Gerenciar permissões de acesso para a organização da

A raiz e o OUs que compõem a estrutura hierárquica de uma organização

As contas que são membros da organização.

As políticas que você anexa às entidades da organização

Os handshakes que você usa para alterar o estado da organização

aws:PrincipalOrgID – Simplifica especificando o elemento Principal em uma política baseada em recursos. Essa chave global fornece uma alternativa para listar todas as contas IDs de todos Contas da AWS em uma organização. Em vez de listar todas as contas que são membros de uma organização, você pode especificar o ID da organização no elemento Condition.

Para obter mais informações, consulte a descrição das PrincipalOrgID chaves de contexto de condição AWS global no Guia IAM do usuário.

aws:PrincipalOrgPaths – Use essa chave de condição para corresponder membros de uma determinada raiz de organização, uma UO ou suas subordinadas. A chave de aws:PrincipalOrgPaths condição retorna verdadeira quando o principal (usuário raiz, IAM usuário ou função) que faz a solicitação está no caminho da organização especificado. Um caminho é uma representação em texto da estrutura de uma AWS Organizations entidade. Para obter mais informações sobre caminhos, consulte Compreender o caminho da AWS Organizations entidade no Guia IAM do usuário. Para obter mais informações sobre o uso dessa chave de condição, consulte aws: PrincipalOrgPaths no Guia IAM do usuário.

Por exemplo, o elemento de condição a seguir corresponde aos membros de qualquer um dos dois OUs na mesma organização.

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType— Você pode usar essa chave de condição para restringir as API operações relacionadas à política da Organizations para que funcionem somente nas políticas da Organizations do tipo especificado. É possível aplicar essa chave de condição a qualquer instrução de política que inclua uma ação que interaja com as políticas do Organizations.

Você pode usar os seguintes valores com essa chave de condição:

Por exemplo, a política do exemplo a seguir permite que o usuário execute qualquer operação do Organizations. No entanto, se o usuário executar uma operação que usa um argumento de política, a operação só será permitida se a política especificada for uma política de marcação. A operação falha se o usuário especificar qualquer outro tipo de política.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— Disponível como condição se você usar as operações E nableAWSService Access ou D isableAWSService Access para ativar ou desativar o acesso confiável com outros AWS serviços. Você pode usar o organizations:ServicePrincipal para restringir as solicitações feitas por essas operações para uma lista de nomes principais de serviços aprovados.

Por exemplo, a política a seguir permite que o usuário especifique somente AWS Firewall Manager ao ativar e desativar o acesso confiável com AWS Organizations.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

Se você usar as credenciais da conta-raiz da sua conta de gerenciamento para criar uma UO, sua conta de gerenciamento será a proprietária do recurso. (Em AWS Organizations, o recurso é a OU.)

Se você criar um IAM usuário em sua conta de gerenciamento e conceder permissões para criar uma OU para esse usuário, o usuário poderá criar uma OU. No entanto, a conta de gerenciamento à qual o usuário pertence é a proprietária do recurso da UO.

Se você criar uma IAM função em sua conta de gerenciamento com permissões para criar uma OU, qualquer pessoa que possa assumir a função poderá criar uma OU. A conta de gerenciamento, à qual pertence a função (não o usuário que assume a função), é a proprietária do recurso da UO.

Anexar uma política de permissões a um usuário ou grupo em sua conta — Para conceder a um usuário permissões para criar um AWS Organizations recurso, como uma política de controle de serviços (SCP) ou uma OU, você pode anexar uma política de permissões a um usuário ou grupo ao qual o usuário pertence. O usuário ou grupo deve estar na conta de gerenciamento da organização.

Anexar uma política de permissões a uma função (conceder permissões entre contas) — Você pode anexar uma política de permissões baseada em identidade a uma IAM função para conceder acesso entre contas a uma organização. Por exemplo, o administrador na conta de gerenciamento pode criar uma função para conceder permissões entre contas para um usuário da conta-membro, da seguinte forma:

Para obter mais informações sobre IAM como delegar permissões, consulte Gerenciamento de acesso no Guia do IAM usuário.

AttachPolicy e DetachPolicy

CreateOrganizationalUnit e DeleteOrganizationalUnit

ListOrganizationalUnits e DescribeOrganizationalUnit

Action (Ação) – Use essa palavra-chave para identificar as operações (ações) que deseja permitir ou negar. Por exemplo, dependendo do especificadoEffect, organizations:CreateAccount permite ou nega ao usuário permissões para realizar a AWS Organizations CreateAccount operação. Para obter mais informações, consulte Elementos da IAM JSON política: Ação no Guia IAM do Usuário.

Recurso — Use essa palavra-chave para especificar o ARN recurso ao qual a declaração de política se aplica. Para obter mais informações, consulte Elementos IAM JSON da política: Recurso no Guia IAM do Usuário.

Condition (Condição) – Use essa palavra-chave para especificar uma condição que deve ser atendida para que a instrução da política seja aplicável. Condition normalmente especifica circunstâncias adicionais que devem ser atendidas para que a política seja uma correspondência. Para obter mais informações, consulte elementos IAM JSON da política: Condição no Guia IAM do usuário.

Effect (Efeito) – Use essa palavra-chave para especificar se a instrução da política permite ou nega a ação no recurso. Se você não conceder (ou permitir) explicitamente o acesso a um recurso, o acesso estará implicitamente negado. Você também pode negar explicitamente acesso a um recurso, o que pode fazer para garantir que o usuário não execute a ação especificada no recurso especificado, mesmo se uma política diferente conceder acesso. Para obter mais informações, consulte Elementos IAM JSON da política: Efeito no Guia IAM do Usuário.

Principal — Nas políticas baseadas em identidade (IAMpolíticas), o usuário ao qual a política está vinculada é automática e implicitamente o principal. Para políticas baseadas em recursos, você especifica o usuário, a conta, o serviço ou outra entidade que deseja receber permissões (aplica-se somente às políticas baseadas em recursos). AWS Organizations atualmente suporta somente políticas baseadas em identidade, não políticas baseadas em recursos.