本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 设置组织
<a name="set-up-organization"></a>

如果您有多个帐户 AWS 账户，则可以通过中的组织在逻辑上管理这些帐户[AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html)。中的*账户* AWS Organizations 是一种标准 AWS 账户 ，其中包含您的 AWS 资源以及可以访问这些资源的身份。*组织*是整合您的实体， AWS 账户 以便您可以将其作为一个单位进行管理。

当您使用账户创建组织时，该账户将变为*管理账户*（也称为*付款人账户*或*根账户*）代表该组织。一个组织只能有一个管理账户。当您 AWS 账户 向组织中添加其他帐户时，他们将成为*成员帐户*。

**注意**  
每个用户 AWS 账户 还有一个名为 *root 用户的*身份。您可以使用在创建账户时使用的电子邮件地址和密码以根用户身份登录。但是，我们强烈建议您不要使用根用户来执行日常任务，即使是管理任务。有关更多信息，请参阅 [AWS 账户 根用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html)。  
我们还建议[集中成员账户的根访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-enable-root-access.html)，并从组织中的成员账户中移除根用户证书。

您可以在树状分层结构中组织帐户，该结构由组织根帐户、组织单位 (OUs) 和成员帐户组成。*根*是您组织中所有账户的父容器。一个*组织单位*（OU）是[根](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html#root)中[账户](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html#account)的一个容器。OU 可以包含其他账户 OUs 或成员账户。一个 OU 只有一个父级，而每个账户都只能是一个 OU 的成员。有关更多信息，请参阅[术语和概念](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html)（AWS Organizations 文档）。

[服务控制策略 (SCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) 指定用户和角色可以使用的服务和操作。 SCPs 与 AWS Identity and Access Management (IAM) 权限策略类似，不同之处在于它们不授予权限。而是 SCPs 定义最大权限。当您将策略附加到层次结构中的一个节点时，该策略将应用于该节点中的所有 OUs 和账户。例如，如果您将策略应用于根，则该策略将应用于组织中的所有[OUs](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html#organizationalunit)和[账户](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html#account)；如果您将策略应用于 OU，则该策略仅适用于目标 OU 中的 OUs 和账户。

[资源控制策略 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) 可对组织中资源的最大可用权限进行集中控制。 RCPs 帮助您确保账户中的资源符合组织的访问控制准则。

您可以使用 AWS Organizations 控制台集中查看和管理组织内的所有账户。使用组织的好处之一是，您可以收到一份整合账单，其中显示与管理账户和成员账户相关的所有费用。有关更多信息，请参阅[整合账单](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/consolidated-billing.html)（AWS Organizations 文档）。

## 最佳实践
<a name="organization-best-practices"></a>
+ 不要使用现有的组织 AWS 账户 来创建组织。用一个新账户开始，该账户将成为组织的管理账户。特权操作可以在组织的管理账户内执行 SCPs ，但 RCPs 不适用于管理账户。因此，管理账户中包含的云资源和数据应仅限于必须在管理账户中管理的云资源和数据。
+ 将管理账户的访问权限限制为只有那些需要配置新账号 AWS 账户 并管理组织的人员。
+  SCPs 用于定义根账户、组织单位账户和成员账户的最大权限。 SCPs 不能直接应用于管理账户。
+  RCPs 用于定义成员账户中资源的最大权限。 RCPs不能直接应用于管理账户。
+ 遵守 AWS Organizations（AWS Organizations 文档）[的最佳实践](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_best-practices.html)。