本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 使用 管理組織的存取許可 AWS Organizations
組織中的所有 AWS 資源，包括根、OUs、帳戶和政策，都由 擁有 AWS 帳戶，而建立或存取資源的許可則受許可政策的管理。如果是組織，其管理帳戶擁有所有資源。帳戶管理員可以透過將許可政策連接到 IAM 身分 （使用者、群組和角色） 來控制對 AWS 資源的存取。
**注意**
*帳戶管理員* (或管理員使用者) 是具有管理員許可的使用者。如需詳細資訊，請參閱《 *AWS 帳戶管理 參考指南*》[中的 IAM 中的安全最佳實務](https://docs.aws.amazon.com/accounts/latest/reference/getting-started-step4.html)。
當您授予許可時，能夠決定取得許可的對象、這些對象取得的資源許可，以及可對上述資源進行的特定動作。
根據預設，IAM 使用者、群組和角色沒有許可。身為組織的管理帳戶中的管理員，您可以對管理帳戶中的其他 IAM 使用者或角色執行管理任務或委派管理員許可。若要委派許可，您必須將 IAM 許可政策附加到 IAM 使用者、群組或角色。根據預設，使用者不具任何許可；這種情況有時稱為*隱含拒絕*。政策會將隱含拒絕覆寫為*明確允許*，其指定使用者可以執行的動作，以及可以對其執行動作的資源。如果將許可授予角色，則組織中其他帳戶的使用者可以擔任該角色。
## AWS Organizations 資源和操作
本節討論 AWS Organizations 概念如何對應至其 IAM 同等概念。
### Resources
在 中 AWS Organizations，您可以控制對下列資源的存取：
+ 組成組織階層結構的根和 OU
+ 屬於組織成員的帳戶
+ 您連接到組織中實體的政策
+ 您用來變更組織狀態的交握
這些資源中每一項都擁有一個相關聯的唯一 Amazon Resource Name (ARN)。您會在 IAM 許可政策的 `Resource` 元素中指定 ARN，藉此控制對資源的存取。如需 中所使用資源 ARN 格式的完整清單 AWS Organizations，請參閱*《服務授權參考*》中的 [定義的資源類型 AWS Organizations](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awsorganizations.html#awsorganizations-resources-for-iam-policies)。
### 作業
AWS 提供一組操作，以使用組織中的資源。它們可讓您執行建立、列出、修改、存取資源的內容、刪除資源等動作。大多數操作都在 IAM 政策的 `Action` 元素中參考，以控制能使用該操作的對象。如需可在 IAM 政策中用作許可 AWS Organizations 的操作清單，請參閱*《服務授權參考*》中的[組織定義的動作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsorganizations.html#awsorganizations-actions-as-permissions)。
當您在單一許可政策 `Statement` 中結合 `Resource` 和 `Action` 時，您可以控制可使用該特定動作所在的資源。
### 條件索引鍵
AWS 提供條件索引鍵供您查詢，以更精細地控制特定動作。您可以在 IAM 政策的 `Condition` 元素中參考這些條件金鑰，以指定必須符合陳述式才能被視為相符的額外情況。
下列條件索引鍵特別適用於 AWS Organizations：
+ `aws:PrincipalOrgID` – 簡化在以資源為基礎的政策中指定 `Principal` 元素。此全球金鑰提供了列出組織中所有 AWS 帳戶 的所有帳戶 ID 的替代方法。您可以在 `Condition` 元素中指定[組織 ID](orgs_manage_org.md)，而不是列出組織成員的所有帳戶。
**注意**
此全域條件也適用於組織的管理帳戶。
如需詳細資訊，請參閱《*IAM 使用者指南*`PrincipalOrgID`》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)中的 說明。
+ `aws:PrincipalOrgPaths` – 使用此條件金鑰來比對特定組織根、OU 或其子系的成員。當提出請求的委託人 (根使用者、IAM 使用者或角色) 位於指定的組織路徑時，`aws:PrincipalOrgPaths` 條件金鑰會傳回 true。路徑是 AWS Organizations 實體結構的文字表示法。如需路徑的詳細資訊，請參閱《*IAM 使用者指南*》中的[了解 AWS Organizations 實體路徑](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_access-advisor-view-data-orgs.html#access_policies_access-advisor-viewing-orgs-entity-path)。如需使用此條件索引鍵的詳細資訊，請參閱 *IAM 使用者指南*中的 [aws:PrincipalOrgPaths](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-principal-org-paths)。
例如，下列條件元素符合相同組織中兩個 OU 之中任一個的成員。
```
"Condition": {
"ForAnyValue:StringLike": {
"aws:PrincipalOrgPaths": [
"o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
"o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
]
}
}
```
+ `organizations:PolicyType` – 您可以使用此條件金鑰，將 Organizations 政策相關 API 操作限制為僅在指定類型的 Organizations 政策上運作。您可以將此條件金鑰套用至任何政策陳述式，其中包含與 Organizations 政策互動的動作。
您可以搭配此條件金鑰使用下列值：
+ `SERVICE_CONTROL_POLICY`
+ `RESOURCE_CONTROL_POLICY`
+ `DECLARATIVE_POLICY_EC2`
+ `BACKUP_POLICY`
+ `TAG_POLICY`
+ `CHATBOT_POLICY`
+ `AISERVICES_OPT_OUT_POLICY`
例如，下列範例政策允許使用者執行任何 Organizations 操作。不過，如果使用者執行一個採取政策引數的操作，則只有在指定的政策是標記政策時，才允許此操作。如果使用者指定任何其他類型的政策，則此操作會失敗。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
"Effect": "Allow",
"Action": "organizations:*",
"Resource": "*",
"Condition": {
"StringLikeIfExists": {
"organizations:PolicyType": [ "TAG_POLICY" ]
}
}
}
]
}
```
------
+ `organizations:ServicePrincipal` – 如果您使用 [EnableAWSServiceAccess](https://docs.aws.amazon.com/organizations/latest/APIReference/API_EnableAWSServiceAccess.html) 或 [DisableAWSServiceAccess](https://docs.aws.amazon.com/organizations/latest/APIReference/API_DisableAWSServiceAccess.html) 操作以啟用或停用[受信任存取](orgs_integrate_services.md)與其他 AWS 服務。您可以使用 `organizations:ServicePrincipal` 來限制這些操作對核准的服務委託人名稱清單所做的請求。
例如，以下政策允許使用者只在使用 啟用和停用受信任存取 AWS Firewall Manager 時指定 AWS Organizations。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowOnlyAWSFirewallIntegration",
"Effect": "Allow",
"Action": [
"organizations:EnableAWSServiceAccess",
"organizations:DisableAWSServiceAccess"
],
"Resource": "*",
"Condition": {
"StringLikeIfExists": {
"organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
}
}
}
]
}
```
------
如需可在 IAM 政策中用作許可的所有 AWS Organizations特定條件金鑰清單，請參閱*《服務授權參考*》中的 [的條件金鑰 AWS Organizations](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsorganizations.html#awsorganizations-policy-keys)。
## 了解資源所有權
無論誰建立資源， 都會 AWS 帳戶 擁有在帳戶中建立的資源。具體而言，資源擁有者是驗證資源建立請求 AWS 帳戶 的[委託人實體](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html) （即根使用者、IAM 使用者或 IAM 角色） 的 。對於組織，一律是******管理帳戶。您無法呼叫從成員帳戶建立或存取組織資源的大多數操作。下列範例說明其如何運作：
+ 如果您使用管理帳戶的根憑證來建立 OU，則您的管理帳戶即為資源的擁有者。（在 中 AWS Organizations，資源是 OU)。
+ 如果您在管理帳戶中建立 IAM 使用者，並將建立 OU 的許可授予該使用者，則該使用者可以建立 OU。不過，使用者所屬的管理帳戶會擁有資源。
+ 如果您在管理帳戶中建立 IAM 角色，並將建立 OU 的許可授予該角色，則任何可擔任該角色的人都能建立 OU。角色所屬的管理帳戶 (非擔任使用者) 會擁有該 OU 資源。
## 管理 資源的存取
*許可政策*描述誰可以存取哪些資源。下一節說明可用來建立許可政策的選項。
**注意**
本節討論在 內容中使用 IAM AWS Organizations。它不提供 IAM 服務的詳細資訊。如需完整的 IAM 文件，請參閱 [IAM 使用者指南](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html)。如需有關 IAM 政策語法和描述的資訊，請參閱《IAM **[使用者指南》中的 IAM JSON 政策參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)。
連接至 IAM 身分的政策稱為*身分識別型*政策 (IAM 政策)。連接到資源的政策稱為「資源類型」**政策。
**Topics**
+ [身分型許可政策 (IAM 政策)](#orgs-access-control-iam-policies)
### 身分型許可政策 (IAM 政策)
您可以將政策連接到 IAM 身分，以允許這些身分對 AWS 資源執行操作。例如，您可以執行下列動作：
+ **將許可政策連接至您帳戶中的使用者或群組** – 若要授予使用者建立 AWS Organizations 資源的許可，例如[服務控制政策 (SCP)](orgs_manage_policies_scps.md) 或 OU，您可以將許可政策連接至使用者或使用者所屬的群組。使用者或群組必須位在組織的管理帳戶中。
+ **將許可政策連接至角色 (授予跨帳戶許可)** – 您可以將以身分為基礎的許可政策連接至 IAM 角色，藉此對組織授予跨帳戶許可。例如，管理帳戶中的管理員可以建立角色，將跨帳戶許可授予成員帳戶中的使用者，如下所示：
1. 管理帳戶管理員會建立 IAM 角色，並將會授予許可給組織資源的許可政策連接至該角色。
1. 管理帳戶管理員將信任政策連接至角色，該角色會將成員帳戶 ID 識別為可以擔任角色的 `Principal`。
1. 然後成員帳戶管理員可以委派許可給成員帳戶中的任何使用者，以擔任該角色。這樣做可讓成員帳戶中的使用者可以在管理帳戶和組織中建立或存取資源。如果您想要授予 AWS 服務擔任角色的許可，信任政策中的委託人也可以是 AWS 服務委託人。
如需使用 IAM 來委派許可的相關資訊，請參閱《IAM 使用者指南》**中的[存取管理](https://docs.aws.amazon.com/IAM/latest/UserGuide/access.html)。
以下為允許使用者在您的組織中執行 `CreateAccount` 動作的範例政策。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"Stmt1OrgPermissions",
"Effect":"Allow",
"Action":[
"organizations:CreateAccount"
],
"Resource":"*"
}
]
}
```
------
您也可在政策的 `Resource` 元素中提供部分 ARN，用於指示資源的類型。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"AllowCreatingAccountsOnResource",
"Effect":"Allow",
"Action":"organizations:CreateAccount",
"Resource":"arn:aws:organizations::*:account/*"
}
]
}
```
------
您也可以拒絕建立未將特定標籤納入正在建立的帳戶中的帳戶。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Sid":"DenyCreatingAccountsOnResourceBasedOnTag",
"Effect":"Deny",
"Action":"organizations:CreateAccount",
"Resource":"*",
"Condition":{
"StringEquals":{
"aws:ResourceTag/key":"value"
}
}
}
]
}
```
------
如需使用者、群組、角色和許可的詳細資訊，請參閱《[IAM 使用者指南》中的 IAM 身分 （使用者、使用者群組和角色）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html)。 **
## 指定政策元素：Actions、Conditions、Effects 和 Resources
對於每個 AWS Organizations 資源，服務會定義一組 API 操作或動作，以某種方式與該資源互動或操作該資源。若要授予這些操作的許可， AWS Organizations 會定義一組您可以在政策中指定的動作。例如，對於 OU 資源， AWS Organizations 定義如下的動作：
+ `AttachPolicy` 和 `DetachPolicy`
+ `CreateOrganizationalUnit` 和 `DeleteOrganizationalUnit`
+ `ListOrganizationalUnits` 和 `DescribeOrganizationalUnit`
在某些情況下，執行 API 操作可能需要多個動作的許可，並且可能需要多個資源的許可。
以下是您可以在 IAM 許可政策中使用的最基本元素：
+ **動作** – 使用此關鍵字，可辨識要允許或拒絕的操作 (動作)。例如，根據指定的 `Effect`， `organizations:CreateAccount` 允許或拒絕使用者執行 `CreateAccount`操作的 AWS Organizations 許可。如需詳細資訊，請參閱《[IAM 使用者指南》中的 IAM JSON 政策元素：動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_action.html)。 **
+ **資源** – 使用此關鍵字指定政策陳述式套用的資源的 ARN。如需詳細資訊，請參閱《[IAM 使用者指南》中的 IAM JSON 政策元素：資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html)。 **
+ **條件** – 使用此關鍵字，可指定必須達到才能套用政策陳述式的條件。`Condition` 通常會指定必須成立政策才會符合的額外情況。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。
+ **效果** – 使用此關鍵字，可指定政策陳述式應允許或拒絕對資源執行動作。如果您未明確授予存取 (或允許) 資源，則隱含地拒絕存取。您也可以明確拒絕存取資源，您可能會這樣做，以確保使用者無法對特定資源執行特定動作，即使另有其他政策授予存取。如需詳細資訊，請參閱《[IAM 使用者指南》中的 IAM JSON 政策元素：效果](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_effect.html)。 **
+ **委託人** – 在以身分為基礎的政策 (IAM 政策) 中，政策附加到的使用者會自動且隱含成為委託人。對於資源型政策，您可以指定想要收到許可的使用者、帳戶、服務或其他實體 (僅適用於資源型政策)。
若要進一步了解 IAM 政策語法和描述，請參閱《IAM **[使用者指南》中的 IAM JSON 政策參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies.html)。