1

我想了解 AWS Organizations 为何有用以及为什么推荐它的原因。

目前，我和我的团队有三个不同的帐户用于构建应用程序：prod、dev 和 qa。当我们将新应用程序构建到其中一个帐户中时，我们必须首先执行一系列 CloudFormation 模板——其中一个包含新应用程序所需的 IAM 策略/角色。

您可以想象，我们最终将在每个帐户中定义完全相同的策略和角色。出于安全目的，我们不想拥有跨账户角色/策略。

现在我的问题是，是否可以利用 AWS Organizations 来定义 1 个可在每个账户中使用的集中式策略，即，该模板存在于该策略中，但它允许在每个账户中存储一个本地副本。这样做的好处是，我们可以对政策进行 1 次更改，并将该更改复制到我们选择的帐户中。Prod 可能仍然没有该策略的第 1 版，而 dev 可能在第 2 版。

如果这不是 AWS Organizations 的预期功能，那么有人可以为我提供一个 AWS Organizations 优势的用例吗？

4

1 回答 1

2

AWS Organizations 不允许您在组织级别设置 IAM 策略以供子 AWS 账户使用。它允许您在组织级别设置服务控制策略 (SCP)。SCP 规定子 AWS 账户可以使用哪些 AWS 服务/操作（SCP 是子账户中 IAM 策略的过滤器，允许 SCP 覆盖任何/所有子级权限）。

另请参阅AWS Organizations的更广泛的功能集。

于 2019-01-16T16:18:44.727 回答