Amazon VPC IP 地址管理器 (IPAM) 和 AWS Organizations
Amazon VPC IP 地址管理器 (IPAM) 是一项 VPC 功能，可让您更轻松地计划、跟踪和监控 AWS 工作负载的 IP 地址。
使用 AWS Organizations 可以监控整个组织的 IP 地址使用情况，并在成员账户之间共享 IP 地址池。
有关更多信息，请参阅《Amazon VPC IPAM 用户指南》中的将 IPAM 与 AWS Organizations 集成。
使用以下信息可帮助您将 Amazon VPC IP 地址管理器（IPAM）与 AWS Organizations 集成。
启用集成时，创建了一个服务相关角色
当您通过 IPAM 控制台或者 IPAM 的 EnableIpamOrganizationAdminAccount API 将 IPAM 与 AWS Organizations 集成时，系统会在组织的管理账户和每个成员账户中自动创建以下服务相关角色。
-
AWSServiceRoleForIPAM
有关更多信息，请参阅《Amazon VPC IPAM 用户指南》中的 IPAM 的服务相关角色。
服务相关角色使用的服务委托人
上一部分中的服务相关角色只能由为角色定义的信任关系授权的服务委托人担任。IPAM 使用的服务相关角色将为以下服务主体授予访问权限：
-
ipam.amazonaws.com
启用 IPAM 可信访问权限
有关启用信任访问权限所需权限的信息，请参阅允许可信访问所需的权限。
注意
当您为 IPAM 指定委托管理员时，它会自动为您的组织启用 IPAM 可信访问权限。
IPAM 需要具有 AWS Organizations 的可信访问权限，然后您才能为您的组织将某个成员账户指定为此服务的委托管理员。
您只能使用 Amazon VPC IP 地址管理器（IPAM）工具启用可信访问权限。
如果您使用 IPAM 控制台或 IPAM EnableIpamOrganizationAdminAccount API 将 IPAM 与 AWS Organizations 集成，您将会自动授予对 IPAM 的可信访问权限。授予可信访问权限将会在组织的管理账户和所有成员账户中创建服务相关角色
AWSServiceRoleForIPAM。IPAM 使用服务相关角色来监控与组织中的 EC2 联网资源关联的 CIDR，并在 Amazon CloudWatch 中存储与 IPAM 相关的指标。有关更多信息，请参阅《Amazon VPC IPAM 用户指南》中的 IPAM 的服务相关角色。
有关启用可信访问权限的说明，请参阅《Amazon VPC IPAM 用户指南》中的将 IPAM 与 AWS Organizations 集成。
注意
您不能使用 AWS Organizations 控制台或 EnableAWSServiceAccess API 通过 IPAM 启用信任访问权限。
禁用 IPAM 可信访问权限
有关禁用信任访问所需权限的信息，请参阅禁止可信访问所需的权限。
只有 AWS Organizations 管理账户中的管理员可以使用 AWS Organizations disable-aws-service-access API 禁用 IPAM 可信访问权限。
有关禁用 IPAM 账户权限和删除服务相关角色的信息，请参阅《Amazon VPC IPAM 用户指南》中的 IPAM 的服务相关角色。
您可以通过运行 Organizations AWS CLI 命令，或者调用某个 AWS SDK 中的 Organizations API 操作来禁用信任访问权限。
为 IPAM 启用委托管理员账户
IPAM 的委托管理员账户负责创建 IPAM 和 IP 地址池、管理和监控组织中的 IP 地址使用情况，以及跨成员账户共享 IP 地址池。有关更多信息，请参阅《Amazon VPC IPAM 用户指南》中的将 IPAM 与 AWS Organizations 集成。
只有组织管理账户中的管理员才能为 IPAM 配置委托管理员。
您可以通过 IPAM 控制台或使用 enable-ipam-organization-admin-account API 指定委托管理员账户。有关更多信息，请参阅《AWS AWS CLI 命令参考》中的 enable-ipam-organization-admin-account。
最小权限
只有 Organizations 管理账户中的用户或角色能够将某个成员账户配置为组织的 IPAM 委托管理员。
要使用 IPAM 控制台配置委托管理员，请参阅《Amazon VPC IPAM 用户指南》中的将 IPAM 与 AWS Organizations 集成。
为 IPAM 禁用委托管理员
只有组织管理账户中的管理员才能为 IPAM 配置委托管理员。
要使用 AWS AWS CLI 删除委托管理员，请参阅《AWS AWS CLI 命令参考》中的 disable-ipam-organization-admin-account。
要使用 IPAM 控制台禁用 IPAM 委托管理员账户，请参阅《Amazon VPC IPAM 用户指南》中的将 IPAM 与 AWS Organizations 集成。
