를 사용하여 조직의 액세스 권한 관리 AWS Organizations

조직의 계층 구조를 OUs 구성하는 루트 및

조직의 멤버가 되는 계정

조직 내 다음 개체에 연결하는 정책

조직 상태를 변경할 때 사용하는 핸드셰이크

aws:PrincipalOrgID - 리소스 기반 정책의 Principal 요소 지정을 간소화합니다. 이 글로벌 키는 조직의 모든 에 IDs 대한 모든 계정을 나열하는 대안 AWS 계정 을 제공합니다. 조직의 멤버인 모든 계정을 나열하는 대신 Condition 요소에 조직 ID를 지정할 수 있습니다.

자세한 내용은 IAM 사용 설명서의 PrincipalOrgID AWS 전역 조건 컨텍스트 키에서 의 설명을 참조하세요.

aws:PrincipalOrgPaths - 이 조건 키를 사용하여 특정 조직 루트, OU 또는 해당 하위 항목의 멤버를 일치시킵니다. 요청을 수행하는 보안 주체(루트 사용자, IAM 사용자 또는 역할)가 지정된 조직 경로에 있으면 aws:PrincipalOrgPaths 조건 키가 true로 반환됩니다. 경로는 AWS Organizations 엔터티 구조의 텍스트 표현입니다. 경로에 대한 자세한 내용은 IAM 사용 설명서의 AWS Organizations 개체 경로 이해를 참조하세요. 이 조건 키 사용에 대한 자세한 내용은 IAM 사용 설명서의 aws:PrincipalOrgPaths를 참조하세요.

예를 들어, 다음 조건 요소는 동일한 조직의 두 구성원 중 하나OUs와 일치합니다.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType - 이 조건 키를 사용하여 지정된 유형의 Organizations 정책에서만 작동하도록 Organizations 정책 관련 API 작업을 제한할 수 있습니다. 이 조건 키는 Organizations 정책과 상호 작용하는 작업이 포함된 모든 정책 문에 적용할 수 있습니다.

이 조건 키에는 다음 값을 사용할 수 있습니다.

예를 들어 다음 예제 정책은 사용자가 모든 Organizations 작업을 수행할 수 있도록 허용합니다. 그러나 사용자가 정책을 인수하는 작업을 수행하는 경우 지정된 정책이 태그 지정 정책인 경우에만 작업이 허용됩니다. 사용자가 다른 유형의 정책을 지정하면 작업이 실패합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal - E nableAWSServiceAccess 또는 D isableAWSServiceAccess 작업을 사용하여 다른 AWS 서비스에 대한 신뢰할 수 있는 액세스를 활성화하거나 비활성화하는 경우 조건으로 사용할 수 있습니다. organizations:ServicePrincipal을 사용하여 승인된 서비스 보안 주체 이름의 목록에 대하여 이런 작업 요청을 제한할 수 있습니다.

예를 들어, 다음 정책은 사용자가 에서 신뢰할 수 있는 액세스를 활성화 및 비활성화할 AWS Firewall Manager 때만 를 지정할 수 있도록 허용합니다 AWS Organizations.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

관리 계정의 루트 계정 자격 증명을 사용하여 OU를 생성하는 경우, 관리 계정이 리소스 소유자가 됩니다. (에서 AWS Organizations리소스는 OU입니다).

관리 계정에서 IAM 사용자를 생성하고 해당 사용자에게 OU를 생성할 수 있는 권한을 부여하는 경우 사용자는 OU를 생성할 수 있습니다. 하지만 사용자가 속한 관리 계정이 OU 리소스를 소유합니다.

OU를 생성할 권한이 있는 관리 계정에서 IAM 역할을 생성하는 경우 역할을 수임할 수 있는 모든 사용자가 OU를 생성할 수 있습니다. 역할(역할을 담당하는 사용자가 아님)이 속하게 될 관리 계정이 OU 리소스를 소유합니다.

사용자 또는 계정의 그룹에 권한 정책 연결 - 서비스 제어 정책(SCP) 또는 OU와 같은 AWS Organizations 리소스를 생성할 수 있는 권한을 사용자에게 부여하려면 사용자 또는 사용자가 속한 그룹에 권한 정책을 연결할 수 있습니다. 사용자나 그룹은 조직의 관리 계정에 있어야 합니다.

권한 정책을 역할에 연결(계정 간 권한 부여) - 자격 증명 기반 권한 정책을 IAM 역할에 연결하여 조직에 교차 계정 액세스 권한을 부여할 수 있습니다. 예를 들어 관리 계정 관리자는 다음과 같이 멤버 계정 사용자에게 교차 계정 권한을 부여하는 역할을 만들 수 있습니다.

를 사용하여 권한을 위임IAM하는 방법에 대한 자세한 내용은 IAM 사용 설명서의 액세스 관리를 참조하세요.

AttachPolicy 및 DetachPolicy

CreateOrganizationalUnit 및 DeleteOrganizationalUnit

ListOrganizationalUnits 및 DescribeOrganizationalUnit

작업(Action) – 이 키워드를 사용하여 허용 또는 거부할 작업을 식별합니다. 예를 들어 지정된 에 따라 는 CreateAccount 작업을 수행할 수 있는 사용자 권한을 Effect organizations:CreateAccount 허용하거나 거부합니다 AWS Organizations . 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소: 작업을 참조하세요.

리소스 - 이 키워드를 사용하여 정책 문이 적용되는 리소스ARN의 를 지정합니다. 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소: 리소스를 참조하세요.

조건(Condition) – 이 키워드를 사용하여 정책 문이 적용되기 위해 충족해야 하는 조건을 지정합니다. Condition은 일반적으로 정책이 일치하려면 충족해야 하는 추가 상황을 지정합니다. 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소: 조건을 참조하세요.

효과(Effect) – 이 키워드를 사용하여 정책 문이 리소스에 대한 작업을 허용 또는 거부할지를 지정합니다. 명시적으로 리소스에 대한 액세스 권한을 부여(또는 허용)하지 않는다면, 액세스는 암시적으로 거부됩니다. 사용자가 특정 리소스에 대한 특정 작업을 수행하지 못하게 하도록, 다른 정책이 부여한 액세스를 포함한 리소스에 대한 액세스를 명시적으로 거부할 수도 있습니다. 자세한 내용은 IAM 사용 설명서의 IAM JSON 정책 요소: 효과를 참조하세요.

보안 주체 - 자격 증명 기반 정책(IAM 정책)에서 정책이 연결된 사용자는 자동으로 그리고 암시적으로 보안 주체가 됩니다. 리소스 기반 정책의 경우 권한을 받을 사용자, 계정, 서비스 또는 기타 엔터티를 지정합니다(리소스 기반 정책에만 적용). AWS Organizations 현재 는 리소스 기반 정책이 아닌 자격 증명 기반 정책만 지원합니다.