AWS Organizations를 사용하여 조직에 대한 액세스 권한 관리

조직의 계층적 구조를 구성하는 루트 및 OU

조직의 멤버가 되는 계정

조직 내 다음 개체에 연결하는 정책

조직 상태를 변경할 때 사용하는 핸드셰이크

aws:PrincipalOrgID - 리소스 기반 정책의 Principal 요소 지정을 간소화합니다. 이 전역 키는 조직 내 모든 AWS 계정의 계정 ID를 전부 나열하는 대안을 제공합니다. 조직의 멤버인 모든 계정을 나열하는 대신 Condition 요소에 조직 ID를 지정할 수 있습니다.

자세한 내용은 IAM 사용 설명서의 AWS 전역 조건 컨텍스트 키에서 PrincipalOrgID에 대한 설명을 참조하세요.

aws:PrincipalOrgPaths - 이 조건 키를 사용하여 특정 조직 루트, OU 또는 해당 하위 항목의 멤버를 일치시킵니다. 요청을 수행하는 보안 주체(루트, IAM 사용자 또는 역할)가 지정된 조직 경로에 있는 경우 aws:PrincipalOrgPaths 조건 키는 true를 반환합니다. 경로는 AWS Organizations 엔터티 구조의 텍스트 표현입니다. 경로에 대한 자세한 내용은 IAM 사용 설명서의 AWS Organizations 엔터티 경로 이해를 참조하세요. 이 조건 키 사용에 대한 자세한 내용은 IAM 사용 설명서의 aws:PrincipalOrgPaths를 참조하세요.

예를 들어, 다음 조건 요소는 동일한 조직에 있는 두 OU 중 하나의 멤버에 대해 일치합니다.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType – 이 조건 키를 사용하여 Organizations 정책 관련 API 작업이 특정 유형의 Organizations 정책에서만 동작하도록 제한할 수 있습니다. 이 조건 키는 Organizations 정책과 상호 작용하는 작업이 포함된 모든 정책 문에 적용할 수 있습니다.

이 조건 키에는 다음 값을 사용할 수 있습니다.

예를 들어 다음 예제 정책은 사용자가 모든 Organizations 작업을 수행할 수 있도록 허용합니다. 그러나 사용자가 정책을 인수하는 작업을 수행하는 경우 지정된 정책이 태그 지정 정책인 경우에만 작업이 허용됩니다. 사용자가 다른 유형의 정책을 지정하면 작업이 실패합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal – EnableAWSServiceAccess 또는 DisableAWSServiceAccess 작업을 사용하여 다른 AWS 서비스와의 신뢰할 수 있는 액세스를 활성화하거나 비활성화하는 경우 조건으로 사용할 수 있습니다. organizations:ServicePrincipal을 사용하여 승인된 서비스 보안 주체 이름의 목록에 대하여 이런 작업 요청을 제한할 수 있습니다.

예를 들어, 다음 정책은 AWS Organizations를 사용하여 신뢰할 수 있는 액세스를 활성화하고 비활성화할 때 사용자가 AWS Firewall Manager만 지정하도록 허용합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

관리 계정의 루트 계정 자격 증명을 사용하여 OU를 생성하는 경우, 관리 계정이 리소스 소유자가 됩니다. (AWS Organizations에서 리소스는 OU입니다.)

관리 계정에서 IAM 사용자를 만들고 사용자에 OU 생성 권한을 부여하면, 해당 사용자는 OU를 만들 수 있습니다. 하지만 사용자가 속한 관리 계정이 OU 리소스를 소유합니다.

관리 계정에서 OU를 생성할 권한이 있는 IAM 역할을 만드는 경우, 해당 역할을 담당할 수 있는 사람은 누구나 OU를 만들 수 있습니다. 역할(역할을 담당하는 사용자가 아님)이 속하게 될 관리 계정이 OU 리소스를 소유합니다.

계정 내 사용자 또는 그룹에 권한 정책 연결 – 서비스 제어 정책(SCP)이나 OU 같은 AWS Organizations 리소스를 생성할 권한을 사용자에게 부여하려면, 권한 정책을 특정 사용자 또는 해당 사용자가 속한 그룹에 연결하면 됩니다. 사용자나 그룹은 조직의 관리 계정에 있어야 합니다.

역할에 권한 정책 연결(교차 계정 권한 부여) – 자격 증명 기반 권한 정책을 IAM 역할에 연결하여 조직에 대한 교차 계정 액세스를 부여할 수 있습니다. 예를 들어 관리 계정 관리자는 다음과 같이 멤버 계정 사용자에게 교차 계정 권한을 부여하는 역할을 만들 수 있습니다.

IAM을 사용하여 권한을 위임하는 방법에 대한 자세한 설명은 IAM 사용자 가이드의 액세스 관리 섹션을 참조하십시오.

AttachPolicy 및 DetachPolicy

CreateOrganizationalUnit 및 DeleteOrganizationalUnit

ListOrganizationalUnits 및 DescribeOrganizationalUnit

작업(Action) – 이 키워드를 사용하여 허용 또는 거부할 작업을 식별합니다. 예를 들어 지정한 Effect에 따라 organizations:CreateAccount은 AWS Organizations CreateAccount 작업을 수행할 수 있는 사용자 권한을 허용하거나 거부합니다. 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소: 작업을 참조하세요.

리소스(Resource) – 이 키워드를 사용하여 정책 문을 적용할 리소스의 ARN을 지정합니다. 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소: 리소스를 참조하세요.

조건(Condition) – 이 키워드를 사용하여 정책 문이 적용되기 위해 충족해야 하는 조건을 지정합니다. Condition은 일반적으로 정책이 일치하려면 충족해야 하는 추가 상황을 지정합니다. 자세한 정보는 IAM 사용 설명서의 IAM JSON 정책 요소: 조건을 참조하세요.

효과(Effect) – 이 키워드를 사용하여 정책 문이 리소스에 대한 작업을 허용 또는 거부할지를 지정합니다. 명시적으로 리소스에 대한 액세스 권한을 부여(또는 허용)하지 않는다면, 액세스는 암시적으로 거부됩니다. 사용자가 특정 리소스에 대한 특정 작업을 수행하지 못하게 하도록, 다른 정책이 부여한 액세스를 포함한 리소스에 대한 액세스를 명시적으로 거부할 수도 있습니다. 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소: 효과를 참조하세요.

보안 주체(Principal) – 자격 증명 기반 정책(IAM 정책)에서, 해당 정책이 연결된 사용자는 자동으로 묵시적으로 보안 주체가 됩니다. 리소스 기반 정책의 경우 사용자, 계정, 서비스 또는 권한의 수신자인 기타 개체를 지정합니다(리소스 기반 정책에만 해당). 현재 AWS Organizations는 리소스 기반 정책 대신 자격 증명 기반 정책만 지원합니다.