管理您的 组织的访问权限

组织层次结构OUs的根源和构成组织层次结构的根源

组织的成员账户

您附加到组织中实体的账户

用于更改组织状态的握手

aws:PrincipalOrgID – 简化在基于资源的策略中指定 Principal 元素的过程。此全局密钥提供了一种替代方法，而不是列出组织 AWS 账户 中所有人的所有账户IDs。您可以在 元素中指定组织 IDCondition，而不是列出作为组织成员的所有账户。

有关更多信息，请参阅《IAM用户指南》PrincipalOrgID中对AWS 全局条件上下文键的描述。

aws:PrincipalOrgPaths – 使用此条件键可以匹配特定组织根、OU 或其子项的成员。当发出请求的委托人（root 用户、IAM用户或角色）位于指定的组织路径中时，aws:PrincipalOrgPaths条件键返回 true。路径是 AWS Organizations 实体结构的文本表示形式。有关路径的更多信息，请参阅《IAM用户指南》中的了解 AWS Organizations 实体路径。有关使用此条件键的更多信息，请参阅《IAM用户指南》PrincipalOrgPaths中的 a ws:。

例如，以下条件元素匹配同一组织OUs中两个成员中任一的成员。

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType— 您可以使用此条件键将 Organizations 策略相关的API操作限制为仅适用于指定类型的 Organizations 策略。您可以将此条件键应用于任何包含与 Organizations 策略交互的操作的策略语句。

可以将以下值与此条件键结合使用：

例如，以下示例策略允许用户执行任何 Organizations 操作。但是，如果用户执行采用策略参数的操作，则仅当指定的策略是标记策略时才允许该操作。如果用户指定任何其他类型的策略，则该操作将失败。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— 如果您使用 E A nableAWSService c cess 或 D isableAWSService Access 操作启用或禁用对其他 AWS 服务的可信访问，则可用作条件。您可以使用 organizations:ServicePrincipal 来将这些操作发出的请求限制为已批准的服务委托人名称列表。

例如，以下策略允许用户仅在启用和禁用可信访问 AWS Firewall Manager 时进行指定 AWS Organizations。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

如果您使用管理账户的根账户凭证创建 OU，您的管理账户即为该资源的拥有者。（在中 AWS Organizations，资源是 OU。）

如果您在管理账户中创建IAM用户并向该用户授予创建 OU 的权限，则该用户可以创建 OU。但是，管理账户（即该用户所属的账户）拥有 OU 资源。

如果您在管理账户中创建具有创建 OU 权限的IAM角色，则任何能够担任该角色的人都可以创建 OU。管理账户（即该角色而非代入用户所属的账户）拥有 OU 资源。

将@@ 权限策略附加到您账户中的用户或群组-要向用户授予创建 AWS Organizations 资源（例如服务控制策略 (SCP) 或 OU 的权限，您可以将权限策略附加到该用户或用户所属的群组。用户或组必须位于组织的管理账户中。

将@@ 权限策略附加到角色（授予跨账户权限）-您可以将基于身份的权限策略附加到IAM角色，以向组织授予跨账户访问权限。例如，管理账户中的管理员可以创建一个角色来向成员账户中的用户授予跨账户权限，如下所示：

有关使用委派权限IAM的更多信息，请参阅《IAM用户指南》中的访问管理。

AttachPolicy 和 DetachPolicy

CreateOrganizationalUnit 和 DeleteOrganizationalUnit

ListOrganizationalUnits 和 DescribeOrganizationalUnit

Action – 使用此关键字标识要允许或拒绝的操作。例如，根据指定的Effect，organizations:CreateAccount允许或拒绝用户执行 AWS Organizations CreateAccount操作的权限。有关更多信息，请参阅《IAM用户指南》中的IAMJSON策略元素：操作。

资源-使用此关键字ARN指定策略声明适用的资源。有关更多信息，请参阅《IAM用户指南》中的IAMJSON策略元素：资源。

Condition – 使用此关键字指定要应用策略语句必须满足的条件。Condition 通常指定为使策略匹配必须存在的额外情况。有关更多信息，请参阅《IAM用户指南》中的IAMJSON策略元素：条件。

Effect – 使用此关键字指定策略语句是允许还是拒绝对资源进行的操作。如果没有明确授予 (或允许) 对资源的访问权，则隐式拒绝访问。您也可以明确拒绝对资源的访问权，这样做可确保用户无法对指定资源执行指定操作，即使其他策略授予了访问权也是如此。有关更多信息，请参阅《IAM用户指南》中的IAMJSON策略元素：效果。

委托人 — 在基于身份的策略（IAM策略）中，策略所关联的用户自动且隐式地成为委托人。对于基于资源的策略，您可以指定要获得权限的用户、账户、服务或其他实体（仅适用于基于资源的策略）。 AWS Organizations 目前仅支持基于身份的策略，不支持基于资源的策略。