IAM 資源

企業有許多集中式團隊 （例如雲端平台、安全操作或身分和存取管理團隊），這些團隊會劃分這些獨立控制的責任，並對彼此的政策進行對等審查。資料表中的範例為預留位置。您需要為企業確定最有效的職責分離。

若要使用 SCPs，您必須啟用 Word Organizations 中的所有功能。 AWS

通常需要常見的基準角色和政策才能啟用自動化，例如管道的許可、部署工具、監控工具 （例如 AWS Lambda 和 AWS Config 規則） 和其他許可。此組態通常會在佈建帳戶時傳送。

雖然這些與單一帳戶中的資源 （例如角色或政策） 相關，但可以使用 AWS CloudFormation Word StackSets複寫或部署到多個帳戶。

定義由中央團隊 （通常在帳戶佈建期間） 部署到所有成員帳戶的核心一組基準人工角色和政策。範例包括平台團隊的開發人員、IAM 團隊和安全稽核團隊。

盡可能使用身分聯合 （而非本機 IAM 使用者）。

授權界限由委派的管理員使用。此 IAM 政策會定義最大許可，並覆寫其他政策 （包括允許資源上所有動作“*:*”的政策）。基準人工政策中應該需要許可界限，作為建立角色 （例如工作負載效能角色） 和連接政策的條件。其他組態，例如 SCPs 強制連接許可界限。

這會假設已部署足夠的防護機制 （例如 SCPs 和許可界限）。

這些選用政策可在帳戶佈建期間交付，或作為應用程式開發程序的一部分交付。建立和連接這些政策的許可將受應用程式開發人員自己的許可所管理。

除了本機帳戶許可之外，集中式團隊 （例如雲端平台團隊或安全操作團隊） 通常會管理某些資源型政策，以允許跨帳戶存取以操作帳戶 （例如，提供 S3 儲存貯體的存取以供記錄）。

資源型 IAM 政策可以參考任何帳戶中的任何主體，以允許或拒絕對其資源的存取。它甚至可以參考匿名主體來啟用公有存取。