws:PrincipalOrgPaths条件キーは true を返します。パスは、 AWS Organizations エンティティの構造のテキスト表現です。パスの詳細については、「 IAMユーザーガイド」の AWS Organizations 「エンティティパスを理解する」を参照してください。この条件キーの使用の詳細については、 IAMユーザーガイドの「aws:PrincipalOrgPaths」を参照してください。

例えば、次の条件要素は、同じ組織OUs内の 2 つの のいずれかのメンバーと一致します。

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType – この条件キーを使用して、Organizations ポリシー関連のAPIオペレーションを、指定されたタイプの Organizations ポリシーでのみ機能するように制限できます。この条件キーは、Organizations ポリシーとやり取りするアクションを含むポリシーステートメントに適用できます。

この条件キーでは、次の値を使用できます。

例えば、次のポリシー例では、ユーザーが任意の Organizations オペレーションを実行できます。ただし、ポリシー引数を取るオペレーションをユーザーが実行した場合、指定したポリシーがタグ付けポリシーである場合にのみオペレーションが許可されます。ユーザーが他のタイプのポリシーを指定した場合、オペレーションは失敗します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal – E nableAWSServiceAccess または D isableAWSServiceAccess オペレーションを使用して、他の AWS のサービスへの信頼されたアクセスを有効または無効にする場合の条件として使用できます。organizations:ServicePrincipal を使用して、これらのオペレーションからのリクエストを、承認されたサービスプリンシパル名のリストに制限できます。

例えば、次のポリシーでは、 で信頼されたアクセスを有効または無効に AWS Firewall Manager する場合にのみ、 を指定できます AWS Organizations。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

管理アカウントのルートアカウントの認証情報を使用して OU を作成する場合の管理アカウントは、リソースの所有者です。( では AWS Organizations、リソースは OU です。）

管理アカウントにIAMユーザーを作成し、そのユーザーに OU を作成するアクセス許可を付与すると、そのユーザーは OU を作成できます。ただし、OU リソースを所有しているのは、このユーザーが属する管理アカウントです。

管理アカウントに OU を作成するアクセス許可を持つ IAMロールを作成すると、ロールを引き受けることのできるいずれのユーザーも OU を作成できます。OU リソースを所有するのは、ロール (引き受けるユーザーではない) が属する管理アカウントです。

アカウントのユーザーまたはグループに許可ポリシーをアタッチする – サービスコントロールポリシー (SCP） や OU などの AWS Organizations リソースを作成する許可をユーザーに付与するには、許可ポリシーをユーザーまたはユーザーが属するグループにアタッチできます。ユーザーまたはグループを組織の管理アカウントにする必要があります。

アクセス許可ポリシーをロールにアタッチする (クロスアカウントアクセス許可を付与する） – アイデンティティベースのアクセス許可ポリシーを IAMロールにアタッチして、クロスアカウントアクセスを組織に付与できます。例えば、管理アカウントの管理者はロールを作成し、次のようにクロスアカウントのアクセス許可をメンバーアカウントのユーザーに付与できます。

を使用してアクセス許可IAMを委任する方法の詳細については、「 ユーザーガイド」の「アクセス管理IAM」を参照してください。

AttachPolicy および DetachPolicy

CreateOrganizationalUnit および DeleteOrganizationalUnit

ListOrganizationalUnits および DescribeOrganizationalUnit

Action － このキーワードを使用して、許可または拒否するオペレーション (アクション) を識別します。例えば、指定された に応じてEffect、 は CreateAccountオペレーションを実行するためのユーザーアクセス許可organizations:CreateAccountを許可または拒否します AWS Organizations 。詳細については、「 ユーザーガイド」のIAMJSON「ポリシー要素: アクションIAM」を参照してください。

リソース – このキーワードを使用して、ポリシーステートメントが適用されるリソースARNの を指定します。詳細については、「 ユーザーガイド」のIAMJSON「ポリシー要素: リソースIAM」を参照してください。

Condition － ポリシーステートメントを満たす必要がある条件を指定するために、このキーワードを使用します。Condition は通常、ポリシーが一致するために満たす必要がある追加条件を指定します。詳細については、「 ユーザーガイド」のIAMJSON「ポリシー要素: 条件IAM」を参照してください。

Effect － このキーワードを使用して、ポリシー構文でリソースのアクションを許可または拒否するかどうかを指定します。リソースへのアクセス権を明示的に付与 (または許可) していない場合、アクセスは暗黙的に拒否されます。また、リソースへのアクセスを明示的に拒否することもできます。これにより、別のポリシーによってアクセスが許可されていても、ユーザーは、指定のリソースで指定のアクションを実行できないことがあります。詳細については、「 ユーザーガイド」のIAMJSON「ポリシー要素: 効果IAM」を参照してください。

プリンシパル – アイデンティティベースのポリシー (IAM ポリシー) では、ポリシーがアタッチされているユーザーは、プリンシパルを自動的に暗黙的に行います。リソースベースのポリシーでは、アクセス許可を受け取るユーザー、アカウント、サービス、またはその他のエンティティを指定します (リソースベースのポリシーのみに適用）。 AWS Organizations は現在、リソースベースのポリシーではなく、アイデンティティベースのポリシーのみをサポートしています。