AWS Resource Access Manager の SCP の例 - AWS Organizations

AWS Resource Access Manager の SCP の例

外部共有の禁止

以下の SCP の例では、組織の一部ではない IAM ユーザーおよびロールとの共有を許可するリソース共有を、ユーザーが作成できないようにします。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "ram:CreateResourceShare", "ram:UpdateResourceShare" ], "Resource": "*", "Condition": { "Bool": { "ram:RequestedAllowsExternalPrincipals": "true" } } } ] }

特定のアカウントが、指定したリソースタイプのみを共有できるようにする

以下の SCP では、アカウント 111111111111222222222222 が、プレフィックスリストを共有するリソース共有を作成し、プレフィックスリストを既存のリソース共有に関連付けることができます。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "OnlyNamedAccountsCanSharePrefixLists", "Effect": "Deny", "Action": [ "ram:AssociateResourceShare", "ram:CreateResourceShare" ], "Resource": "*", "Condition": { "StringNotEquals": { "aws:PrincipalAccount": [ "111111111111", "222222222222" ] }, "StringEquals": { "ram:RequestedResourceType": "ec2:PrefixList" } } } ] }

組織または組織単位 (OU) との共有を禁止する

次の SCP は、ユーザーが AWS 組織または OU とリソースを共有するリソース共有を作成することを防ぎます。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "ram:CreateResourceShare", "ram:AssociateResourceShare" ], "Resource": "*", "Condition": { "ForAnyValue:StringLike": { "ram:Principal": [ "arn:aws:organizations::*:organization/*", "arn:aws:organizations::*:ou/*" ] } } } ] }

指定した IAM ユーザーおよびロールのみとの共有を許可する

以下の SCP の例では、ユーザーは組織 o-12345abcdef、組織単位 ou-98765fedcba、およびアカウント 111111111111 のみとリソースを共有できます。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "ram:AssociateResourceShare", "ram:CreateResourceShare" ], "Resource": "*", "Condition": { "ForAnyValue:StringNotEquals": { "ram:Principal": [ "arn:aws:organizations::123456789012:organization/o-12345abcdef", "arn:aws:organizations::123456789012:ou/o-12345abcdef/ou-98765fedcba", "111111111111" ] } } } ] }