委托管理员与 Org AWS 服务 anizations 合作 - AWS Organizations
授予委托管理员账户的权限

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

委托管理员与 Org AWS 服务 anizations 合作

我们建议您仅将 AWS Organizations 管理账户及其用户和角色用于必须由该账户执行的任务。我们还建议您将 AWS 资源存储在组织中的其他成员账户中，并防止这些资源进入管理账户。这是因为诸如 Organizations 服务控制策略 (SCPs) 之类的安全功能不会限制管理账户中的用户或角色。将资源与管理账户分离还可帮助您了解发票上的费用。

许多 AWS 服务 与 Organizations 集成的功能使您能够减少管理帐户的使用量。这些服务允许您将一个或多个成员账户注册为管理员，用来管理该服务中使用的所有组织账户。这些账户被称为该特定服务的委托管理员。通过将成员账户注册为 AWS 服务的委托管理员，您可以使该账户拥有该服务的某些管理权限以及 Organizations 只读操作权限。

在将账户注册为服务的委托管理员之前：

注意

要了解如何为某个服务启用委托管理员，请参阅 AWS 服务 你可以和它一起使用 AWS Organizations 中的表格，然后在该服务的支持委托管理员列中选择了解详情链接。

授予委托管理员账户的权限

每个特定服务的委托管理员账户都具有该服务授予的权限。要了解更多信息，请参阅 AWS 服务 你可以和它一起使用 AWS Organizations 中的表格，然后在该服务的支持委托管理员列中选择了解详情链接。

委托管理员账户还具有以下只读权限：

  • DescribeAccount

  • DescribeCreateAccountStatus

  • DescribeEffectivePolicy

  • DescribeHandshake

  • DescribeOrganization

  • DescribeOrganizationalUnit

  • DescribePolicy

  • DescribeResourcePolicy

  • ListAccounts

  • ListAccountsForParent

  • ListAWSServiceAccessForOrganization

  • ListChildren

  • ListCreateAccountStatus

  • ListDelegatedAdministrators

  • ListDelegatedServicesForAccount

  • ListHandshakesForAccount

  • ListHandshakesForOrganization

  • ListOrganizationalUnitsForParent

  • ListParents

  • ListPolicies

  • ListPoliciesForTarget

  • ListRoots

  • ListTagsForResource

  • ListTargetsForPolicy

借助这些权限，您可以查看但不能更改下列控制台项目：

  • 组织结构、所有账户和OUs组织政策

  • 成员资格

  • 所有账户和OUs.

  • 组织策略