Détachement d'une SCP de la racine de l'organisation, d'unités d'organisation ou de comptes

Attachement et détachement de politiques de contrôle des services

Lorsque vous êtes connecté au compte de gestion de votre organisation, vous pouvez attacher une politique de contrôle des services (SCP) que vous avez préalablement créée. Vous pouvez attacher une SCP à la racine de l'organisation, à une unité d'organisation ou directement à un compte. Pour attacher une SCP, procédez comme suit.

Autorisations minimales

Pour attacher une SCP à une racine, une unité d'organisation ou un compte, vous avez besoin de l'autorisation d'effectuer l'action suivante :

organizations:AttachPolicy avec un élément Resource dans la même instruction de politique qui inclut « * » ou l'Amazon Resource Name (ARN) de la politique spécifiée et l'ARN de la racine, de l'unité d'organisation ou du compte auquel vous voulez attacher la politique

Vous pouvez attacher une politique SCP en accédant à la politique, à la racine, à l'unité d'organisation ou au compte auquel vous souhaitez attacher la politique.

Pour attacher une SCP en accédant à la racine, à l'unité d'organisation ou au compte

Connectez-vous à la console AWS Organizations. Vous devez vous connecter en tant qu'utilisateur IAM, assumer un rôle IAM ou vous connecter en tant qu'utilisateur racine (non recommandé) dans le compte de gestion de l'organisation.
Dans la page Comptes AWS, accédez à la case à cocher en regard de la racine, de l'unité d'organisation ou du compte auquel vous souhaitez attacher une SCP, puis activez-la. Vous devrez peut-être développer des unités d'organisation (choisissez l'icône ) pour trouver l'UO ou le compte souhaité.
Dans l'onglet Politiques, dans Politiques de contrôle des services, choisissez Attacher.
Recherchez la politique que vous souhaitez et choisissez Attacher la politique.

La liste des SCP attachées sur l'onglet Politiques est mise à jour pour inclure le nouvel ajout. La modification de la politique prend effet immédiatement, affectant les autorisations des utilisateurs et rôles IAM du compte attaché ou de tous les comptes sous la racine ou l'unité d'organisation attachée.

Pour attacher une SCP en accédant à la politique

Connectez-vous à la console AWS Organizations. Vous devez vous connecter en tant qu'utilisateur IAM, assumer un rôle IAM ou vous connecter en tant qu'utilisateur racine (non recommandé) dans le compte de gestion de l'organisation.
Dans la page Politiques de contrôle des services, choisissez le nom de la politique que vous souhaitez attacher.
Dans l'onglet Cibles, choisissez Attacher.
Choisissez la case d'option en regard de la racine, de l'unité d'organisation ou du compte auquel vous souhaitez attacher la politique. Vous devrez peut-être développer des unités d'organisation (choisissez l'icône ) pour trouver l'UO ou le compte souhaité.
Choisissez Attacher la politique.

La liste des SCP attachées sur l'onglet Cibles est mise à jour pour inclure le nouvel ajout. La modification de la politique prend effet immédiatement, affectant les autorisations des utilisateurs et rôles IAM du compte attaché ou de tous les comptes sous la racine ou l'unité d'organisation attachée.

Pour associer un SCP en accédant à la racine, à l'unité d'organisation ou au compte

Les exemples de code suivants montrent comment utiliserAttachPolicy.

.NET

AWS SDK for .NET

Note

Il y en a plus sur GitHub. Trouvez l'exemple complet et découvrez comment le configurer et l'exécuter dans le référentiel d'exemples de code AWS.


    using System;
    using System.Threading.Tasks;
    using Amazon.Organizations;
    using Amazon.Organizations.Model;

    /// <summary>
    /// Shows how to attach an AWS Organizations policy to an organization,
    /// an organizational unit, or an account.
    /// </summary>
    public class AttachPolicy
    {
        /// <summary>
        /// Initializes the Organizations client object and then calls the
        /// AttachPolicyAsync method to attach the policy to the root
        /// organization.
        /// </summary>
        public static async Task Main()
        {
            IAmazonOrganizations client = new AmazonOrganizationsClient();
            var policyId = "p-00000000";
            var targetId = "r-0000";

            var request = new AttachPolicyRequest
            {
                PolicyId = policyId,
                TargetId = targetId,
            };

            var response = await client.AttachPolicyAsync(request);

            if (response.HttpStatusCode == System.Net.HttpStatusCode.OK)
            {
                Console.WriteLine($"Successfully attached Policy ID {policyId} to Target ID: {targetId}.");
            }
            else
            {
                Console.WriteLine("Was not successful in attaching the policy.");
            }
        }
    }

Pour plus de détails sur l'API, voir AttachPolicyla section Référence des AWS SDK for .NET API.

CLI

AWS CLI

Pour associer une politique à une racine, une unité d'organisation ou un compte

Exemple 1

L'exemple suivant montre comment associer une politique de contrôle des services (SCP) à une unité d'organisation :


aws organizations attach-policy
                --policy-id p-examplepolicyid111
                --target-id ou-examplerootid111-exampleouid111

Exemple 2

L'exemple suivant montre comment associer une politique de contrôle des services directement à un compte :


aws organizations attach-policy
                --policy-id p-examplepolicyid111
                --target-id 333333333333

Pour plus de détails sur l'API, voir AttachPolicyla section Référence des AWS CLI commandes.

Python

SDK pour Python (Boto3)

Note

Il y en a plus sur GitHub. Trouvez l'exemple complet et découvrez comment le configurer et l'exécuter dans le référentiel d'exemples de code AWS.


def attach_policy(policy_id, target_id, orgs_client):
    """
    Attaches a policy to a target. The target is an organization root, account, or
    organizational unit.

    :param policy_id: The ID of the policy to attach.
    :param target_id: The ID of the resources to attach the policy to.
    :param orgs_client: The Boto3 Organizations client.
    """
    try:
        orgs_client.attach_policy(PolicyId=policy_id, TargetId=target_id)
        logger.info("Attached policy %s to target %s.", policy_id, target_id)
    except ClientError:
        logger.exception(
            "Couldn't attach policy %s to target %s.", policy_id, target_id
        )
        raise

Pour plus de détails sur l'API, consultez AttachPolicyle AWS manuel de référence de l'API SDK for Python (Boto3).

La modification de la politique prend effet immédiatement, affectant les autorisations des utilisateurs et rôles IAM du compte attaché ou de tous les comptes sous la racine ou l'unité d'organisation attachée.

Détachement d'une SCP de la racine de l'organisation, d'unités d'organisation ou de comptes

Lorsque vous êtes connecté au compte de gestion de votre organisation, vous pouvez détacher une SCP de la racine de l'organisation, de l'unité d'organisation ou du compte auquel celle-ci est attachée. Une fois que vous avez détaché un SCP d'une entité, ce SCP ne s'applique plus aux utilisateurs IAM et aux rôles IAM affectés par l'entité désormais détachée. Pour détacher une SCP, procédez comme suit.

Note

Vous ne pouvez pas détacher la dernière politique SCP d'une racine, d'une unité d'organisation ou d'un compte. Au moins une politique de contrôle des services doit être attachée en permanence à chaque racine, unité d'organisation et compte.

Autorisations minimales

Pour détacher une SCP de la racine, d'une unité d'organisation ou d'un compte, vous avez besoin d'une autorisation pour effectuer l'action suivante :

organizations:DetachPolicy

Vous pouvez détacher une politique SCP en accédant à la politique ou à la racine, à l'unité d'organisation ou au compte dont vous souhaitez détacher la politique.

Pour détacher une SCP en accédant à la racine, à l'unité d'organisation ou au compte auquel elle est attachée

Connectez-vous à la console AWS Organizations. Vous devez vous connecter en tant qu'utilisateur IAM, assumer un rôle IAM ou vous connecter en tant qu'utilisateur racine (non recommandé) dans le compte de gestion de l'organisation.
Dans la page Comptes AWS, accédez à la racine, à l'unité d'organisation ou au compte dont vous souhaitez détacher une politique. Vous devrez peut-être développer des unités d'organisation (choisissez l'icône ) pour trouver l'UO ou le compte souhaité. Choisissez le nom de la racine, de l'unité d'organisation ou du compte.
Dans l'onglet Politiques, choisissez la case d'option en regard de la SCP à détacher, puis choisissez Détacher.
Dans la boîte de dialogue de confirmation, choisissez Détacher la politique.

La liste des SCP attachées est mise à jour. Le changement de politique provoqué par le détachement de la SCP prend effet immédiatement. Par exemple, détacher une SCP affecte immédiatement les autorisations des utilisateurs et rôles IAM dans le ou les comptes anciennement attachés sous la racine d'organisation ou l'unité d'organisation anciennement attachée.

Pour détacher une SCP en accédant à la politique

Connectez-vous à la console AWS Organizations. Vous devez vous connecter en tant qu'utilisateur IAM, assumer un rôle IAM ou vous connecter en tant qu'utilisateur racine (non recommandé) dans le compte de gestion de l'organisation.
Dans la page Politiques de contrôle des services, choisissez le nom de la politique que vous souhaitez détacher d'une racine, d'une unité d'organisation ou d'un compte.
Dans la page Cibles, choisissez la case d'option en regard de la racine, de l'unité d'organisation ou du compte dont vous souhaitez détacher la politique. Vous devrez peut-être développer des unités d'organisation (choisissez l'icône ) pour trouver l'UO ou le compte souhaité.
Choisissez Détacher.
Dans la boîte de dialogue de confirmation, choisissez Détacher.

La liste des SCP attachées est mise à jour. Le changement de politique provoqué par le détachement de la SCP prend effet immédiatement. Par exemple, détacher une SCP affecte immédiatement les autorisations des utilisateurs et rôles IAM dans le ou les comptes anciennement attachés sous la racine d'organisation ou l'unité d'organisation anciennement attachée.

Pour détacher une SCP d'une racine, d'une unité d'organisation ou d'un compte

Les exemples de code suivants montrent comment utiliserDetachPolicy.

.NET

AWS SDK for .NET

Note

Il y en a plus sur GitHub. Trouvez l'exemple complet et découvrez comment le configurer et l'exécuter dans le référentiel d'exemples de code AWS.


    using System;
    using System.Threading.Tasks;
    using Amazon.Organizations;
    using Amazon.Organizations.Model;

    /// <summary>
    /// Shows how to detach a policy from an AWS Organizations organization,
    /// organizational unit, or account.
    /// </summary>
    public class DetachPolicy
    {
        /// <summary>
        /// Initializes the Organizations client object and uses it to call
        /// DetachPolicyAsync to detach the policy.
        /// </summary>
        public static async Task Main()
        {
            // Create the client object using the default account.
            IAmazonOrganizations client = new AmazonOrganizationsClient();

            var policyId = "p-00000000";
            var targetId = "r-0000";

            var request = new DetachPolicyRequest
            {
                PolicyId = policyId,
                TargetId = targetId,
            };

            var response = await client.DetachPolicyAsync(request);

            if (response.HttpStatusCode == System.Net.HttpStatusCode.OK)
            {
                Console.WriteLine($"Successfully detached policy with Policy Id: {policyId}.");
            }
            else
            {
                Console.WriteLine("Could not detach the policy.");
            }
        }
    }

Pour plus de détails sur l'API, voir DetachPolicyla section Référence des AWS SDK for .NET API.

CLI

AWS CLI

Pour détacher une politique d'une racine, d'une unité d'organisation ou d'un compte

L'exemple suivant montre comment détacher une politique d'une unité d'organisation :


aws organizations  detach-policy  --target-id ou-examplerootid111-exampleouid111 --policy-id p-examplepolicyid111

Pour plus de détails sur l'API, voir DetachPolicyla section Référence des AWS CLI commandes.

Python

SDK pour Python (Boto3)

Note

Il y en a plus sur GitHub. Trouvez l'exemple complet et découvrez comment le configurer et l'exécuter dans le référentiel d'exemples de code AWS.


def detach_policy(policy_id, target_id, orgs_client):
    """
    Detaches a policy from a target.

    :param policy_id: The ID of the policy to detach.
    :param target_id: The ID of the resource where the policy is currently attached.
    :param orgs_client: The Boto3 Organizations client.
    """
    try:
        orgs_client.detach_policy(PolicyId=policy_id, TargetId=target_id)
        logger.info("Detached policy %s from target %s.", policy_id, target_id)
    except ClientError:
        logger.exception(
            "Couldn't detach policy %s from target %s.", policy_id, target_id
        )
        raise

Pour plus de détails sur l'API, consultez DetachPolicyle AWS manuel de référence de l'API SDK for Python (Boto3).

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Création, mise à jour et suppression

Évaluation du SCP