本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
服務控制政策範例
本主題中顯示的範例服務控制政策 (SCP) 僅供參考。
使用這些範例之前
您在組織中使用這些範例 SCP 前，請執行下列操作：
-
詳閱及自訂 SCP，使其符合您的獨特需求。
-
徹底測試您環境中的 SCP 與您使用的 AWS 服務。
本節中的範例政策示範 SCP 的實作與使用。他們並非闡述為完全如圖所示實作的官方 AWS 建議或最佳實務。您有責任仔細測試任何拒絕型政策是否適合解決您環境的商業需求。拒絕型服務控制政策可能會意外限制或封鎖您使用 AWS 服務，除非您將必要的例外狀況新增至政策。如需此類例外狀況的範例，請參閱第一個範例，其從封鎖存取不需要的 AWS 區域 的規則中豁免全域服務。
-
請記住，SCP 會影響其連接到每個帳戶中的每個使用者、角色，包括根使用者。
提示
您可以使用IAM中服務上次存取的資料更新 SCP，以限制僅存取您所需的 AWS 服務。如需詳細資訊，請參閱 IAM 使用者指南中的檢視 Organizations 的 Organizations 服務上次存取資料。
以下每一個政策都是拒絕清單政策策略的範例。拒絕清單政策必須隨著在受影響帳戶中允許已核准動作的其他政策連接。例如，預設的 FullAWSAccess 政策會允許使用帳戶中的所有服務。此政策預設連接到根帳戶、所有組織單位 (OU) 和所有帳戶。它不會實際授予許可；沒有任何 SCP 會這麼做。相反地，此政策可讓該帳戶中的管理員，將標準 AWS Identity and Access Management (IAM) 許可政策連接至帳戶中的使用者、角色或群組，以委派對這些動作的存取。然後，這些拒絕清單政策會個別藉由封鎖對指定的服務或動作的存取，來覆寫任何政策。
內容
