Quando usar AWS Organizations

Essas informações são sobre quando usar AWS Organizations se você se inscreveu para AWS usar o Sign up for AWS (avançado) ou se tiver ativado recursos avançados para sua conta. Para comparar as opções de inscrição, consulteCompare as opções de inscrição.

AWS Organizations é um AWS serviço que você pode usar para gerenciar seu Contas da AWS grupo. Isso fornece recursos, como faturamento consolidado, em que todas as faturas das contas são agrupadas e administradas por um pagante. Você também pode gerenciar de forma centralizada a segurança da organização usando controles baseados em políticas. Para obter mais informações sobre AWS Organizations, consulte o Guia AWS Organizations do usuário.

Acesso confiável

Quando você usa AWS Organizations para gerenciar suas contas como um grupo, a maioria das tarefas administrativas da organização pode ser executada somente pela conta de gerenciamento da organização. Por padrão, isso só inclui as operações relacionadas ao gerenciamento da própria organização. Você pode estender essa funcionalidade adicional para outros AWS serviços, permitindo o acesso confiável entre as organizações e esse serviço. O acesso confiável concede permissões ao AWS serviço especificado para acessar informações sobre a organização e as contas que ela contém. Quando você habilita o acesso confiável para o Gerenciamento de Contas, o serviço de Gerenciamento de Contas concede ao Organizations e à conta de gerenciamento dele permissões para acessar os metadados, como as informações de contato primário ou alternativo, de todas as contas-membro da organização.

Para obter mais informações, consulte Habilite o acesso confiável para AWS Gerenciamento de contas.

Administrador delegado

Depois de habilitar o acesso confiável, você também pode escolher designar uma de suas contas de membro como uma conta de administrador delegada para o gerenciamento de AWS contas. Isso permite que a conta de administrador delegado execute as mesmas tarefas de gerenciamento de metadados do Gerenciamento de Contas para as contas-membro na organização que, anteriormente, somente a conta de gerenciamento podia fazer. A conta de administrador delegado só pode acessar as tarefas de gerenciamento do serviço de Gerenciamento de Contas. A conta de administrador delegado não tem todo o acesso administrativo à organização que a conta de gerenciamento tem.

Para obter mais informações, consulte Habilitar uma conta de administrador delegada para AWS Gerenciamento de contas.

Políticas de controle de serviço

Quando você Conta da AWS faz parte de uma organização gerenciada por AWS Organizations, o administrador da organização pode aplicar políticas de controle de serviços (SCPs) que podem limitar o que os diretores nas contas dos membros podem fazer. Uma SCP nunca concede permissões; em vez disso, ela é um filtro que limita quais permissões podem ser usadas pela conta-membro. Um usuário ou perfil (uma entidade principal) de uma conta-membro só pode executar as operações que estão na interseção do que é permitido pelas SCPs que se aplicam à conta e pelas políticas de permissão do IAM anexadas à entidade principal. Por exemplo, você pode usar SCPs para impedir que qualquer entidade principal de uma conta modifique os contatos alternativos da própria conta.

Por exemplo, SCPs que se Contas da AWS aplicam a. Restrinja o acesso usando AWS Organizations políticas de controle de serviço