サービスコントロールポリシーを使用してアカウントインスタンスの作成を制御する - AWS IAM Identity Center

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

サービスコントロールポリシーを使用してアカウントインスタンスの作成を制御する

ユーザーは、IAM Identity Center のアカウントインスタンスと呼ばれる AWS アカウント単一の にバインドされた IAM Identity Center のインスタンスを作成できます。サービスコントロールポリシーを使用してアカウントインスタンスの作成を制御できます。

  1. IAM Identity Center コンソールを開きます。

  2. [ダッシュボード] の [中央管理] セクションで、[アカウントインスタンスの抑制] ボタンを選択します。

  3. [SCP をアタッチして新しいアカウントインスタンスが作成されないようにする] ダイアログボックスに SCP が表示されます。SCP をコピーし、[SCP ダッシュボードに移動] ボタンを選択します。AWS Organizations コンソールに移動し、SCP を作成するか、既存の SCP にステートメントとしてアタッチします。

    サービスコントロールポリシーは の機能です AWS Organizations。SCP をアタッチする手順については、「AWS Organizations ユーザーガイド」の「サービスコントロールポリシーのアタッチとデタッチ」を参照してください。

アカウントインスタンスの作成を防ぐのではなく、アカウントインスタンスの作成を組織 AWS アカウント 内の特定の に制限できます。

例 : SCP によるインスタンス作成の制御
{
    "Version": "2012-10-17",
    "Statement" : [
        {
            "Sid": "DenyMemberAccountInstances",
            "Effect": "Deny",
            "Action": "sso:CreateInstance",
            "Resource": "*",
            "Condition": {
                 "StringNotEquals": {
                    "aws:PrincipalAccount": ["<ALLOWED-ACCOUNT-ID>"]
                }
            }
        }
    ]
}