使用 AWS Organizations 管理组织的访问权限

构成组织层次结构的根和 OU

组织的成员账户

您附加到组织中实体的账户

用于更改组织状态的握手

aws:PrincipalOrgID – 简化在基于资源的策略中指定 Principal 元素的过程。此全局键提供了列出组织中的所有AWS 账户的所有账户 ID 的替代方法。您可以在 元素中指定组织 IDCondition，而不是列出作为组织成员的所有账户。

有关更多信息，请参阅《IAM 用户指南》中的AWS全局条件上下文键中对 PrincipalOrgID 的说明。

aws:PrincipalOrgPaths – 使用此条件键可以匹配特定组织根、OU 或其子项的成员。当发出请求的委托人（根用户、IAM 用户或角色）位于指定的组织路径中时，aws:PrincipalOrgPaths 条件键返回 true。路径是 AWS Organizations 实体结构的文本表示形式。有关路径的更多信息，请参阅《IAM 用户指南》中的了解 AWS Organizations 实体路径。有关使用此条件键的更多信息，请参阅《IAM 用户指南》中的 aws:PrincipalOrgPaths。

例如，以下条件元素匹配同一组织中两个 OU 之一的成员。

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType – 您可以使用此条件键限制与 Organizations 策略相关的 API 操作以仅处理指定类型的 Organizations 策略。您可以将此条件键应用于任何包含与 Organizations 策略交互的操作的策略语句。

可以将以下值与此条件键结合使用：

例如，以下示例策略允许用户执行任何 Organizations 操作。但是，如果用户执行采用策略参数的操作，则仅当指定的策略是标记策略时才允许该操作。如果用户指定任何其他类型的策略，则该操作将失败。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal – 如果您使用 EnableAWSServiceAccess 或 DisableAWSServiceAccess 操作来对其他AWS服务启用或禁用信任访问，则可用作条件。您可以使用 organizations:ServicePrincipal 来将这些操作发出的请求限制为已批准的服务委托人名称列表。

例如，下面的策略允许用户在启用和禁用对 AWS Organizations 的可信访问时仅指定 AWS Firewall Manager。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

如果您使用管理账户的根账户凭证创建 OU，您的管理账户即为该资源的拥有者。（在 AWS Organizations 中，该资源为 OU。）

如果您在管理账户中创建 IAM 用户并向其授予创建 OU 的权限，则该用户可以创建 OU。但是，管理账户（即该用户所属的账户）拥有 OU 资源。

如果您在管理账户中创建的 IAM 角色具有创建 OU 的权限，则能够代入该角色的任何人都可以创建 OU。管理账户（即该角色而非代入用户所属的账户）拥有 OU 资源。

将权限策略附加到您的账户中的用户或组 – 要向用户授予创建 AWS Organizations 资源（例如，服务控制策略 (SCP) 或 OU）的权限，您可以将权限策略附加到用户或用户所属的组。用户或组必须位于组织的管理账户中。

向角色附加权限策略（授予跨账户权限） – 您可以向 IAM 角色附加基于身份的权限策略以向组织授予跨账户访问权。例如，管理账户中的管理员可以创建一个角色来向成员账户中的用户授予跨账户权限，如下所示：

有关使用 IAM 委派权限的更多信息，请参阅《IAM 用户指南》中的访问权限管理。

AttachPolicy 和 DetachPolicy

CreateOrganizationalUnit 和 DeleteOrganizationalUnit

ListOrganizationalUnits 和 DescribeOrganizationalUnit

Action – 使用此关键字标识要允许或拒绝的操作。例如，根据指定的 Effect，organizations:CreateAccount 允许或拒绝执行 AWS Organizations CreateAccount 操作的用户权限。有关更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：操作。

Resource – 使用此关键字指定策略语句适用于的资源的 ARN。有关更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：资源。

Condition – 使用此关键字指定要应用策略语句必须满足的条件。Condition 通常指定为使策略匹配必须存在的额外情况。有关更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：条件。

Effect – 使用此关键字指定策略语句是允许还是拒绝对资源进行的操作。如果没有明确授予 (或允许) 对资源的访问权，则隐式拒绝访问。您也可以明确拒绝对资源的访问权，这样做可确保用户无法对指定资源执行指定操作，即使其他策略授予了访问权也是如此。有关更多信息，请参阅《IAM 用户指南》https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_effect.html中的 IAM JSON 策略元素：影响。

Principal – 在基于身份的策略 (IAM policy) 中，附加了策略的用户会自动成为隐式委托人。对于基于资源的策略，您可以指定要接收权限的用户、账户、服务或其他实体（仅适用于基于资源的策略）。AWS Organizations 目前仅支持基于身份的策略，而不是基于资源的策略。