本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Organizations 和的服务控制策略示例 AWS RAM

AWS RAM 支持服务控制策略 (SCP)。SCP 是您附加到组织中元素的策略，用于对该组织内的权限进行管理。SCP 适用于您附加 SCP 的元素 AWS 账户 下的所有内容。SCP 为您组织中的所有账户提供对最大可用权限的集中控制。它们可以帮助您确保 AWS 账户 遵守组织的访问控制准则。有关更多信息，请参阅 AWS Organizations 用户指南中的服务控制策略。

先决条件

要使用 SCP，您必须先执行以下操作：

示例服务控制策略

以下示例展示如何能控制组织中资源共享的各个方面。

示例 1：阻止外部共享

以下 SCP 阻止用户创建允许与不属于共享用户所在组织的主体共享的资源共享。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ram:CreateResourceShare",
                "ram:UpdateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "ram:RequestedAllowsExternalPrincipals": "true"
                }
            }
        }
    ]
}

示例 2：阻止用户接受来自组织外部账户的资源共享邀请

以下 SCP 阻止受影响账户中的任何主体接受使用资源共享的邀请。共享给与共享账户所在组织中的其他账户的资源共享不会生成邀请，因此不受此 SCP 的影响。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ram:AcceptResourceShareInvitation",
            "Resource": "*"
        }
    ]
}

示例 3：允许特定账户共享特定资源类型

以下 SCP 仅 允许账户 111111111111 和 222222222222 创建共享 Amazon EC2 前缀列表的新资源共享，或将前缀列表与现有资源共享相关联。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ram:AssociateResourceShare",
                "ram:CreateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalAccount": [
                        "111111111111",
                        "222222222222"
                    ]
                },
                "StringEqualsIfExists": {
                    "ram:RequestedResourceType": "ec2:PrefixList"
                }
            }
        }
    ]
}

示例 4：阻止与整个组织或组织单位共享

以下 SCP 阻止用户创建与整个组织或任何组织单位共享资源的资源共享。用户可以与组织 AWS 账户 中的个人共享，也可以与 IAM 角色或用户共享。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ram:CreateResourceShare",
                "ram:AssociateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ram:Principal": [
                        "arn:aws:organizations::*:organization/*",
                        "arn:aws:organizations::*:ou/*"
                    ]
                }
            }
        }
    ]
}

示例 5：仅允许与特定主体共享

以下示例 SCP 允许用户仅 与组织 o-12345abcdef,、组织单位 ou-98765fedcba 和 AWS 账户 111111111111 共享资源。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ram:AssociateResourceShare",
        "ram:CreateResourceShare"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "ram:Principal": [
            "arn:aws:organizations::123456789012:organization/o-12345abcdef",
            "arn:aws:organizations::123456789012:ou/o-12345abcdef/ou-98765fedcba",
            "111111111111"
          ]
        },
        "Null": {
          "ram:Principal": "false"
        }
      }
    }
  ]
}