使用 AWS Organizations 为受邀账户创建 OrganizationAccountAccessRole

在成员账户中创建 AWS Organizations 管理员角色

1. 通过 https://console.aws.amazon.com/iam/ 登录到 IAM 控制台。您必须以 IAM 用户身份登录，担任 IAM 角色；或以成员账户中的根用户身份登录（不推荐）。用户或角色必须具有创建 IAM 角色和策略的权限。

2. 在 IAM 控制台中，导航至角色，然后选择创建角色。

3. 依次选择 AWS 账户，然后选择其他 AWS 账户。

4. 输入您希望向其授予管理员访问权限的管理账户的 12 位账户 ID 编号。在选项下，请注意以下方面：

   • 对于此角色，由于账户是公司的内部账户，因此，您不应选择 Require external ID (需要外部 ID)。有关外部 ID 选项的更多信息，请参阅《IAM 用户指南》中的我何时应使用外部 ID？。

   • 如果您启用了 MFA 并进行了配置，则可以选择要求使用 MFA 设备进行身份验证。有关 MFA 的更多信息，请参阅《IAM 用户指南》中的在 AWS 中使用多重身份验证（MFA）。

5. 选择下一步。

6. 在附加权限页面上，选择名为 AdministratorAccess 的 AWS 托管式策略，然后选择下一步。

7. 在命名、检查和创建页面上，指定一个角色名称和可选的描述。我们建议您使用 OrganizationAccountAccessRole，以便与分配给新账户中角色的默认名称保持一致。要提交您的更改，请选择 Create role (创建角色)。

8. 您的新角色将显示在可用角色列表上。选择新角色的名称以查看详细信息，特别注意提供的链接 URL。向成员账户中需要访问该角色的用户提供此 URL。此外，记下 Role ARN (角色 ARN)，因为您在步骤 15 中需要它。

9. 通过 https://console.aws.amazon.com/iam/ 登录到 IAM 控制台。此时，以管理账户中有权创建策略和将策略分配给用户或组的用户身份登录。

10. 导航到策略，然后选择创建策略。

11. 对于 Service，选择 STS。

12. 对于 Actions (操作)，在 Filter (筛选器) 框中开始键入 AssumeRole，然后在该角色显示后选中其旁边的复选框。

13. 选择资源，确保已选择特定，然后选择添加 ARN。

14. 输入AWS成员账户 ID 号，然后输入您之前在步骤 1–8 中创建的角色的名称。选择添加 ARN。

15. 如果您正授予在多个成员账户中代入该角色的权限，请为每个账户重复步骤 14 和 15。

16. 选择下一步。

17. 在检查并创建页面上，输入新策略的名称，然后选择创建策略以保存您的更改。

18. 导航窗格中选择用户组，然后选择要用于委派成员账户的管理权限的组的名称（不是复选框）。

19. 选择权限选项卡。

20. 选择添加策略，选择附加策略，然后选择您在步骤 11–18 中创建的策略。