本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
向群组添加和移除 AWS 托管 Microsoft AD 成员以及向群组添加和移除群组
使用 AWS Directory Service Data API，成员可以是用户、组或计算机。用户表示可以访问您目录的人员或实体。组允许您一次向多个用户授予和拒绝权限。
使用以下过程将 AWS 受管 Microsoft AD 用户添加到群组或从群组中移除或移除到另一个群组中 AWS Management Console、 AWS CLI、或中包含用户和群组管理或 AWS Directory Service 数据的群组 AWS Tools for PowerShell。
将用户添加到组
使用以下步骤将 Microsoft AD AWS 托管用户添加到用户和群组管理或 AWS 目录服务数据位于 AWS Management Console、 AWS CLI、或中的群组中 AWS Tools for PowerShell。
重要
当你将 Microsoft AD AWS 托管用户添加到群组时，该用户将继承分配给该群组的角色和权限。这些角色和权限是用户的组成员资格的一部分。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中 AWS 区域 为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 AWS Directory Service API 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用 AWS 托管策略，例如AWS 托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
从组中删除用户
使用 AWS Directory Service Data API，成员可以是用户、组或计算机。用户表示可以访问您目录的人员或实体。组允许您一次向多个用户授予和拒绝权限。
使用以下步骤将 Microsoft AD AWS 托管用户移至包含用户和组管理或 AWS 目录服务数据的群组中 AWS Management Console、 AWS CLI、或 AWS Tools for PowerShell。
重要
当你从群组中移除 Microsoft AD AWS 托管用户时，该用户将无法访问分配给该群组的角色和权限。这些角色和权限是组成员资格的一部分。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中 AWS 区域 为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 AWS Directory Service API 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用 AWS 托管策略，例如AWS 托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
将组添加到组
当你将 AWS 托管 Microsoft AD 群组添加到另一个群组时，这些群组将共享父子关系。子组将可以访问分配给该父组的角色和权限。您可以将子组添加到您的组，也可以将您的组添加到父组。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中 AWS 区域 为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 AWS Directory Service API 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用 AWS 托管策略，例如AWS 托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
从组中删除组
当你从另一个群组中移除 AWS 托管 Microsoft AD 群组时，这些群组将不再共享父子关系。子组将无法访问分配给该父组的角色和权限。您可以从您的组中删除子组，也可以从父组中删除您的组。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中 AWS 区域 为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 AWS Directory Service API 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用 AWS 托管策略，例如AWS 托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
