Accedere a un account membro che ha OrganizationAccountAccessRole con AWS Organizations

Quando crei un account membro utilizzando la AWS Organizations console, crea AWS Organizations automaticamente un IAM ruolo denominato OrganizationAccountAccessRole nell'account. Questo ruolo dispone di autorizzazioni amministrative complete nell'account membro. L'ambito di accesso per questo ruolo include tutti i principali nell'account di gestione, in modo che sia in grado di concedere l'accesso all'account di gestione dell'organizzazione.

È possibile creare un ruolo identico per un account membro invitato seguendo le fasi indicate in Creazione OrganizationAccountAccessRole di un account invitato con AWS Organizations.

Per utilizzare questo ruolo per accedere all'account membro, è necessario accedere come utente dall'account di gestione che dispone delle autorizzazioni per assumere il ruolo. Per configurare queste autorizzazioni, eseguire la procedura seguente. Consigliamo di concedere le autorizzazioni ai gruppi anziché agli utenti per semplificare la manutenzione.

AWS Management Console

Per concedere ai membri di un IAM gruppo nell'account di gestione le autorizzazioni di accesso al ruolo

1. Accedi alla IAM console https://console.aws.amazon.com/iam/come utente con autorizzazioni di amministratore nell'account di gestione. Ciò è necessario per delegare le autorizzazioni al IAM gruppo i cui utenti accederanno al ruolo nell'account membro.

2. Iniziare creando le policy gestite necessarie in seguito in Passo 14.

   Nel pannello di navigazione, seleziona Policy e Crea policy.

3. Nella scheda Editor visivo, scegli Scegli un servizio, inserisci STS nella casella di ricerca per filtrare l'elenco, quindi scegli l'STSopzione.

4. Nella sezione Azioni, inserisci assume nella casella di ricerca per filtrare l'elenco, quindi scegli l'AssumeRoleopzione.

5. Nella sezione Risorse, scegli Specifico, scegli Aggiungi ARNs

6. Nella sezione ARNSpecifica/e, scegli Altro account per Risorsa in.

7. Inserisci l'ID dell'account membro che hai appena creato

8. Per Nome ruolo di risorsa con percorso, inserisci il nome del ruolo che hai creato nella sezione precedente (ti consigliamo di assegnargli un nomeOrganizationAccountAccessRole).

9. Scegli Aggiungi ARNs quando la finestra di dialogo viene visualizzata correttamenteARN.

10. (Facoltativo) Se desideri richiedere l'autenticazione a più fattori (MFA) o limitare l'accesso al ruolo da un intervallo di indirizzi IP specificato, espandi la sezione Condizioni di richiesta e seleziona le opzioni che desideri applicare.

11. Scegli Next (Successivo).

12. Nella pagina Rivedi e crea, inserisci un nome per la nuova politica. Ad esempio: GrantAccessToOrganizationAccountAccessRole. Puoi anche aggiungere una descrizione opzionale.

13. Selezionare Crea policy per salvare la nuova policy gestita.

14. Ora che la policy è disponibile, è possibile collegarla a un gruppo.

    Nel riquadro di navigazione, scegli Gruppi di utenti, quindi scegli il nome del gruppo (non la casella di controllo) i cui membri desideri che assumano il ruolo nell'account membro. Se necessario, è possibile creare un nuovo gruppo.

15. Nella scheda Permissions (Autorizzazioni), scegli Add permissions (Aggiungi autorizzazioni), quindi Attach policies (Collega policy).

16. (Opzionale) Nella casella Cerca è possibile iniziare a digitare il nome della policy per filtrare l'elenco finché non viene visualizzato il nome della policy appena creata in Passo 2 tramite Passo 13. Puoi anche filtrare tutte le politiche AWS gestite selezionando Tutti i tipi e quindi scegliendo Gestito dal cliente.

17. Seleziona la casella accanto alla tua politica, quindi scegli Allega politiche.

IAMgli utenti che sono membri del gruppo ora dispongono delle autorizzazioni per passare al nuovo ruolo nella AWS Organizations console utilizzando la procedura seguente.

AWS Management Console

Per passare al ruolo per l'account membro

Quando si utilizza il ruolo, l'utente dispone di autorizzazioni di amministratore nel nuovo account membro. Chiedi ai tuoi IAM utenti che sono membri del gruppo di eseguire le seguenti operazioni per passare al nuovo ruolo.

1. Dall'angolo in alto a destra della AWS Organizations console, scegli il link che contiene il nome di accesso corrente, quindi scegli Cambia ruolo.

2. Inserire il numero di ID dell'account fornito dall'amministratore e il nome del ruolo.

3. In Display Name (Nome visualizzazione), inserire il testo che si desidera visualizzare sulla barra di navigazione nell'angolo in alto a destra al posto dell'attuale nome utente mentre si sta utilizzando il ruolo. È anche possibile scegliere un colore.

4. Seleziona Switch Role (Cambia ruolo). Ora tutte le azioni eseguite vengono effettuate con le autorizzazioni concesse al ruolo a cui si è passati. Non disponi più delle autorizzazioni associate all'IAMutente originale finché non torni indietro.

5. Quando finisci di eseguire azioni che richiedono le autorizzazioni del ruolo, puoi tornare all'utente normaleIAM. Scegli il nome del ruolo nell'angolo in alto a destra (qualunque cosa tu abbia specificato come nome visualizzato), quindi scegli Torna a UserName.