Tutorial: criar e configurar uma organização

1. Faça login no AWS como administrador na conta 111111111111 e abra o console do AWS Organizations.

2. Na página de introdução, escolha Create an organization (Criar uma organização).

3. Na caixa de diálogo de confirmação, escolha Create Organization (Criar uma organização).

   nota

   Por padrão, a organização é criada com todos os recursos habilitados. Você também pode criar a organização apenas com recursos de faturamento consolidado habilitados.

   A AWS cria a organização e exibe a página Contas da AWS para você. Se você estiver em uma página diferente, escolha Contas da AWS no painel de navegação à esquerda.

   Se a conta que você usa nunca teve seu endereço de e-mail verificado pela AWS, um e-mail de verificação é enviado automaticamente para o endereço associado à sua conta de gerenciamento. Talvez haja um atraso até você receber o e-mail de verificação.

4. Verifique o endereço de e-mail em 24 horas. Para obter mais informações, consulte Verificação do endereço de e-mail com o AWS Organizations.

Para convidar uma conta existente para participar

1. Navegue até a página Contas da AWS e escolha Add an Conta da AWS (Adicionar uma Conta da AWS).

2. Na página Adicionar uma Conta da AWS), escolha Convidar uma Conta da AWS existente.

3. Na caixa Endereço de e-mail ou ID de uma Conta da AWS a ser convidada, insira o endereço de e-mail do proprietário da conta que você deseja convidar, de forma semelhante ao seguinte: member222@example.com. Alternativamente, se souber o número do ID da Conta da AWS, você pode inseri-lo em vez disso.

4. Digite o texto que você deseja na caixa Message to include in the invitation email message (Mensagem a ser incluída na mensagem de e-mail do convite). Esse texto é incluído no e-mail que é enviado para o proprietário da conta.

5. Escolha Send invitation (Enviar convite). A AWS Organizations envia o convite para o proprietário da conta.

   Importante

   Expanda a mensagem de erro, se indicado. Se o erro indicar que você excedeu os limites da sua conta para a organização ou que não é possível adicionar uma conta porque sua organização ainda está inicializando, aguarde até uma hora depois de criar a organização e tente novamente. Se o erro persistir, entre em contato com o AWS Support.

6. Para os fins deste tutorial, você agora precisa aceitar seu próprio convite. Execute uma das seguintes ações para acessar a página Convites no console:

   • Abra o e-mail enviado pela AWS da conta de gerenciamento e escolha o link para aceitar o convite. Quando solicitado a fazer login, faça isso como um administrador na conta-membro convidada.

   • Abra o console do AWS Organizations e navegue até a página de Invitations (Convites).

7. Na página Contas da AWS, escolha Accept (Aceitar) e depois Confirm (Confirmar).

   dica

   O recebimento do convite pode demorar e, talvez, você precise aguardar para aceitar o convite.

8. Saia da sua conta-membro e faça login novamente como um administrador na sua conta de gerenciamento.

Para criar uma conta-membro

1. No console do AWS Organizations, na página Contas da AWS, escolha Adicionar Conta da AWS.

2. Na página Adicionar umaConta da AWS, escolha Criar uma Conta da AWS.

3. Em Nome da Conta da AWS, insira um nome para a conta, por exemplo, MainApp Account.

4. Em Email address of the account's root user (Endereço de e-mail do usuário da conta-raiz), digite o endereço de e-mail da pessoa que deve receber comunicações em nome da conta. Esse valor deve ser exclusivo globalmente. Não é possível que duas contas tenham o mesmo endereço de e-mail. Por exemplo, convém usar algo como mainapp@example.com.

5. Para Nome da função do IAM, você pode deixar isso em branco para usar automaticamente o nome da função padrão do OrganizationAccountAccessRole ou você pode fornecer o seu próprio nome. Essa função permite acessar a nova conta-membro quando conectado como um usuário do IAM na conta de gerenciamento. Para este tutorial, deixe em branco para instruir o AWS Organizations a criar a função com o nome padrão.

6. Escolha CriarConta da AWS. Você pode precisar esperar um pouco e, ao mesmo tempo, atualizar a página para a nova conta aparecer na página Contas da AWS.

   Importante

   Se você receber um erro que indica que excedeu seus limites de conta para a organização ou que não pode adicionar uma conta porque sua organização ainda está inicializando, aguarde uma hora depois de criar a organização e tente novamente. Se o erro persistir, entre em contato com o AWS Support.

Para criar e preencher as UOs

1. No console do AWS Organizations navegue até a página Contas da AWS.

2. Escolha a caixa de seleção ao lado do contêiner Raiz.

3. Selecione o menu suspenso Ações, depois, em Unidade organizacional, escolha Criar nova.

4. Na página Create organizational unit in Root (Criar unidade organizacional na raiz), para o Create organizational unit in Root (Nome da unidade organizacional), insira Production e, depois, escolha Create organizational unit (Criar unidade organizacional).

5. Escolha a caixa de seleção ao lado da nova UO de Produção.

6. Selecione Actions (Ações), depois, em Organizational unit (Unidade organizacional), escolha Create new (Criar nova).

7. Na página Create organizational unit in Root (Criar unidade organizacional na raiz), para o nome da segunda UO, insira MainApp e, depois, escolha Create organizational unit (Criar unidade organizacional).

   Agora você pode mover suas contas-membro para essas UOs.

8. Retorne para a página Contas da AWS e expanda a árvore em sua UO Production (Produção) escolhendo o triângulo ao lado dela. Isso exibe a UO MainApp como subordinada de Produção.

9. Ao lado de 333333333333, marque a caixa de seleção (não o nome dela), escolha Actions (Ações) e, em Conta da AWS, escolha Move (Mover).

10. Na página Move Conta da AWS '333333333333' (Mover conta da AWS ‘333333333333’), escolha o triângulo ao lado de Production (Produção) para expandi-lo. Ao lado de MainApp, escolha o botão de rádio (não o nome dele), em seguida escolha Move Conta da AWS (Mover conta da AWS).

11. Ao lado de 222222222222, marque a caixa de seleção (não o nome dela), escolha Actions (Ações) e, em Conta da AWS, escolha Move (Mover).

12. Na página Move Conta da AWS ‘222222222222’ (Mover conta da AWS ‘222222222222’), ao lado de Production (Produção), escolha o botão de rádio (não o nome dele), em seguida escolha Move Conta da AWS (Mover conta da AWS).

Para habilitar SCPs para a organização

1. Navegue até a página Policies (Políticas) e escolha Service control policies (Políticas de controle de serviço).

2. Na página Service Control Policies (Políticas de controle de serviço), escolha Enable service control policies (Ativar políticas de controle de serviço).

   Um banner verde é exibido para informar que agora você pode criar SCPs em sua organização.

Para criar a primeira SCP que bloqueia as ações de configuração do CloudTrail

1. Navegue até a página Policies (Políticas) e escolha Service control policies (Políticas de controle de serviço).

2. Na página Service control policies (Políticas de controle de serviço), escolha Create policy (Criar política).

3. Em Nome da política, insira Block CloudTrail Configuration Actions.

4. Na seção Policy (Política), na lista de serviços à direita, selecione CloudTrail para o serviço. Depois escolha as seguintes ações: AddTags, CreateTrail, DeleteTrail, RemoveTags, StartLogging, StopLogging e UpdateTrail.

5. Ainda no painel direito, escolha Add resource (Adicionar recurso) e especifique CloudTrail e All Resources (Todos os recursos). Escolha Add resource (Adicionar recurso).

   A instrução de política à esquerda deve ser semelhante ao seguinte exemplo:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt1234567890123",
               "Effect": "Deny",
               "Action": [
                   "cloudtrail:AddTags",
                   "cloudtrail:CreateTrail",
                   "cloudtrail:DeleteTrail",
                   "cloudtrail:RemoveTags",
                   "cloudtrail:StartLogging",
                   "cloudtrail:StopLogging",
                   "cloudtrail:UpdateTrail"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }

6. Escolha Criar política.

Como criar a segunda política que permite serviços aprovados para a UO de produção

1. Na página Service control policies (Políticas de controle de serviço), escolha Create policy (Criar política).

2. Em Nome da política, insira Allow List for All Approved Services.

3. Posicione o cursor no painel à direita da seção Policy (Política) e cole uma política como a seguinte.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt1111111111111",
               "Effect": "Allow",
               "Action": [ 
                   "ec2:*",
                   "elasticloadbalancing:*",
                   "codecommit:*",
                   "cloudtrail:*",
                   "codedeploy:*"
                 ],
               "Resource": [ "*" ]
           }
       ]
   }

4. Escolha Criar política.

Como criar a terceira política que nega o acesso a serviços que não podem ser usados na UO MainApp

1. Na página Service control policies (Políticas de controle de serviço), escolha Create policy (Criar política).

2. Em Nome da política, insira Deny List for MainApp Prohibited Services.

3. Na seção Policy (Política) à esquerda, selecione Amazon DynamoDB para o serviço. Para a ação, escolha All actions (Todas as ações).

4. Ainda no painel esquerdo, selecione Add resource (Adicionar recurso) e especifique DynamoDB e All Resources (Todos os recursos). Escolha Add resource (Adicionar recurso).

   A instrução de política à direita é atualizada para ser semelhante ao seguinte.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [ "dynamodb:*" ],
         "Resource": [ "*" ]
       }
     ]
   }

5. Escolha Create policy (Criar política) para salvar a SCP.

Para anexar as políticas à raiz e às UOs

1. Navegue até o página Contas da AWS.

2. Na página Contas da AWS, escolha Root (Raiz) (seu nome, não o botão de opção) para navegar até a respectiva página de detalhes.

3. Na página de detalhes de Root (Raiz), a guia Policies (Políticas) e, em Service Control Policies (Políticas de controle de serviço), escolha Attach (Anexar).

4. Na página Attach a service control policy (Anexar política de controle de serviço), escolha o botão de seleção ao lado da SCP chamada Block CloudTrail Configuration Actions, depois, escolha Attach (Anexar). Neste tutorial, você anexa-a à raiz para que afete todas as contas-membro para impedir que alguém altere sua configuração do CloudTrail.

   Na página de detalhes de Raiz, a guia Policies (Políticas) agora mostra que duas SCPs estão anexadas à raiz: a que você acabou de anexar e a SCP padrão FullAWSAccess.

5. Navegue novamente para a página Contas da AWS e escolha a UO Production (Produção) (o nome, não o botão de opção) para navegar até a respectiva página de detalhes.

6. Na página de detalhes da UO Produção, escolha a guia Policies (Políticas).

7. Em Service Control Policies (Políticas de controle de serviço), escolha Attach (Anexar).

8. Na página Attach a service control policy (Anexar política de controle de serviço), escolha o botão de seleção ao lado de Allow List for All Approved Services, depois, escolha Attach (Anexar). Isso permite que os usuários ou funções das contas-membro na UO Produção acessem os serviços aprovados.

9. Escolha a guia Policies (Políticas) novamente para ver que duas SCPs estão anexadas à UO: a que você acabou de anexar e a SCP padrão FullAWSAccess. No entanto, como a SCP FullAWSAccess também é uma lista de autorização que permite todos os serviços e ações, você deve desvincular essa SCP para garantir que apenas os serviços aprovados sejam permitidos.

10. Para remover a política padrão da UO Produção, escolha o botão de opção para FullAWSAccess, escolha Detach (Desvincular) e, na caixa de diálogo de confirmação, escolha Detach policy (Desvincular política).

    Depois de remover essa política padrão, todas as contas-membro na UO Produção perdem imediatamente o acesso a todas as ações e os serviços que não estão na SCP de lista de permissões anexada na etapa anterior. Todas as solicitações para usar ações que não estão incluídas na SCP Allow List for All Approved Services (Lista de permissões para todos os serviços aprovados) são negadas. Isso é válido mesmo se um administrador de uma conta conceder acesso a outro serviço anexando uma política de permissões do IAM a um usuário em uma das contas-membro.

11. Agora você pode anexar a SCP chamada Deny List for MainApp Prohibited services para impedir que qualquer pessoa nas contas na UO do MainApp de usar quaisquer serviços restritos.

    Para fazer isso, navegue até a página Contas da AWS, escolha o ícone de triângulo para expandir a ramificação da UO Produção, depois, escolha a UO Production (Produção) e escolha MainApp (o nome, não o botão de opção) para navegar no respectivo conteúdo.

12. Na página de detalhes de MainApp, escolha a guia Policies (Políticas).

13. Em Service Control Policies (Políticas de controle de serviço), escolha Attach (Anexar) e, na lista de políticas disponíveis, escolha o botão de opção ao lado de Deny List for MainApp Prohibited Services (Lista de negação para serviços proibidos para MainApp), depois, escolha Attach policy (Anexar política).