Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Mengelola akun anggota dengan AWS Organizations
*Akun anggota* adalah Akun AWS, selain akun manajemen, yang merupakan bagian dari organisasi.
Topik ini menjelaskan cara mengelola akun anggota dengan AWS Organizations.
**Topics**
+ [Praktik terbaik untuk akun anggota](orgs_best-practices_member-acct.md)
+ [Membuat akun anggota](orgs_manage_accounts_create.md)
+ [Mengakses akun anggota](orgs_manage_accounts_access.md)
+ [Tutup akun anggota](orgs_manage_accounts_close.md)
+ [Melindungi akun anggota dari penutupan](orgs_account_close_policy.md)
+ [Menghapus akun anggota](orgs_manage_accounts_remove.md)
+ [Meninggalkan organisasi dari akun anggota](orgs_manage_accounts_leave-as-member.md)
+ [Memperbarui nama akun untuk akun anggota](orgs_manage_accounts_update_name.md)
+ [Memperbarui email pengguna root email untuk akun anggota](orgs_manage_accounts_update_primary_email.md)
# Praktik terbaik untuk akun anggota
Ikuti rekomendasi ini untuk membantu melindungi keamanan akun anggota di organisasi Anda. Rekomendasi ini berasumsi bahwa Anda juga mematuhi[ Praktik terbaik menggunakan pengguna root saja untuk tugas-tugas yang benar-benar mensyaratkannya](https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-best-practices.html).
**Topics**
+ [Tentukan nama akun dan atribut](#bp_member-acct_define-acct)
+ [Skalakan lingkungan dan penggunaan akun Anda secara efisien](#bp_member-acct_efficiently-scale)
+ [Aktifkan manajemen akses root untuk menyederhanakan pengelolaan kredensi pengguna root untuk akun anggota](#bp_member-acct_root-access-management)
## Tentukan nama akun dan atribut
Untuk akun anggota Anda, gunakan struktur penamaan dan alamat email yang mencerminkan penggunaan akun. Misalnya, `Workloads+fooA+dev@domain.com` untuk`WorkloadsFooADev`, `Workloads+fooB+dev@domain.com` untuk`WorkloadsFooBDev`. Jika Anda memiliki tag khusus yang ditentukan untuk organisasi Anda, sebaiknya Anda menetapkan tag tersebut pada akun yang mencerminkan penggunaan akun, pusat biaya, lingkungan, dan proyek. Ini membuatnya lebih mudah untuk mengidentifikasi, mengatur, dan mencari akun.
## Skalakan lingkungan dan penggunaan akun Anda secara efisien
Saat Anda menskalakan, sebelum membuat akun baru, pastikan akun untuk kebutuhan serupa belum ada, untuk menghindari duplikasi yang tidak perlu. Akun AWS harus didasarkan pada persyaratan akses umum. Jika Anda berencana untuk menggunakan kembali akun, seperti akun sandbox atau yang setara, kami sarankan Anda membersihkan sumber daya atau beban kerja yang tidak dibutuhkan dari akun, tetapi menyimpan akun untuk penggunaan di masa mendatang.
Sebelum menutup akun, perhatikan bahwa mereka tunduk pada batas kuota penutupan akun. Untuk informasi selengkapnya, lihat [Kuota dan batas layanan untuk AWS Organizations](orgs_reference_limits.md). Pertimbangkan untuk menerapkan proses pembersihan untuk menggunakan kembali akun alih-alih menutupnya dan membuat yang baru jika memungkinkan. Dengan cara ini, Anda akan menghindari biaya yang timbul dari menjalankan sumber daya, dan mencapai batas [CloseAccount API](https://docs.aws.amazon.com/organizations/latest/APIReference/API_CloseAccount.html).
## Aktifkan manajemen akses root untuk menyederhanakan pengelolaan kredensi pengguna root untuk akun anggota
Kami menyarankan Anda mengaktifkan manajemen akses root untuk membantu Anda memantau dan menghapus kredensi pengguna root untuk akun anggota. Manajemen akses root mencegah pemulihan kredensil pengguna root, meningkatkan keamanan akun di organisasi Anda.
+ Hapus kredensi pengguna root untuk akun anggota untuk mencegah masuk ke pengguna root. Ini juga mencegah akun anggota dari pemulihan pengguna root.
+ Asumsikan sesi istimewa untuk melakukan tugas-tugas berikut pada akun anggota:
+ Hapus kebijakan bucket yang salah konfigurasi yang menolak semua prinsipal mengakses bucket Amazon S3.
+ Hapus kebijakan berbasis sumber daya Amazon Simple Queue Service yang menolak semua prinsipal mengakses antrian Amazon SQS.
+ Izinkan akun anggota memulihkan kredensi pengguna root mereka. Orang yang memiliki akses ke email pengguna root kotak masuk untuk akun anggota dapat mengatur ulang kata sandi pengguna root dan masuk sebagai pengguna root akun anggota.
Setelah manajemen akses root diaktifkan, akun anggota yang baru dibuat secure-by-default, tidak memiliki kredensi pengguna root, yang menghilangkan kebutuhan akan keamanan tambahan, seperti MFA setelah penyediaan.
*Untuk informasi selengkapnya, lihat [Memusatkan kredensi pengguna root untuk akun anggota](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#id_root-user-access-management) di Panduan Pengguna.AWS Identity and Access Management *
### Gunakan SCP untuk membatasi apa yang dapat dilakukan pengguna root di akun anggota Anda
Kami merekomendasikan bahwa Anda membuat kebijakan kontrol layanan (SCP) dalam organisasi dan melampirkannya ke root organisasi sehingga berlaku untuk semua akun anggota. Untuk informasi selengkapnya, lihat [Mengamankan kredensi pengguna root akun Organizations Anda](https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-best-practices.html#ru-bp-organizations).
Anda dapat menolak semua tindakan root kecuali tindakan root saja tertentu yang harus Anda lakukan di akun anggota Anda. Misalnya, SCP berikut mencegah pengguna root di akun anggota mana pun melakukan panggilan API AWS layanan apa pun kecuali “Memperbarui kebijakan bucket S3 yang salah dikonfigurasi dan menolak akses ke semua prinsipal” (salah satu tindakan yang memerlukan kredensi root). Untuk informasi selengkapnya, lihat [Tugas yang memerlukan kredensi pengguna root di Panduan Pengguna](https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-tasks.html) *IAM*.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"NotAction":[
"s3:GetBucketPolicy",
"s3:PutBucketPolicy",
"s3:DeleteBucketPolicy"
],
"Resource": "*",
"Condition": {
"ArnLike": { "aws:PrincipalArn": "arn:aws:iam::*:root" }
}
}
]
}
```
------
Dalam sebagian besar keadaan, tugas administratif apa pun dapat dilakukan oleh peran AWS Identity and Access Management (IAM) di akun anggota yang memiliki izin administrator yang relevan. Setiap peran tersebut harus memiliki kontrol yang sesuai diterapkan untuk membatasi, mencatat, dan memantau aktivitas.
# Membuat akun anggota di organisasi dengan AWS Organizations
Topik ini menjelaskan cara membuat Akun AWS dalam organisasi Anda di AWS Organizations. Untuk informasi tentang membuat single Akun AWS, lihat [Pusat Sumber Daya Memulai](https://aws.amazon.com/getting-started/).
## Pertimbangan sebelum membuat akun anggota
**Organizations secara otomatis membuat peran IAM `OrganizationAccountAccessRole` untuk akun anggota**
Saat Anda membuat akun anggota di organisasi Anda, Organizations secara otomatis membuat peran IAM `OrganizationAccountAccessRole` di akun anggota yang memungkinkan pengguna dan peran dalam akun manajemen untuk melakukan kontrol administratif penuh atas akun anggota. Setiap akun tambahan yang dilampirkan pada kebijakan terkelola yang sama akan diperbarui secara otomatis setiap kali kebijakan diperbarui. Peran ini tunduk pada [kebijakan kontrol layanan apa pun (SCPs)](orgs_manage_policies_scps.md) yang berlaku untuk akun anggota.
**Organizations secara otomatis membuat peran terkait layanan `AWSServiceRoleForOrganizations` untuk akun anggota**
Saat Anda membuat akun anggota di organisasi Anda, Organizations secara otomatis membuat peran terkait layanan `AWSServiceRoleForOrganizations` di akun anggota yang memungkinkan integrasi dengan layanan tertentu AWS . Anda harus mengkonfigurasi layanan lain untuk memungkinkan integrasi. Untuk informasi selengkapnya, lihat [AWS Organizations dan peran terkait layanan](orgs_integrate_services.md#orgs_integrate_services-using_slrs).
**Akun anggota hanya dapat dibuat di root organisasi**
Akun anggota dalam suatu organisasi hanya dapat dibuat di akar organisasi. Setelah Anda membuat root akun anggota organisasi, Anda dapat memindahkannya di antara OUs. Untuk informasi selengkapnya, lihat [Memindahkan akun ke unit organisasi (OU) atau antara root dan OUs dengan AWS Organizations](move_account_to_ou.md).
**Kebijakan yang dilampirkan ke root segera berlaku**
Jika Anda memiliki kebijakan yang dilampirkan ke root, kebijakan tersebut segera berlaku untuk semua pengguna dan peran di akun yang dibuat.
Jika Anda telah [mengaktifkan kepercayaan layanan untuk AWS layanan lain](orgs_integrate_services_list.md) untuk organisasi Anda, layanan tepercaya tersebut dapat membuat peran terkait layanan atau melakukan tindakan di akun anggota mana pun di organisasi, termasuk akun yang Anda buat.
**Akun anggota harus ikut serta untuk menerima email pemasaran**
Akun anggota yang Anda buat sebagai bagian dari organisasi tidak secara otomatis berlangganan email AWS pemasaran. Untuk mengikutsertakan akun Anda sehingga menerima email pemasaran, lihat [https://pages.awscloud.com/communication-preferences](https://pages.awscloud.com/communication-preferences).
**Akun anggota untuk organisasi yang dikelola oleh AWS Control Tower harus dibuat di AWS Control Tower**
Jika organisasi Anda dikelola oleh AWS Control Tower, kami sarankan Anda membuat akun anggota menggunakan pabrik AWS Control Tower akun di AWS Control Tower konsol atau menggunakan AWS Control Tower APIs.
Jika Anda membuat akun anggota di Organizations saat organisasi dikelola AWS Control Tower, akun tersebut tidak akan terdaftar. AWS Control Tower Untuk informasi lebih lanjut, lihat [Mengacu pada Sumber Daya di luar AWS Control Tower](https://docs.aws.amazon.com/controltower/latest/userguide/external-resources.html#ungoverned-resources) di *Panduan Pengguna AWS Control Tower *.
## Buat sebuah akun anggota
Setelah masuk ke akun manajemen organisasi, Anda dapat membuat akun anggota yang merupakan bagian dari organisasi Anda.
Saat Anda membuat akun menggunakan prosedur berikut, AWS Organizations secara otomatis menyalin informasi **kontak utama** berikut dari akun manajemen ke akun anggota baru:
+ nomor telepon
+ Nama perusahaan
+ URL Situs Web
+ Alamat
Organizations juga menyalin bahasa komunikasi dan informasi Marketplace (vendor akun di beberapa Wilayah AWS) dari akun manajemen.
**Izin minimum**
Untuk membuat akun anggota di organisasi Anda, Anda harus memiliki izin berikut:
`organizations:DescribeOrganization` — hanya diperlukan saat menggunakan konsol Organizations
`organizations:CreateAccount`
### Konsol Manajemen AWS
**Untuk membuat Akun AWS yang secara otomatis menjadi bagian dari organisasi Anda**
1. Masuk ke [konsol AWS Organizations](https://console.aws.amazon.com/organizations/v2). Anda harus masuk sebagai pengguna IAM, mengambil IAM role, atau masuk sebagai pengguna root ([tidak direkomendasikan](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#lock-away-credentials)) di akun pengelolaan organisasi.
1. Pada halaman **[Akun AWS](https://console.aws.amazon.com/organizations/v2/home/accounts)**, pilih **Tambahkan Akun AWS**.
1. Pada halaman **[Tambahkan Akun AWS](https://console.aws.amazon.com/organizations/v2/home/accounts/add/create)**, pilih **Buat Akun AWS** (dipilih secara default).
1. Pada halaman **[Buat Akun AWS](https://console.aws.amazon.com/organizations/v2/home/accounts/add/create)**, untuk **nama Akun AWS **, masukkan nama yang ingin Anda tetapkan untuk akun. Nama ini membantu Anda membedakan akun tersebut dari semua akun lain dalam organisasi dan terpisah dari IAM alias atau nama email pemilik.
1. Untuk **Alamat email pemilik akun**, masukkan alamat email pemilik akun. Alamat email ini belum dapat dikaitkan dengan yang lain Akun AWS karena menjadi kredensi nama pengguna untuk pengguna root akun.
1. (Opsional) Tentukan nama yang akan ditetapkan ke IAM role yang dibuat secara otomatis di akun baru. Peran ini memberikan akun pengelolaan organisasi izin untuk mengakses akun anggota yang baru dibuat. Jika Anda tidak menentukan nama, AWS Organizations berikan peran nama default`OrganizationAccountAccessRole`. Kami sarankan Anda menggunakan nama default di semua akun Anda agar konsisten.
**penting**
Ingat nama peran ini. Anda memerlukannya nanti untuk memberikan akses ke akun baru untuk pengguna dan peran di akun manajemen.
1. (Opsional) Di bagian **Tag**, tambahkan satu atau beberapa tag ke akun baru dengan memilih **Tambahkan tag** lalu masukkan kunci dan nilai opsional. Membiarkan nilai kosong akan mengaturnya menjadi string kosong; itu bukan `null`. Anda dapat melampirkan hingga 50 tag ke akun.
1. Pilih **Buat Akun AWS**.
+ Jika Anda mendapatkan kesalahan yang menunjukkan bahwa Anda melampaui kuota akun untuk organisasi, lihat [Saya menerima pesan "kuota terlampaui" saat mencoba menambahkan akun ke organisasi saya](orgs_troubleshoot.md#troubleshoot_general_error-adding-account).
+ Jika Anda mengalami kesalahan yang menunjukkan bahwa Anda tidak dapat menambahkan akun karena organisasi Anda masih menginisialisasi, tunggu satu jam dan coba lagi.
+ Anda juga dapat memeriksa AWS CloudTrail log untuk informasi tentang apakah pembuatan akun berhasil. Untuk informasi selengkapnya, lihat [Penebangan dan pemantauan di AWS Organizations](orgs_security_incident-response.md).
+ Jika kesalahan berlanjut, kontak [AWS Dukungan](https://console.aws.amazon.com/support/home#/).
Halaman **[Akun AWS](https://console.aws.amazon.com/organizations/v2/home/accounts)** akan muncul, dengan akun baru Anda ditambahkan ke daftar.
1. Setelah akun ada dan memiliki IAM role yang memberikan akses administrator ke pengguna di akun pengelolaan, Anda dapat mengakses akun dengan mengikuti langkah-langkah dalam [Mengakses akun anggota dalam organisasi dengan AWS Organizations](orgs_manage_accounts_access.md).
### AWS CLI & AWS SDKs
Contoh kode berikut menunjukkan cara menggunakan`CreateAccount`.
------
#### [ .NET ]
**SDK untuk .NET**
Ada lebih banyak tentang GitHub. Temukan contoh lengkapnya dan pelajari cara mengatur dan menjalankannya di [Repositori Contoh Kode AWS](https://github.com/awsdocs/aws-doc-sdk-examples/tree/main/dotnetv3/Organizations#code-examples).
```
using System;
using System.Threading.Tasks;
using Amazon.Organizations;
using Amazon.Organizations.Model;
///
/// Creates a new AWS Organizations account.
///
public class CreateAccount
{
///
/// Initializes an Organizations client object and uses it to create
/// the new account with the name specified in accountName.
///
public static async Task Main()
{
IAmazonOrganizations client = new AmazonOrganizationsClient();
var accountName = "ExampleAccount";
var email = "someone@example.com";
var request = new CreateAccountRequest
{
AccountName = accountName,
Email = email,
};
var response = await client.CreateAccountAsync(request);
var status = response.CreateAccountStatus;
Console.WriteLine($"The staus of {status.AccountName} is {status.State}.");
}
}
```
+ Untuk detail API, lihat [CreateAccount](https://docs.aws.amazon.com/goto/DotNetSDKV3/organizations-2016-11-28/CreateAccount)di *Referensi AWS SDK untuk .NET API*.
------
#### [ CLI ]
**AWS CLI**
**Untuk membuat akun anggota yang secara otomatis menjadi bagian dari organisasi**
Contoh berikut menunjukkan cara membuat akun anggota dalam suatu organisasi. Akun anggota dikonfigurasi dengan nama Akun Produksi dan alamat email susan@example.com. Organizations secara otomatis membuat peran IAM menggunakan nama default OrganizationAccountAccessRole karena parameter RoleName tidak ditentukan. Selain itu, pengaturan yang memungkinkan pengguna IAM atau peran dengan izin yang cukup untuk mengakses data penagihan akun diatur ke nilai default ALLOW karena IamUserAccessToBilling parameter tidak ditentukan. Organizations secara otomatis mengirimkan email “Selamat Datang di AWS” kepada Susan:
```
aws organizations create-account --email susan@example.com --account-name "Production Account"
```
Outputnya mencakup objek permintaan yang menunjukkan bahwa statusnya sekarang`IN_PROGRESS`:
```
{
"CreateAccountStatus": {
"State": "IN_PROGRESS",
"Id": "car-examplecreateaccountrequestid111"
}
}
```
Anda nantinya dapat menanyakan status permintaan saat ini dengan memberikan nilai respons Id ke describe-create-account-status perintah sebagai nilai untuk create-account-request-id parameter.
Untuk informasi selengkapnya, lihat Membuat AWS Akun di Organisasi Anda di *Panduan Pengguna AWS Organizations*.
+ Untuk detail API, lihat [CreateAccount](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/organizations/create-account.html)di *Referensi AWS CLI Perintah*.
------
# Mengakses akun anggota dalam organisasi dengan AWS Organizations
Saat Anda membuat akun di organisasi, selain pengguna root,AWS Organizations secara otomatis membuat IAM role yang secara default diberi nama `OrganizationAccountAccessRole`. Anda dapat menentukan nama yang berbeda saat Anda membuatnya, namun kami menyarankan Anda menamainya secara konsisten di semua akun Anda. AWS Organizations tidak membuat pengguna atau peran lain.
Untuk mengakses akun di organisasi Anda, Anda harus menggunakan salah satu metode berikut:
**Izin minimum**
Untuk mengakses Akun AWS dari akun lain di organisasi Anda, Anda harus memiliki izin berikut:
`sts:AssumeRole` — Elemen `Resource` harus diatur ke tanda bintang (\$1) atau nomor ID akun dengan pengguna yang perlu mengakses akun anggota baru
------
#### [ Using the root user (Not recommended for everyday tasks) ]
Saat Anda membuat akun anggota baru di organisasi Anda, akun tersebut tidak memiliki kredensi pengguna root secara default. Akun anggota tidak dapat masuk ke pengguna root mereka atau melakukan pemulihan kata sandi untuk pengguna root mereka kecuali pemulihan akun diaktifkan.
Anda dapat [memusatkan akses root untuk akun anggota untuk](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-enable-root-access.html) menghapus kredensi pengguna root untuk akun anggota yang ada di organisasi Anda. Menghapus kredensi pengguna root menghapus kata sandi pengguna root, kunci akses, menandatangani sertifikat, dan menonaktifkan otentikasi multi-faktor (MFA). Akun anggota ini tidak memiliki kredensi pengguna root, tidak dapat masuk sebagai pengguna root, dan dicegah memulihkan kata sandi pengguna root. Akun baru yang Anda buat di Organizations tidak memiliki kredensi pengguna root secara default.
Hubungi administrator Anda jika Anda perlu melakukan tugas yang memerlukan kredensi pengguna root pada akun anggota di mana kredensi pengguna root tidak ada.
Untuk mengakses akun anggota Anda sebagai pengguna root, Anda harus melalui proses pemulihan kata sandi. Untuk informasi selengkapnya, lihat [Saya lupa kata sandi pengguna root untuk saya Akun AWS](https://docs.aws.amazon.com/signin/latest/userguide/troubleshooting-sign-in-issues.html#troubleshoot-forgot-root-password) di *Panduan Pengguna AWS Masuk*.
Jika Anda harus mengakses akun anggota menggunakan pengguna root, ikuti praktik terbaik berikut:
+ Jangan gunakan pengguna root untuk mengakses akun Anda kecuali untuk membuat pengguna dan peran lain dengan izin yang lebih terbatas. Setelah itu, masuk sebagai salah satu pengguna atau peran tersebut.
+ [Aktifkan otentikasi multi-faktor (MFA) pada pengguna root](https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-best-practices.html#ru-bp-mfa). Setel ulang kata sandi, dan [tetapkan perangkat MFA ke pengguna akar](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_enable.html).
Untuk daftar lengkap tugas yang mengharuskan Anda masuk sebagai pengguna root, lihat [Tugas yang memerlukan kredensial pengguna root](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) dalam *Panduan Pengguna IAM*. Untuk rekomendasi keamanan pengguna root tambahan, lihat [Praktik terbaik pengguna Root untuk Anda Akun AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-best-practices.html) di *Panduan Pengguna IAM*.
------
#### [ Using trusted access for IAM Identity Center ]
Gunakan [AWS IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)dan aktifkan akses tepercaya untuk IAM Identity Center dengan AWS Organizations. Hal ini memungkinkan pengguna untuk masuk ke portal AWS akses dengan kredensi perusahaan mereka dan mengakses sumber daya di akun manajemen atau akun anggota yang ditugaskan.
Untuk informasi selengkapnya, lihat [Izin multi-akun](https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-accounts.html) di *AWS IAM Identity Center Panduan Pengguna*. Untuk informasi tentang menyiapkan akses tepercaya untuk Pusat Identitas IAM, lihat[AWS IAM Identity Center dan AWS Organizations](services-that-can-integrate-sso.md).
------
#### [ Using the IAM role OrganizationAccountAccessRole ]
Jika Anda membuat akun dengan menggunakan alat yang disediakan sebagai bagian dari AWS Organizations, Anda dapat mengakses akun dengan menggunakan nama peran yang telah dikonfigurasi sebelumnya `OrganizationAccountAccessRole` yang ada di semua akun baru yang Anda buat dengan cara ini. Untuk informasi selengkapnya, lihat [Mengakses akun anggota yang memiliki OrganizationAccountAccessRole AWS Organizations](orgs_manage_accounts_access-cross-account-role.md).
Jika Anda mengundang akun yang ada untuk bergabung dengan organisasi Anda dan akun tersebut menerima undangan, Anda kemudian dapat memilih untuk membuat IAM role yang memungkinkan akun pengelolaan mengakses akun anggota yang diundang. Peran ini dimaksudkan agar identik dengan peran yang ditambahkan secara otomatis ke akun yang dibuat dengan AWS Organizations.
Untuk membuat peran ini, lihat [Membuat OrganizationAccountAccessRole akun yang diundang dengan AWS Organizations](orgs_manage_accounts_create-cross-account-role.md).
Setelah membuat peran, Anda dapat mengaksesnya menggunakan langkah-langkah di [Mengakses akun anggota yang memiliki OrganizationAccountAccessRole AWS Organizations](orgs_manage_accounts_access-cross-account-role.md).
------
**Topics**
+ [Membuat peran akses IAM](orgs_manage_accounts_create-cross-account-role.md)
+ [Menggunakan peran akses IAM](orgs_manage_accounts_access-cross-account-role.md)
# Membuat OrganizationAccountAccessRole akun yang diundang dengan AWS Organizations
Secara default, jika Anda membuat akun anggota sebagai bagian dari organisasi, AWS secara otomatis membuat peran dalam akun yang memberikan izin administrator untuk pengguna IAM di akun pengelolaan yang dapat mengambil peran tersebut. Secara default, peran diberi nama `OrganizationAccountAccessRole`. Untuk informasi lebih lanjut, lihat [Mengakses akun anggota yang memiliki OrganizationAccountAccessRole AWS Organizations](orgs_manage_accounts_access-cross-account-role.md).
Namun, akun anggota yang Anda *undang* untuk bergabung dengan organisasi Anda ***tidak*** secara otomatis mendapatkan peran administrator yang dibuat. Anda harus melakukannya secara manual, seperti yang ditunjukkan dalam prosedur berikut. Hal ini pada dasarnya menduplikasi peran secara otomatis yang disiapkan untuk akun yang dibuat. Kami menyarankan agar Anda menggunakan nama yang sama, `OrganizationAccountAccessRole`, untuk peran Anda yang dibuat secara manual untuk konsistensi dan kemudahan mengingatnya.
------
#### [ Konsol Manajemen AWS ]
**Untuk membuat peran AWS Organizations administrator di akun anggota**
1. Masuk ke konsol IAM di [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). Anda harus masuk sebagai pengguna IAM, mengambil IAM role, atau masuk sebagai pengguna akar ([tidak disarankan](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#lock-away-credentials)) di akun anggota. Pengguna atau peran harus memiliki izin untuk membuat peran dan kebijakan IAM.
1. Di konsol IAM, navigasikan ke **Peran** dan kemudian pilih **Buat peran**.
1. Pilih **Akun AWS**, lalu pilih **Lainnya Akun AWS**.
1. Masukkan 12 digit nomor ID akun dari akun manajemen yang ingin Anda berikan akses administrator. Di bawah **Opsi**, harap perhatikan hal berikut:
+ Untuk peran ini, karena akun adalah internal perusahaan Anda, maka Anda harus **tidak** memilih **Minta ID eksternal**. Untuk informasi selengkapnya tentang opsi ID eksternal, lihat [Kapan saya harus menggunakan ID eksternal?](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user_externalid.html#external-id-use) di *Panduan Pengguna IAM*.
+ Jika Anda telah mengaktifkan dan mengonfigurasi MFA, maka Anda dapat memilih untuk meminta autentikasi menggunakan perangkat MFA. *Untuk informasi selengkapnya tentang MFA, lihat [Menggunakan otentikasi multi-faktor (MFA) AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html) di Panduan Pengguna IAM.*
1. Pilih **Berikutnya**.
1. Pada halaman **Tambahkan izin**, pilih kebijakan AWS terkelola bernama, `AdministratorAccess` lalu pilih **Berikutnya**.
1. Pada halaman **Nama, tinjau, dan buat**, tentukan nama peran dan deskripsi opsional. Kami menyarankan agar Anda menggunakan `OrganizationAccountAccessRole`, agar konsisten dengan nama default yang ditetapkan ke peran di akun baru. Untuk melakukan perubahan Anda, pilih **Buat peran**.
1. Peran baru Anda akan muncul di daftar peran yang tersedia. Pilih nama peran baru untuk melihat detailnya, perhatikan dengan baik URL tautan yang disediakan. Berikan URL ini kepada pengguna di akun anggota yang perlu mengakses peran tersebut. Perhatikan juga **ARN Peran** karena Anda akan membutuhkannya di langkah 15.
1. Masuk ke konsol IAM di [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). Kali ini, masuk sebagai pengguna di akun pengelolaan yang memiliki izin untuk membuat kebijakan dan menetapkan kebijakan untuk pengguna atau grup.
1. Arahkan ke **Kebijakan**, lalu pilih **Buat kebijakan**.
1. Untuk **Layanan**, pilih **STS**.
1. Untuk **Tindakan**, mulai ketik **AssumeRole** di **Filter** dan pilih kotak centang di sampingnya saat muncul.
1. Di bawah **Sumber Daya**, pastikan **Spesifik** dipilih dan kemudian pilih **Tambah ARNs**.
1. Masukkan nomor ID akun AWS anggota lalu masukkan nama peran yang sebelumnya Anda buat di langkah 1—8. Pilih **Tambahkan ARNs**.
1. Jika Anda memberikan izin untuk mengambil peran di beberapa akun anggota, ulangi langkah 14 dan 15 untuk setiap akun.
1. Pilih **Berikutnya**.
1. Pada halaman **Tinjau dan buat**, masukkan nama untuk kebijakan baru, lalu pilih **Buat kebijakan** untuk menyimpan perubahan Anda.
1. Pilih **Grup pengguna** di panel navigasi lalu pilih nama grup (bukan kotak centang) yang ingin Anda gunakan untuk mendelegasikan administrasi akun anggota.
1. Pilih tab **Izin**.
1. Pilih **Tambahkan izin**, pilih **Lampirkan kebijakan**, lalu pilih kebijakan yang Anda buat di langkah 11—18.
------
Pengguna yang menjadi anggota grup yang dipilih sekarang dapat menggunakan URLs yang Anda ambil di langkah 9 untuk mengakses peran setiap akun anggota. Mereka dapat mengakses akun anggota ini dengan cara yang sama seperti jika mengakses akun yang Anda buat di organisasi. Untuk informasi selengkapnya tentang penggunaan peran untuk mengelola akun anggota, lihat [Mengakses akun anggota yang memiliki OrganizationAccountAccessRole AWS Organizations](orgs_manage_accounts_access-cross-account-role.md).
# Mengakses akun anggota yang memiliki OrganizationAccountAccessRole AWS Organizations
Saat Anda membuat akun anggota menggunakan AWS Organizations konsol, AWS Organizations *secara otomatis* membuat peran IAM yang disebutkan `OrganizationAccountAccessRole` di akun. Peran ini memiliki izin administratif penuh di akun anggota. Ruang lingkup akses untuk peran ini mencakup semua prinsip dalam akun manajemen, sehingga peran tersebut dikonfigurasi untuk memberikan akses ke akun manajemen organisasi.
Anda dapat membuat peran yang sama untuk akun anggota yang diundang dengan mengikuti langkah-langkah di [Membuat OrganizationAccountAccessRole akun yang diundang dengan AWS Organizations](orgs_manage_accounts_create-cross-account-role.md).
Untuk menggunakan peran ini untuk mengakses akun anggota, Anda harus masuk sebagai pengguna dari akun pengelolaan yang memiliki izin untuk mengambil peran tersebut. Untuk mengkonfigurasi izin ini, lakukan prosedur berikut. Kami merekomendasikan agar Anda memberikan izin ke grup bukan pengguna untuk kemudahan pemeliharaan.
------
#### [ Konsol Manajemen AWS ]
**Untuk memberikan izin kepada anggota grup IAM di akun pengelolaan untuk mengakses peran**
1. Masuk ke konsol IAM di [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)sebagai pengguna dengan izin administrator di akun manajemen. Hal ini diperlukan untuk mendelegasikan izin ke grup IAM pengguna yang akan mengakses peran dalam akun anggota itu.
1. Mulailah dengan membuat kebijakan terkelola yang Anda butuhkan nanti di [Step 14](#step-choose-group).
Pada panel navigasi, pilih **Kebijakan**, lalu pilih **Buat kebijakan**.
1. Pada tab Editor visual, pilih **Pilih layanan**, masukkan **STS** di kotak pencarian untuk memfilter daftar, lalu pilih opsi **STS**.
1. Di bagian **Tindakan**, masukkan **assume** di kotak pencarian untuk memfilter daftar, lalu pilih **AssumeRole**opsi.
1. Di bagian **Sumber Daya**, pilih **Spesifik**, pilih **Tambah ARNs**
1. Di bagian **Tentukan ARN**, pilih **Akun lain** untuk Sumber Daya di.
1. Masukkan ID akun anggota yang baru saja Anda buat
1. Untuk **nama peran Sumber Daya dengan jalur**, masukkan nama peran yang Anda buat di bagian sebelumnya (kami sarankan untuk menamainya`OrganizationAccountAccessRole`).
1. Pilih **Tambah ARNs** ketika kotak dialog menampilkan ARN yang benar.
1. (Opsional) Jika Anda ingin mewajibkan autentikasi multi faktor (MFA), atau membatasi akses ke peran dari rentang alamat IP tertentu, maka perluas bagian syarat Permintaan, dan pilih opsi yang ingin Anda terapkan.
1. Pilih **Berikutnya**.
1. Pada halaman **Tinjau dan buat**, masukkan nama untuk kebijakan baru. Sebagai contoh : **GrantAccessToOrganizationAccountAccessRole**. Anda juga dapat menambahkan deskripsi opsional.
1. Pilih **Buat kebijakan** untuk menyimpan kebijakan terkelola baru Anda.
1. Setelah kebijakan tersedia, Anda dapat melampirkannya ke grup.
Di panel navigasi, pilih **Grup pengguna** lalu pilih nama grup (bukan kotak centang) yang anggotanya ingin Anda dapat mengambil peran di akun anggota. Jika perlu, Anda dapat membuat grup baru.
1. Pilih tab **Izin**, pilih **Tambahkan izin**, lalu pilih **Lampirkan** kebijakan.
1. (Opsional) Dalam kotak **Pencarian**, Anda dapat mulai mengetik nama kebijakan Anda untuk mem-filter daftar sampai Anda dapat melihat nama kebijakan Anda yang baru saja dibuat di [Step 2](#step-create-policy) melalui [Step 13](#step-end-policy). Anda juga dapat memfilter semua kebijakan AWS terkelola dengan memilih **Semua jenis** dan kemudian memilih **Customer managed**.
1. Centang kotak di samping kebijakan Anda, lalu pilih **Lampirkan kebijakan**.
------
Pengguna IAM yang merupakan anggota grup sekarang memiliki izin untuk beralih ke peran baru di AWS Organizations konsol dengan menggunakan prosedur berikut.
------
#### [ Konsol Manajemen AWS ]
**Untuk beralih ke peran akun anggota**
Saat menggunakan peran, pengguna memiliki izin administrator di akun anggota baru. Instruksikan pengguna IAM Anda yang merupakan anggota grup untuk melakukan hal berikut untuk beralih ke peran baru.
1. **Dari sudut kanan atas AWS Organizations konsol, pilih tautan yang berisi nama masuk Anda saat ini, lalu pilih Beralih Peran.**
1. Masukkan nomor ID akun dan nama peran yang disediakan administrator.
1. Untuk **Nama Tampilan**, masukkan teks yang ingin Anda tampilkan di bilah navigasi di sudut kanan atas di tempat nama pengguna Anda saat Anda menggunakan peran tersebut. Anda dapat memilih warna secara opsional.
1. Pilih **Ganti Peran**. Sekarang semua tindakan yang Anda lakukan akan dilakukan dengan izin yang diberikan untuk peran yang Anda beralih padanya. Anda tidak lagi memiliki izin yang terkait dengan pengguna IAM asli Anda sampai Anda beralih kembali.
1. Setelah selesai melakukan tindakan yang memerlukan izin peran, Anda dapat beralih kembali ke pengguna IAM normal. **Pilih nama peran di sudut kanan atas (apa pun yang Anda tentukan sebagai **Nama Tampilan**) lalu pilih Kembali ke. *UserName***
------
# Menutup akun anggota di organisasi dengan AWS Organizations
Jika Anda tidak lagi memerlukan akun anggota di organisasi Anda, Anda dapat menutupnya dari [AWS Organizations konsol](https://console.aws.amazon.com/organizations/v2) mengikuti instruksi dalam topik ini. Anda hanya dapat menutup akun anggota menggunakan AWS Organizations konsol jika organisasi Anda dalam mode [Semua fitur](orgs_getting-started_concepts.md#feature-set-all).
Anda juga dapat menutup Akun AWS langsung dari [halaman **Akun**](https://console.aws.amazon.com/billing/home#/account) di Konsol Manajemen AWS setelah masuk sebagai pengguna root. Untuk step-by-step petunjuk, lihat [Menutup Akun AWS](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html) di *Panduan Manajemen AWS Akun*.
Untuk menutup akun manajemen, lihat[Menutup akun manajemen di organisasi Anda](orgs_manage_accounts_close_management.md).
## Tutup akun anggota
Saat masuk ke akun manajemen organisasi, Anda dapat menutup akun anggota yang merupakan bagian dari organisasi Anda. Untuk melakukan ini, selesaikan langkah-langkah berikut.
**penting**
Sebelum Anda menutup akun anggota Anda, kami sangat menyarankan Anda meninjau pertimbangan dan memahami dampaknya untuk menutup akun. Untuk informasi selengkapnya, lihat [Apa yang perlu Anda ketahui sebelum menutup akun](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html#close-account-considerations) dan [Apa yang diharapkan setelah menutup akun](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html#what-to-expect-after-closure) di *Panduan Manajemen AWS Akun*.
------
#### [ AWS Management Console ]
**Untuk menutup akun anggota dari AWS Organizations konsol**
1. Masuk ke [konsol AWS Organizations](https://console.aws.amazon.com/organizations/v2) tersebut. Anda harus masuk sebagai pengguna IAM, atau masuk sebagai pengguna root ([tidak disarankan](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#lock-away-credentials)) di akun manajemen organisasi.
1. Pada **[Akun AWS](https://console.aws.amazon.com/organizations/v2/home/accounts)**halaman, temukan dan pilih nama akun anggota yang ingin Anda tutup. Anda dapat menavigasi hierarki OU, atau melihat daftar datar akun tanpa struktur OU.
1. Pilih **Tutup** di sebelah nama akun di bagian atas halaman. Opsi ini hanya tersedia ketika AWS organisasi berada dalam mode [Semua fitur](orgs_getting-started_concepts.md#feature-set-all).
**catatan**
Jika organisasi Anda menggunakan mode [penagihan Konsolidasi](orgs_getting-started_concepts.md#feature-set-cb-only), Anda tidak akan dapat melihat tombol **Tutup** di konsol. Untuk menutup akun dalam mode penagihan gabungan, masuk ke akun yang ingin Anda tutup sebagai pengguna root. Pada halaman **Akun**, pilih tombol **Tutup akun**, masukkan ID akun Anda, lalu pilih tombol **Tutup akun**.
1. Baca dan pastikan Anda memahami panduan penutupan akun.
1. Masukkan ID akun anggota, lalu pilih **Tutup akun**.
**catatan**
Setiap akun anggota yang Anda tutup akan menampilkan `CLOSED` label di sebelah nama akunnya di AWS Organizations konsol hingga 90 hari setelah tanggal penutupan asli. Setelah 90 hari, akun anggota akan ditutup secara permanen dan tidak akan lagi ditampilkan di AWS Organizations konsol. Harap dicatat bahwa mungkin diperlukan beberapa hari agar akun dihapus dari organisasi setelah penutupan permanen.
**Untuk menutup akun anggota dari halaman Akun**
Secara opsional, Anda dapat menutup akun AWS anggota langsung dari halaman **Akun** di. Konsol Manajemen AWS Untuk step-by-step panduan, ikuti petunjuk di [Close an Akun AWS](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html) in the *AWS Account Management Guide*.
------
#### [ AWS CLI & AWS SDKs ]
**Untuk menutup sebuah Akun AWS**
Anda dapat menggunakan salah satu perintah berikut untuk menutup AWS akun:
+ AWS CLI: [tutup akun](https://docs.aws.amazon.com/cli/latest/reference/organizations/close-account.html)
```
$ aws organizations close-account \
--account-id 123456789012
```
Perintah ini tidak menghasilkan output saat berhasil.
+ AWS SDKs: [CloseAccount](https://docs.aws.amazon.com/organizations/latest/APIReference/API_CloseAccount.html)
------
# Melindungi akun anggota dari penutupan dengan AWS Organizations
Untuk melindungi akun anggota dari penutupan yang tidak disengaja, buat kebijakan IAM yang menentukan akun mana yang dikecualikan. Kebijakan ini mencegah penutupan akun anggota yang dilindungi.
Buat kebijakan IAM untuk menolak penutupan akun menggunakan salah satu metode berikut:
+ Secara eksplisit mencantumkan akun yang dilindungi dalam `Resource` elemen kebijakan menggunakan akun tersebut. ARNs
+ Tandai akun individual dan gunakan kunci kondisi `aws:ResourceTag` global untuk mencegah penutupan akun yang ditandai.
**catatan**
Kebijakan Kontrol Layanan (SCPs) tidak memengaruhi prinsip IAM di akun manajemen.
## Contoh kebijakan IAM yang mencegah penutupan akun anggota
Contoh kode berikut menunjukkan dua metode berbeda yang dapat Anda gunakan untuk membatasi akun anggota agar tidak menutup akun mereka.
------
#### [ Prevent member accounts with tags from getting closed ]
Anda dapat melampirkan kebijakan berikut ke identitas di akun manajemen Anda. Kebijakan ini mencegah prinsipal di akun manajemen menutup akun anggota yang ditandai dengan kunci kondisi global `aws:ResourceTag` tag, kunci, dan nilai `AccountType` tag. `Critical`
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "PreventCloseAccountForTaggedAccts",
"Effect": "Deny",
"Action": "organizations:CloseAccount",
"Resource": "*",
"Condition": {
"StringEquals": {"aws:ResourceTag/AccountType": "Critical"}
}
}
]
}
```
------
#### [ Prevent member accounts listed in this policy from getting closed ]
Anda dapat melampirkan kebijakan berikut ke identitas di akun manajemen Anda. Kebijakan ini mencegah prinsipal di akun manajemen menutup akun anggota yang secara eksplisit ditentukan dalam elemen. `Resource`
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "PreventCloseAccount",
"Effect": "Deny",
"Action": "organizations:CloseAccount",
"Resource": [
"arn:aws:organizations::555555555555:account/o-12345abcdef/123456789012",
"arn:aws:organizations::555555555555:account/o-12345abcdef/123456789014"
]
}
]
}
```
------
# Menghapus akun anggota dari organisasi dengan AWS Organizations
Menghapus akun anggota tidak menutup akun, melainkan menghapus akun anggota dari organisasi. Akun mantan anggota menjadi mandiri Akun AWS yang tidak lagi dikelola oleh AWS Organizations.
Setelah itu, akun tidak lagi tunduk pada kebijakan apa pun dan bertanggung jawab atas pembayaran tagihannya sendiri. Akun manajemen organisasi tidak lagi dikenakan biaya untuk setiap biaya yang timbul oleh akun setelah dihapus dari organisasi.
## Pertimbangan-pertimbangan
**Peran akses IAM yang dibuat oleh akun manajemen tidak dihapus secara otomatis**
Saat Anda menghapus akun anggota dari organisasi, peran IAM apa pun yang dibuat untuk mengaktifkan akses oleh akun manajemen organisasi tidak akan dihapus secara otomatis. Jika Anda ingin menghentikan akses ini dari akun manajemen organisasi sebelumnya, Anda harus menghapus peran IAM secara manual. Untuk informasi tentang menghapus peran, lihat [Menghapus peran atau profil instans](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) dalam *Panduan Pengguna IAM*.
**Anda dapat menghapus akun dari organisasi Anda hanya jika akun tersebut memiliki informasi yang diperlukan untuk beroperasi sebagai akun mandiri**
Anda dapat menghapus akun dari organisasi Anda hanya jika akun tersebut memiliki informasi yang diperlukan untuk beroperasi sebagai akun mandiri. Saat Anda membuat akun di organisasi menggunakan AWS Organizations konsol, API, atau AWS CLI perintah, semua informasi yang diperlukan dari akun mandiri *tidak* dikumpulkan secara otomatis.
Untuk setiap akun yang ingin Anda buat mandiri, Anda harus memilih paket dukungan, menyediakan dan memverifikasi informasi kontak yang diperlukan, dan menyediakan metode pembayaran saat ini. AWS menggunakan metode pembayaran untuk membebankan biaya untuk AWS aktivitas yang dapat ditagih (bukan Tingkat AWS Gratis) yang terjadi saat akun tidak dilampirkan ke organisasi. Untuk menghapus akun yang belum memiliki informasi ini, ikuti langkah-langkahnya[Meninggalkan organisasi dari akun anggota dengan AWS Organizations](orgs_manage_accounts_leave-as-member.md).
**Anda harus menunggu hingga setidaknya empat hari setelah akun dibuat**
Untuk menghapus akun yang Anda buat di organisasi, Anda harus menunggu hingga setidaknya empat hari setelah akun dibuat. Akun yang diundang tidak dikenakan periode tunggu ini.
**Pemilik akun yang pergi bertanggung jawab atas semua biaya baru yang timbul**
Pada saat akun berhasil meninggalkan organisasi, pemilik Akun AWS menjadi bertanggung jawab atas semua AWS biaya baru yang timbul, dan metode pembayaran akun digunakan. Akun pengelolaan organisasi tidak lagi bertanggung jawab.
**Akun tidak dapat berupa akun administrator yang didelegasikan untuk AWS layanan apa pun yang diaktifkan untuk organisasi**
Akun yang ingin Anda hapus tidak boleh berupa akun administrator yang didelegasikan untuk AWS layanan apa pun yang diaktifkan untuk organisasi Anda. Jika akun administrator didelegasikan, maka Anda harus terlebih dahulu mengubah akun administrator yang didelegasikan ke akun lain yang tersisa dalam organisasi. Untuk informasi selengkapnya tentang cara menonaktifkan atau mengubah akun administrator yang didelegasikan untuk suatu AWS layanan, lihat dokumentasi untuk layanan tersebut.
**Akun tidak lagi memiliki akses ke data biaya dan penggunaan**
Ketika akun anggota meninggalkan organisasi, akun itu tidak lagi memiliki akses ke data biaya dan penggunaan dari rentang waktu ketika akun masih menjadi anggota organisasi. Namun demikian, akun pengelolaan organisasi masih dapat mengakses data. Jika akun tersebut bergabung kembali ke organisasi, maka akun tersebut dapat mengakses data itu lagi.
**Tag yang dilampirkan ke akun dihapus**
Ketika akun anggota meninggalkan sebuah organisasi, semua tag yang dilampirkan ke akun akan dihapus.
**Prinsipal di akun tidak lagi terpengaruh oleh kebijakan organisasi apa pun**
Prinsipal utama dalam akun tidak lagi terpengaruh oleh [kebijakan](orgs_manage_policies.md) yang diterapkan dalam organisasi. Ini berarti bahwa pembatasan yang diberlakukan oleh SCPs telah hilang, dan pengguna serta peran di akun mungkin memiliki lebih banyak izin daripada sebelumnya. Jenis kebijakan organisasi lainnya tidak dapat lagi ditegakkan atau diproses.
**Akun tidak lagi dicakup oleh perjanjian organisasi**
Jika akun anggota dihapus dari organisasi, maka akun anggota tersebut tidak akan lagi tercakup oleh perjanjian organisasi. Administrator akun pengelolaan harus menyampaikan hal ini ke akun anggota sebelum menghapus akun anggota dari organisasi, sehingga akun anggota dapat menempatkan perjanjian baru jika diperlukan. Daftar perjanjian organisasi aktif dapat dilihat di AWS Artifact konsol pada halaman [Perjanjian AWS Artifact Organisasi](https://console.aws.amazon.com/artifact/home?#!/agreements?tab=organizationAgreements).
**Integrasi dengan layanan lain mungkin dinonaktifkan**
Integrasi dengan layanan lain mungkin dinonaktifkan. Jika Anda menghapus akun dari organisasi yang memiliki integrasi dengan AWS layanan yang diaktifkan, pengguna di akun tersebut tidak dapat lagi menggunakan layanan tersebut.
## Menghapus akun anggota dari organisasi
Saat masuk ke akun pengelolaan organisasi, Anda dapat menghapus akun anggota dari organisasi yang tidak lagi diperlukan. Untuk melakukannya, selesaikan prosedur berikut. Prosedur ini hanya berlaku untuk akun anggota. Untuk menghapus akun pengelolaan, Anda harus [menghapus organisasi](orgs_manage_org_delete.md).
**Izin minimum**
Untuk menghapus satu atau beberapa akun anggota dari organisasi Anda, Anda harus masuk sebagai pengguna atau peran dalam akun manajemen dengan izin berikut:
`organizations:DescribeOrganization` — hanya diperlukan bila menggunakan konsol Organizations
`organizations:RemoveAccountFromOrganization`
Jika Anda memilih untuk masuk sebagai pengguna atau peran di akun anggota di langkah 5, maka pengguna atau peran tersebut harus memiliki izin berikut:
`organizations:DescribeOrganization` — hanya diperlukan bila menggunakan konsol Organizations.
`organizations:LeaveOrganization` — Perhatikan bahwa administrator organisasi dapat menerapkan kebijakan ke akun yang menghapus izin ini, sehingga akan mencegah Anda menghapus akun dari organisasi.
Jika Anda masuk sebagai pengguna IAM dan akun tidak memiliki informasi pembayaran, pengguna harus memiliki salah satu `aws-portal:ModifyBilling` dan `aws-portal:ModifyPaymentMethods` izin (jika akun belum bermigrasi ke izin berbutir halus) ATAU `payments:CreatePaymentInstrument` dan `payments:UpdatePaymentPreferences` izin (jika akun telah bermigrasi ke izin berbutir halus). Selain itu, akun anggota harus mengaktifkan akses pengguna IAM ke penagihan. Jika ini belum diaktifkan, lihat [Mengaktifkan Akses ke Konsol Manajemen Penagihan dan Biaya](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/grantaccess.html#ControllingAccessWebsite-Activate) di *Panduan Pengguna AWS Billing *.
------
#### [ Konsol Manajemen AWS ]
**Untuk menghapus akun anggota dari organisasi Anda**
1. Masuk ke [konsol AWS Organizations](https://console.aws.amazon.com/organizations/v2). Anda harus masuk sebagai pengguna IAM, mengambil IAM role, atau masuk sebagai pengguna root ([tidak direkomendasikan](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#lock-away-credentials)) di akun pengelolaan organisasi.
1. Pada halaman **[Akun AWS](https://console.aws.amazon.com/organizations/v2/home/accounts)**, temukan dan pilih kotak centang![\[Blue checkmark icon indicating confirmation or completion of a task.\]](http://docs.aws.amazon.com/id_id/organizations/latest/userguide/images/checkbox-selected.png) yang ada di samping setiap akun anggota yang ingin Anda hapus dari organisasi Anda. Anda dapat menavigasi hierarki OU atau mengaktifkan **View Akun AWS hanya** untuk melihat daftar datar akun tanpa struktur OU. Jika Anda memiliki banyak akun, Anda mungkin harus memilih **Muat lebih banyak akun di '*ou-nama*'** di bagian bawah daftar untuk menemukan semua akun yang ingin Anda pindahkan.
Pada halaman **[Akun AWS](https://console.aws.amazon.com/organizations/v2/home/accounts)**, temukan dan pilih nama akun anggota yang ingin dihapus dari organisasi Anda. Anda mungkin harus memperluas OUs (memilih![\[Gray cloud icon representing cloud computing or storage services.\]](http://docs.aws.amazon.com/id_id/organizations/latest/userguide/images/console-expand.png)) untuk menemukan akun yang Anda inginkan.
1. Pilih **Tindakan**, lalu di bawah **Akun AWS**, pilih **Hapus dari organisasi**.
1. Dalam **Hapus akun '*account-name*' (\$1 *account-id-num*) dari organisasi**? kotak dialog, pilih **Hapus akun**.
1. Jika AWS Organizations gagal menghapus satu atau lebih akun, biasanya karena Anda belum memberikan semua informasi yang diperlukan agar akun dapat beroperasi sebagai akun mandiri. Lakukan langkah-langkah berikut ini:
1. Masuk ke akun yang gagal. Sebaiknya Anda masuk ke akun anggota dengan memilih **Salin tautan**, lalu menempelkannya ke bilah alamat jendela peramban penyamaran baru. Jika Anda tidak melihat **tautan Salin**, gunakan [tautan ini](https://portal.aws.amazon.com/gp/aws/developer/registration/index.html?client=organizations&enforcePI=True) untuk membuka AWS halaman **Daftar** dan selesaikan langkah-langkah pendaftaran yang hilang. Jika Anda tidak menggunakan jendela penyamaran, maka Anda akan keluar dari akun pengelolaan dan tidak dapat membuka kembali ke kotak dialog ini.
1. Peramban membawa Anda langsung ke proses pendaftaran untuk menyelesaikan langkah-langkah yang hilang untuk akun ini. Selesaikan semua langkah yang disajikan. Langkah-lamgkah tersebut mungkin mencakup yang berikut ini:
+ Memberikan informasi kontak
+ Memberikan metode pembayaran yang valid
+ Memverifikasi nomor telepon
+ Memilih opsi paket support
1. Setelah Anda menyelesaikan langkah pendaftaran terakhir, AWS secara otomatis mengalihkan browser Anda ke AWS Organizations konsol untuk akun anggota. Pilih **Meninggalkan organisasi**, dan kemudian konfirmasikan pilihan Anda di kotak dialog konfirmasi. Anda diarahkan ke halaman **Memulai** di konsol AWS Organizations , di mana Anda dapat melihat undangan tertunda untuk akun Anda untuk bergabung dengan organisasi lain.
1. Menghapus IAM role yang memberikan akses ke akun Anda dari organisasi.
**penting**
Jika akun Anda dibuat di Organizations, maka Organisasi secara otomatis membuat IAM role di akun yang mengaktifkan akses oleh akun pengelolaan organisasi. Jika akun diundang untuk bergabung, maka Organizations tidak akan secara otomatis membuat peran seperti itu, tetapi Anda atau administrator lain mungkin telah membuatnya untuk mendapatkan manfaat yang sama. Dalam kedua kasus di atas, bila Anda menghapus akun dari organisasi, peran tersebut tidak akan dihapus secara otomatis. Jika Anda ingin menghentikan akses ini dari akun pengelolaan organisasi sebelumnya, maka Anda harus secara manual menghapus IAM role ini. Untuk informasi tentang menghapus peran, lihat [Menghapus peran atau profil instans](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) dalam *Panduan Pengguna IAM*.
------
#### [ AWS CLI & AWS SDKs ]
**Untuk menghapus akun anggota dari organisasi Anda**
Anda dapat menggunakan salah satu perintah berikut untuk menghapus akun anggota:
+ AWS CLI: [remove-account-from-organization](https://docs.aws.amazon.com/cli/latest/reference/organizations/remove-account-from-organization.html)
```
$ aws organizations remove-account-from-organization \
--account-id 123456789012
```
Perintah ini tidak menghasilkan output saat berhasil.
+ AWS SDKs: [RemoveAccountFromOrganization](https://docs.aws.amazon.com/organizations/latest/APIReference/API_RemoveAccountFromOrganization.html)
Setelah akun anggota dihapus dari organisasi, pastikan untuk menghapus peran IAM yang memberikan akses ke akun Anda dari organisasi.
**penting**
Jika akun Anda dibuat di Organizations, maka Organisasi secara otomatis membuat IAM role di akun yang mengaktifkan akses oleh akun pengelolaan organisasi. Jika akun diundang untuk bergabung, maka Organizations tidak akan secara otomatis membuat peran seperti itu, tetapi Anda atau administrator lain mungkin telah membuatnya untuk mendapatkan manfaat yang sama. Dalam kedua kasus di atas, bila Anda menghapus akun dari organisasi, peran tersebut tidak akan dihapus secara otomatis. Jika Anda ingin menghentikan akses ini dari akun pengelolaan organisasi sebelumnya, maka Anda harus secara manual menghapus IAM role ini. Untuk informasi tentang menghapus peran, lihat [Menghapus peran atau profil instans](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) dalam *Panduan Pengguna IAM*.
Akun anggota dapat menghapus diri mereka sendiri dengan [cuti organisasi](https://docs.aws.amazon.com/cli/latest/reference/organizations/leave-organization.html) sebagai gantinya. Lihat informasi yang lebih lengkap di [Meninggalkan organisasi dari akun anggota dengan AWS Organizations](orgs_manage_accounts_leave-as-member.md).
------
# Meninggalkan organisasi dari akun anggota dengan AWS Organizations
Saat masuk ke akun anggota, Anda dapat meninggalkan organisasi. Akun pengelolaan tidak dapat meninggalkan organisasi menggunakan teknik ini. Untuk menghapus akun pengelolaan, Anda harus [menghapus organisasi](orgs_manage_org_delete.md).
## Pertimbangan-pertimbangan
**Status akun dengan organisasi memengaruhi data biaya dan penggunaan yang terlihat**
Akun mempertahankan akses ke semua faktur sebelumnya yang dikirimkan kepada mereka dan semua data tagihan yang dihasilkan oleh mereka, terlepas dari perubahan keanggotaan organisasi. Namun, visibilitas data Cost Explorer terkait dengan keanggotaan organisasi saat ini. Tabel di bawah ini menunjukkan bagaimana tiga transisi akun umum memengaruhi visibilitas data:
****
| | Ketersediaan faktur | Ketersediaan tagihan (mis., Halaman Tagihan) | Ketersediaan Cost Explorer |
| --- | --- | --- | --- |
| Skenario 1Akun anggota meninggalkan OrganizationA dan menjadi akun mandiri | Akun mempertahankan akses ke semua faktur historis yang dikirimkan ke sana. | Akun mempertahankan akses ke semua data tagihan historis yang dihasilkannya sebagai anggota OrganizationA. | Akun kehilangan akses ke biaya historis dan data penggunaan yang dihasilkannya sebagai anggota OrganizationA. |
| Skenario 2Akun anggota meninggalkan OrganizationA dan bergabung dengan OrganizationB | Akun mempertahankan akses ke semua faktur historis yang dikirimkan ke sana. | Akun mempertahankan akses ke semua data tagihan historis yang dihasilkannya sebagai anggota OrganizationA. | Akun kehilangan akses ke biaya historis dan data penggunaan yang dihasilkannya sebagai anggota OrganizationA. |
| Skenario 3Akun bergabung kembali dengan organisasi yang sebelumnya menjadi miliknya | Akun mempertahankan akses ke semua faktur historis yang dikirimkan ke sana. | Akun mempertahankan akses ke semua data tagihan historis yang dihasilkannya (terlepas dari apakah dibuat sebagai akun mandiri atau sebagai anggota organisasi lain). | Akun mendapatkan kembali akses ke data biaya dan penggunaan untuk rentang waktu penuh ketika menjadi anggota organisasi, tetapi kehilangan akses ke semua biaya historis dan penggunaan yang dihasilkan di luar organisasi saat ini. |
**Akun tidak lagi dicakup oleh perjanjian organisasi yang diterima atas namanya**
Jika Anda meninggalkan organisasi, Anda tidak lagi tercakup oleh perjanjian organisasi yang disetujui atas nama Anda oleh akun pengelolaan organisasi. Anda dapat melihat daftar perjanjian organisasi ini di AWS Artifact konsol pada halaman [Perjanjian AWS Artifact Organisasi](https://console.aws.amazon.com/artifact/home?#!/agreements?tab=organizationAgreements). Sebelum meninggalkan organisasi, Anda harus menentukan (dengan bantuan tim legal, privasi, atau kepatuhan Anda jika diperlukan) apakah perlu bagi Anda untuk memiliki perjanjian(-perjanjian) baru.
**Batas kuota akun dapat berubah dan dapat menimbulkan dampak**
Meninggalkan organisasi sebagai akun anggota dapat memengaruhi batas kuota layanan yang tersedia untuk akun tersebut. Jika Anda memiliki beban kerja otomatis yang memerlukan batas lebih tinggi, silakan kunjungi kembali kuota Anda di konsol kuota layanan setelah meninggalkan organisasi untuk memastikan pengalaman yang tidak terputus. Silakan hubungi [AWS Dukungan Pusat](https://console.aws.amazon.com/support/home#/) setelah meninggalkan organisasi untuk bantuan.
## Meninggalkan organisasi dari akun anggota
Untuk meninggalkan organisasi, selesaikan prosedur berikut.
**Izin minimum**
Untuk meninggalkan , Anda harus memiliki izin berikut:
`organizations:DescribeOrganization` — hanya diperlukan bila menggunakan konsol Organizations.
`organizations:LeaveOrganization` — Perhatikan bahwa administrator organisasi dapat menerapkan kebijakan ke akun yang menghapus izin ini, sehingga akan mencegah Anda menghapus akun dari organisasi.
Jika Anda masuk sebagai pengguna IAM dan akun tidak memiliki informasi pembayaran, pengguna harus memiliki salah satu `aws-portal:ModifyBilling` dan `aws-portal:ModifyPaymentMethods` izin (jika akun belum bermigrasi ke izin berbutir halus) ATAU `payments:CreatePaymentInstrument` dan `payments:UpdatePaymentPreferences` izin (jika akun telah bermigrasi ke izin berbutir halus). Selain itu, akun anggota harus mengaktifkan akses pengguna IAM ke penagihan. Jika ini belum diaktifkan, lihat [Mengaktifkan Akses ke Konsol Manajemen Penagihan dan Biaya](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/grantaccess.html#ControllingAccessWebsite-Activate) di *Panduan Pengguna AWS Billing *.
------
#### [ Konsol Manajemen AWS ]
**Untuk meninggalkan organisasi dari akun anggota Anda**
1. Masuk ke AWS Organizations konsol di [AWS Organizations konsol](https://console.aws.amazon.com/organizations/v2). Anda harus masuk sebagai pengguna IAM, mengambil IAM role, atau masuk sebagai pengguna akar ([tidak direkomendasikan](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#lock-away-credentials)) di akun anggota.
Secara default, Anda tidak memiliki akses ke kata sandi pengguna root di akun anggota yang dibuat menggunakan AWS Organizations. Jika diperlukan, pulihkan kata sandi pengguna root dengan mengikuti langkah-langkah di **Menggunakan pengguna root (Tidak disarankan untuk tugas sehari-hari)** di[Mengakses akun anggota dalam organisasi dengan AWS Organizations](orgs_manage_accounts_access.md).
1. Pada halaman **[Dasbor Organisasi](https://console.aws.amazon.com/organizations/v2/home/dashboard)**, pilih **Tinggalkan organisasi ini**.
1. Dalam **Konfirmasi meninggalkan organisasi?** kotak dialog, pilih **Tinggalkan organisasi**. Saat diminta, konfirmasikan pilihan Anda untuk menghapus akun. Setelah mengonfirmasi, Anda akan diarahkan ke halaman **Memulai** AWS Organizations konsol, di mana Anda dapat melihat undangan yang tertunda untuk akun Anda untuk bergabung dengan organisasi lain.
Jika Anda melihat pesan **Anda belum dapat meninggalkan organisasi**, akun Anda tidak memiliki semua informasi yang diperlukan untuk beroperasi sebagai akun mandiri. Jika ini masalahnya, lanjutkan ke langkah berikutnya.
1. Jika **Konfirmasi meninggalkan organisasi?** kotak dialog menampilkan pesan **Anda belum dapat meninggalkan organisasi**, pilih tautan **Lengkapi langkah pendaftaran akun**.
Jika Anda tidak melihat tautan **Lengkapi langkah pendaftaran akun**, gunakan [tautan ini](https://portal.aws.amazon.com/gp/aws/developer/registration/index.html?client=organizations&enforcePI=True) untuk membuka AWS halaman **Daftar untuk** menyelesaikan langkah-langkah pendaftaran yang hilang.
1. Pada AWS halaman **Daftar**, masukkan semua informasi yang diperlukan agar ini menjadi akun mandiri. Ini mungkin termasuk jenis informasi berikut:
+ Nama dan alamat kontak
+ Metode pembayaran yang valid
+ Verifikasi nomor telepon
+ Opsi paket Support
1. Ketika Anda melihat kotak dialog yang menyatakan bahwa proses pendaftaran selesai, pilih **Meninggalkan organisasi**.
Sebuah kotak dialog konfirmasi kemudian muncul. Konfirmasikan pilihan Anda untuk menghapus akun. Anda diarahkan ke halaman **Memulai** AWS Organizations konsol, di mana Anda dapat melihat undangan yang tertunda untuk akun Anda untuk bergabung dengan organisasi lain.
1. Menghapus IAM role yang memberikan akses ke akun Anda dari organisasi.
**penting**
Jika akun Anda dibuat di Organizations, maka Organisasi secara otomatis membuat IAM role di akun yang mengaktifkan akses oleh akun pengelolaan organisasi. Jika akun diundang untuk bergabung, maka Organizations tidak akan secara otomatis membuat peran seperti itu, tetapi Anda atau administrator lain mungkin telah membuatnya untuk mendapatkan manfaat yang sama. Dalam kedua kasus di atas, bila Anda menghapus akun dari organisasi, peran tersebut tidak akan dihapus secara otomatis. Jika Anda ingin menghentikan akses ini dari akun pengelolaan organisasi sebelumnya, maka Anda harus secara manual menghapus IAM role ini. Untuk informasi tentang menghapus peran, lihat [Menghapus peran atau profil instans](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) dalam *Panduan Pengguna IAM*.
------
#### [ AWS CLI & AWS SDKs ]
**Untuk meninggalkan organisasi sebagai akun anggota**
Anda dapat menggunakan salah satu perintah berikut untuk meninggalkan sebuah organisasi:
+ AWS CLI: [leave-organization](https://docs.aws.amazon.com/cli/latest/reference/organizations/leave-organization.html)
Contoh berikut menyebabkan akun yang kredensialnya digunakan untuk menjalankan perintah untuk meninggalkan organisasi.
```
$ aws organizations leave-organization
```
Perintah ini tidak menghasilkan output saat berhasil.
+ AWS SDKs: [LeaveOrganization](https://docs.aws.amazon.com/organizations/latest/APIReference/API_LeaveOrganization.html)
Setelah akun anggota meninggalkan organisasi, pastikan untuk menghapus peran IAM yang memberikan akses ke akun Anda dari organisasi.
**penting**
Jika akun Anda dibuat di Organizations, maka Organisasi secara otomatis membuat IAM role di akun yang mengaktifkan akses oleh akun pengelolaan organisasi. Jika akun diundang untuk bergabung, maka Organizations tidak akan secara otomatis membuat peran seperti itu, tetapi Anda atau administrator lain mungkin telah membuatnya untuk mendapatkan manfaat yang sama. Dalam kedua kasus di atas, bila Anda menghapus akun dari organisasi, peran tersebut tidak akan dihapus secara otomatis. Jika Anda ingin menghentikan akses ini dari akun pengelolaan organisasi sebelumnya, maka Anda harus secara manual menghapus IAM role ini. Untuk informasi tentang menghapus peran, lihat [Menghapus peran atau profil instans](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage_delete.html) dalam *Panduan Pengguna IAM*.
Akun anggota juga dapat dihapus oleh pengguna di akun manajemen dengan [remove-account-from-organization](https://docs.aws.amazon.com/cli/latest/reference/organizations/remove-account-from-organization.html)sebagai gantinya. Lihat informasi yang lebih lengkap di [Menghapus akun anggota dari organisasi](orgs_manage_accounts_remove.md#orgs_manage_accounts_remove-member-account).
------
# Memperbarui nama akun untuk akun anggota dengan AWS Organizations
Saat masuk ke akun manajemen organisasi, Anda dapat memperbarui nama akun untuk akun anggota. Untuk mempelajari cara memperbarui nama akun anggota, ikuti langkah-langkah di [Perbarui nama akun untuk siapa pun Akun AWS di organisasi Anda](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-update-acct-name.html#update-account-name-orgs) di *Panduan AWS Account Management Referensi*.
# Memperbarui alamat email pengguna root alamat untuk akun anggota dengan AWS Organizations
Untuk meningkatkan keamanan dan ketahanan administratif, prinsipal IAM di akun manajemen (yang memiliki izin IAM yang diperlukan) dapat memperbarui alamat email pengguna root alamat email Amazon Web Services secara terpusat (juga disebut sebagai utama) untuk salah satu akun anggota mereka tanpa harus masuk ke setiap akun satu per satu. Ini memberi administrator di akun manajemen (atau di akun administrator yang didelegasikan) lebih banyak kontrol atas akun anggota mereka. Ini juga memastikan bahwa alamat email pengguna root alamat email dari akun anggota mana pun di seluruh Anda AWS Organizations dapat tetap up to date, bahkan ketika Anda mungkin telah kehilangan akses ke alamat email pengguna root asli Amazon Web Services alamat atau kredensi administratif.
Ketika alamat email pengguna root, alamat diubah secara terpusat oleh administrator akun manajemen, kata sandi dan konfigurasi MFA akan tetap sama seperti sebelum perubahan. Perhatikan bahwa MFA dapat dilewati oleh pengguna dengan kontrol alamat email pengguna root akun Amazon Web Services alamat dan nomor telepon kontak utama.
Untuk memperbarui alamat email pengguna root alamat dari akun anggota di organisasi Anda, organisasi Anda sebelumnya harus mengaktifkan [semua mode fitur](orgs_getting-started_concepts.md#feature-set-all). AWS Organizations dalam mode penagihan gabungan atau akun yang bukan bagian dari organisasi, tidak dapat memperbarui alamat email pengguna root mereka alamat email secara terpusat. Pengguna yang ingin mengubah alamat email pengguna root alamat email untuk akun yang tidak didukung oleh API harus terus menggunakan Konsol Penagihan untuk mengelola alamat email pengguna root mereka alamat email .
Untuk step-by-step petunjuk tentang cara memperbarui alamat email pengguna root akun anggota Anda alamat email [pengguna root email untuk setiap orang Akun AWS di organisasi Anda](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-update-root-user-email.html#root-user-email-orgs) dalam *Panduan AWS Account Management Referensi*.