でリソースベースの委任ポリシーを作成または更新する AWS Organizations

管理アカウントから、組織のリソースベースの委任ポリシーを作成または更新し、ポリシーに対してアクションを実行できるメンバーアカウントを指定するステートメントを追加します。ポリシーに複数のステートメントを追加して、メンバーアカウントにさまざまなアクセス許可を示すことができます。

最小アクセス許可

リソースベースの委任ポリシーを作成または更新するには、次のアクションを実行するアクセス許可が必要です。

• organizations:PutResourcePolicy

• organizations:DescribeResourcePolicy

さらに、委任管理者アカウントのロールとユーザーに、必要なアクションに対する対応するIAMアクセス許可を付与する必要があります。アクセスIAM許可がない場合、呼び出し元のプリンシパルには を管理するために必要なアクセス許可がないと見なされます。 AWS Organizations ポリシー。

AWS Management Console

のリソースベースの委任ポリシーにステートメントを追加する AWS Management Console 次のいずれかの方法を使用します。

• policyJSON – アカウントで使用するリソースベースの委任ポリシーの例を貼り付けてカスタマイズするか、JSONエディタに独自のJSONポリシードキュメントを入力します。

• ビジュアルエディタ – ビジュアルエディタで新しい委任ポリシーを作成します。これにより、JSON構文を記述しなくても委任ポリシーを作成できます。

JSON ポリシーエディタを使用して委任ポリシーを作成または更新する

1. にサインインします。AWS Organizations コンソール 。組織の管理アカウントで、 IAM ユーザーとしてサインインするか、 IAMロールを引き受けるか、ルートユーザーとしてサインインする必要があります (推奨されません）。

2. [設定] を選択します。

3. の委任管理者 AWS Organizations セクションで、Delegate を選択して Organizations 委任ポリシーを作成します。既存の委任ポリシーを更新するには、[Edit] (編集) を選択します。

4. JSON ポリシードキュメントを入力または貼り付けます。IAM ポリシー言語の詳細については、IAMJSON「 ポリシーリファレンス」を参照してください。

5. ポリシーの検証中に生成されたセキュリティ警告、エラー、または一般的な警告を解決し、[Create policy] (ポリシーの作成) を選択して作業を保存します。

ビジュアルエディタを使用して、委任ポリシーを作成または更新します。

1. にサインインします。AWS Organizations コンソール 。ユーザーとしてサインインするかIAM、 IAMロールを引き受けるか、組織の管理アカウントのルートユーザーとしてサインインする必要があります (推奨されません）。

2. [設定] を選択します。

3. の委任管理者 AWS Organizations セクションで、Delegate を選択して Organizations 委任ポリシーを作成します。既存の委任ポリシーを更新するには、[Edit] (編集) を選択します。

4. [Create Delegation policy] (委任ポリシーの作成) ページで、[Add new statement] (新しいステートメントを追加)を選択します。

5. [Effect] (効果) を Allow に設定します。

6. Principal を追加して委任したいメンバーアカウントを定義します。構文の詳細については、「リソースベースの委任ポリシーの例」を参照してください。

7. [Actions] (アクション) のリストから、委任するアクションを選択します。[Filter actions] (アクションのフィルタ)を使用して選択を絞り込むことができます。

8. 委任されたメンバーアカウントが組織のルートまたは組織単位 (OUs) にポリシーをアタッチできるかどうかを指定するには、 を設定しますResources。また、リソースタイプとして policy を選択する必要があります。詳細については、「リソースベースの委任ポリシーの例」を参照してください。リソースは次の方法で指定できます。

   • 「リソースの追加」を選択し、ダイアログボックスのプロンプトに従って Amazon リソースネーム (ARN) を作成します。

   • エディタでリソースARNsを手動で一覧表示します。ARN 構文の詳細については、「」の「Amazon リソースネーム (ARN）」を参照してください。 AWS 全般のリファレンスガイド。ポリシーのリソース要素ARNsで を使用する方法については、IAMJSON「ポリシー要素: リソース」を参照してください。

9. 委任するポリシータイプなど、他の条件を指定するには、[Add a condition] (条件の追加) を選択します。条件の [Condition key] (条件キー)、[Tag key] (タグキー)、[Qualifier] (修飾子)、[Operator] (演算子) を選択し、Value を入力します。詳細については、「リソースベースの委任ポリシーの例」を参照してください。完了したら、[Add condition] (条件の追加) を選択します。条件要素の詳細については、ポリシーリファレンスのIAMJSON「ポリシー要素: 条件IAMJSON」を参照してください。

10. さらにアクセス許可ブロックを追加するには、[Add new statement] (新しいステートメントを追加) を選択します。各ブロックに対して、ステップ 5 から 9 を繰り返します。

11. ポリシーの検証で生成されたセキュリティ警告、エラー、または一般的な警告を解決し、[Create policy] (ポリシーの作成) を選択して作業を保存します。

AWS CLI & AWS SDKs

委任ポリシーを作成または更新する

以下のコマンドを使用して委任ポリシーを作成または更新できます。

• AWS CLI: put-resource-policy

  以下は委任ポリシーを作成または更新する例です。

  $ aws organizations put-resource-policy --content
  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "Fully_manage_backup_policies",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "135791357913"
              },
              "Action": [
                  "organizations:DescribeOrganization",
                  "organizations:ListAccounts",
                  "organizations:CreatePolicy",
                  "organizations:DescribePolicy",
                  "organizations:UpdatePolicy",
                  "organizations:DeletePolicy",
                  "organizations:AttachPolicy",
                  "organizations:DetachPolicy"
              ],
              "Resource": [
                  "arn:aws:organizations::246802468024:root/o-abcdef/r-pqrstu",
                  "arn:aws:organizations::246802468024:ou/o-abcdef/*",
                  "arn:aws:organizations::246802468024:account/o-abcdef/*",
                  "arn:aws:organizations::246802468024:organization/policy/backup_policy/*",
              ],
              "Condition": {
                  "StringLikeIfExists": {
                      "organizations:PolicyType": [
                          "BACKUP_POLICY"
                      ]
                  }
              }
          }
      ]
  }

• AWS SDK: PutResourcePolicy

サポート対象の委任ポリシーのアクション

委任ポリシーでは、次のアクションがサポートされています。

• AttachPolicy

• CreatePolicy

• DeletePolicy

• DescribeAccount

• DescribeCreateAccountStatus

• DescribeEffectivePolicy

• DescribeHandshake

• DescribeOrganization

• DescribeOrganizationalUnit

• DescribePolicy

• DescribeResourcePolicy

• DetachPolicy

• DisablePolicyType

• EnablePolicyType

• ListAccounts

• ListAccountsForParent

• ListAWSServiceAccessForOrganization

• ListChildren

• ListCreateAccountStatus

• ListDelegatedAdministrators

• ListDelegatedServicesForAccount

• ListHandshakesForAccount

• ListHandshakesForOrganization

• ListOrganizationalUnitsForParent

• ListParents

• ListPolicies

• ListPoliciesForTarget

• ListRoots

• ListTagsForResource

• ListTargetsForPolicy

• TagResource

• UntagResource

• UpdatePolicy

サポートされている条件キー

でサポートされている条件キーのみ AWS Organizations は委任ポリシーに使用できます。詳細については、「 の条件キー」を参照してください。 AWS Organizations 「サービス認証リファレンス」の「」。