View a markdown version of this page

Restrinja o acesso usando AWS Organizations políticas de controle de serviço - AWS Gerenciamento de contas

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Restrinja o acesso usando AWS Organizations políticas de controle de serviço

Essas informações são sobre como restringir o acesso usando políticas AWS Organizations de controle de serviço se você se inscreveu para AWS usar o Sign up for AWS (avançado) ou se tiver ativado recursos avançados para sua conta. Para comparar as opções de inscrição, consulteCompare as opções de inscrição.

Este tópico apresenta exemplos que mostram como você pode usar as políticas de controle de serviços (SCPs) no AWS Organizations para restringir o que os usuários e os perfis das contas da organização podem fazer. Para obter mais informações sobre políticas de controle de serviços, consulte os seguintes tópicos no AWS Organizations User Guide:

exemplo Exemplo 1: impedir que as contas modifiquem seus próprios contatos alternativos

O exemplo a seguir impede que as operações de API PutAlternateContact e DeleteAlternateContact sejam chamadas por qualquer conta-membro no modo de conta autônoma. Isso impede que qualquer entidade principal das contas afetadas altere seus próprios contatos alternativos.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Deny",
            "Action": [
                "account:PutAlternateContact",
                "account:DeleteAlternateContact"
            ],
            "Resource": [ "arn:aws:account::*:account" ]
        }
    ]
}
exemplo Exemplo 2: impedir que qualquer conta-membro modifique contatos alternativos para qualquer outra conta-membro da organização

O exemplo a seguir generaliza o elemento Resource como “*”, o que significa que ele se aplica tanto às solicitações do modo autônomo quanto às solicitações do modo organizações. Isso significa que até mesmo a conta de administrador delegado para o Gerenciamento de Contas, se a SCP se aplicar a ela, estará impedida de alterar qualquer contato alternativo para qualquer conta da organização.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Deny",
            "Action": [
                "account:PutAlternateContact",
                "account:DeleteAlternateContact"
            ],
            "Resource": [ "*" ]
        }
    ]
}
exemplo Exemplo 3: impedir que uma conta-membro de uma UO modifique seus próprios contatos alternativos

O exemplo de SCP a seguir inclui uma condição que compara o caminho da organização da conta com uma lista de duas UOs. Isso resulta no bloqueio de uma entidade principal em qualquer conta das UOs especificadas para modificar seus próprios contatos alternativos.