Operaciones Acciones Tipos de recurso Claves de condición

Acciones, recursos y claves de condición para AWS Organizations

AWS Organizaciones (prefijo de servicio: organizations) proporciona las siguientes claves de operación, recursos, acciones y condiciones específicas de los servicios para usarlas en las políticas de permisos de IAM.

Referencias:

Obtenga información para configurar este servicio.
Vea una lista de las operaciones de API disponibles para este servicio.
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.
Vea el referencia de autorización de servicio programático para este servicio.

Temas

Operaciones de API definidas por AWS Organizations
Acciones definidas por AWS Organizations
Tipos de recursos definidos por AWS Organizations
Claves de condición para AWS Organizations

Operaciones de API definidas por AWS Organizations

La siguiente tabla asigna las operaciones de la API a las acciones de IAM que autorizan. Solo se muestran las claves de condición que tienen valores estáticos para la API y la acción determinadas; para ver el conjunto completo de claves de condición que admite cada acción, consulta la Tabla de acciones.

Operación	Acción de IAM	Nivel de acceso
AcceptHandshake	organizations:AcceptHandshake	Escritura
AcceptHandshake	organizations:LeaveOrganization	Escritura
AttachPolicy	organizations:AttachPolicy	Gestión de permisos, Write
CancelHandshake	organizations:CancelHandshake	Escritura
CloseAccount	organizations:CloseAccount	Escritura
CreateAccount	organizations:CreateAccount	Escritura
CreateAccount	organizations:TagResource	Etiquetar, escribir
CreateGovCloudAccount	organizations:CreateGovCloudAccount	Escritura
CreateGovCloudAccount	organizations:TagResource	Etiquetar, escribir
CreateOrganization	organizations:CreateOrganization	Escritura
CreateOrganizationalUnit	organizations:CreateOrganizationalUnit	Escritura
CreateOrganizationalUnit	organizations:TagResource	Etiquetar, escribir
CreatePolicy	organizations:CreatePolicy	Escritura
CreatePolicy	organizations:TagResource	Etiquetar, escribir
DeclineHandshake	organizations:DeclineHandshake	Escritura
DeleteOrganization	organizations:DeleteOrganization	Escritura
DeleteOrganizationalUnit	organizations:DeleteOrganizationalUnit	Escritura
DeletePolicy	organizations:DeletePolicy	Escritura
DeleteResourcePolicy	organizations:DeleteResourcePolicy	Gestión de permisos, escritura
DeregisterDelegatedAdministrator	organizations:DeregisterDelegatedAdministrator	Escritura
DescribeAccount	organizations:DescribeAccount	Lectura
DescribeCreateAccountStatus	organizations:DescribeCreateAccountStatus	Lectura
DescribeEffectivePolicy	organizations:DescribeEffectivePolicy	Lectura
DescribeHandshake	organizations:DescribeHandshake	Lectura
DescribeOrganization	organizations:DescribeOrganization	Lectura
DescribeOrganizationalUnit	organizations:DescribeOrganizationalUnit	Lectura
DescribePolicy	organizations:DescribePolicy	Lectura
DescribeResourcePolicy	organizations:DescribeResourcePolicy	Lectura
DescribeResponsibilityTransfer	organizations:DescribeResponsibilityTransfer	Lectura
DetachPolicy	organizations:DetachPolicy	Gestión de permisos, Write
DisableAWSServiceAccess	organizations:DisableAWSServiceAccess	Escritura
DisablePolicyType	organizations:DisablePolicyType	Escritura
EnableAWSServiceAccess	organizations:EnableAWSServiceAccess	Escritura
EnableAllFeatures	organizations:EnableAllFeatures	Escritura
EnablePolicyType	organizations:EnablePolicyType	Escritura
InviteAccountToOrganization	organizations:InviteAccountToOrganization	Escritura
InviteAccountToOrganization	organizations:TagResource	Etiquetar, escribir
InviteOrganizationToTransferResponsibility	organizations:InviteOrganizationToTransferResponsibility	Escritura
InviteOrganizationToTransferResponsibility	organizations:TagResource	Etiquetar, escribir
LeaveOrganization	organizations:LeaveOrganization	Escritura
ListAWSServiceAccessForOrganization	organizations:ListAWSServiceAccessForOrganization	Enumeración
ListAccounts	organizations:ListAccounts	Enumeración
ListAccountsForParent	organizations:ListAccountsForParent	Enumeración
ListAccountsWithInvalidEffectivePolicy	organizations:ListAccountsWithInvalidEffectivePolicy	Enumeración
ListChildren	organizations:ListChildren	Enumeración
ListCreateAccountStatus	organizations:ListCreateAccountStatus	Enumeración
ListDelegatedAdministrators	organizations:ListDelegatedAdministrators	Enumeración
ListDelegatedServicesForAccount	organizations:ListDelegatedServicesForAccount	Enumeración
ListEffectivePolicyValidationErrors	organizations:ListEffectivePolicyValidationErrors	Enumeración
ListHandshakesForAccount	organizations:ListHandshakesForAccount	Enumeración
ListHandshakesForOrganization	organizations:ListHandshakesForOrganization	Enumeración
ListInboundResponsibilityTransfers	organizations:ListInboundResponsibilityTransfers	Enumeración
ListOrganizationalUnitsForParent	organizations:ListOrganizationalUnitsForParent	Enumeración
ListOutboundResponsibilityTransfers	organizations:ListOutboundResponsibilityTransfers	Enumeración
ListParents	organizations:ListParents	Enumeración
ListPolicies	organizations:ListPolicies	Enumeración
ListPoliciesForTarget	organizations:ListPoliciesForTarget	Enumeración
ListRoots	organizations:ListRoots	Enumeración
ListTagsForResource	organizations:ListTagsForResource	Enumeración
ListTargetsForPolicy	organizations:ListTargetsForPolicy	Enumeración
MoveAccount	organizations:MoveAccount	Escritura
PutResourcePolicy	organizations:PutResourcePolicy	Gestión de permisos, escritura
PutResourcePolicy	organizations:TagResource	Etiquetar, escribir
RegisterDelegatedAdministrator	organizations:RegisterDelegatedAdministrator	Escritura
RemoveAccountFromOrganization	organizations:RemoveAccountFromOrganization	Escritura
TagResource	organizations:TagResource	Etiquetar, escribir
TerminateResponsibilityTransfer	organizations:TerminateResponsibilityTransfer	Escritura
UntagResource	organizations:UntagResource	Etiquetar, escribir
UpdateOrganizationalUnit	organizations:UpdateOrganizationalUnit	Escritura
UpdatePolicy	organizations:UpdatePolicy	Gestión de permisos, escritura
UpdateResponsibilityTransfer	organizations:UpdateResponsibilityTransfer	Escritura

Acciones definidas por AWS Organizations

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Para cada acción, la tabla muestra los tipos de recursos y las claves de condición que admite esa acción. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

Acciones	Description (Descripción)	Tipos de recursos (*necesarios)	Claves de condición	Nivel de acceso
AcceptHandshake	Concede permiso para enviar una respuesta al creador de un protocolo de transferencia acepando la acción propuesta por la solicitud de protocolo de transferencia	handshake*		Escritura
AttachPolicy	Concede permiso para adjuntar una política a una raíz, una unidad organizativa o una cuenta individual	account	aws:ResourceTag/${TagKey} organizations:PolicyType	Administración de permisos, Write
		organizationalunit	aws:ResourceTag/${TagKey} organizations:PolicyType
		policy*	aws:ResourceTag/${TagKey} organizations:PolicyType
		root	aws:ResourceTag/${TagKey} organizations:PolicyType
CancelHandshake	Concede permiso para cancelar un protocolo de transferencia	handshake*		Escritura
CloseAccount	Concede permiso para cerrar un Cuenta de AWS que ahora forma parte de una organización, ya sea creada dentro de la organización o invitada a unirse a ella	account*	aws:ResourceTag/${TagKey}	Escritura
CreateAccount	Concede permiso para crear una Cuenta de AWS es decir, automáticamente, un miembro de la organización con las credenciales que hicieron la solicitud		aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Escritura
CreateGovCloudAccount	Concede permiso para crear un AWS GovCloud Cuenta (EE. UU.)		aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Escritura
CreateOrganization	Da permiso para crear una organización. La cuenta con las credenciales que llama al CreateOrganization la operación se convierte automáticamente en la cuenta de administración de la nueva organización			Escritura
CreateOrganizationalUnit	Concede permiso para crear una unidad organizativa (UO) dentro de una raíz o UO principal	organizationalunit	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Escritura
CreateOrganizationalUnit		root	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Escritura
CreatePolicy	Concede permiso para crear una política que se puede adjuntar a una raíz, una unidad organizativa (OU) o una persona Cuenta de AWS	policy*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType	Escritura
DeclineHandshake	Da permiso para rechazar una solicitud de protocolo de enlace. Esto establece el estado del protocolo de transferencia en DECLINED (RECHAZADO) y desactiva la solicitud	handshake*		Escritura
DeleteOrganization	Concede permiso para eliminar la organización			Escritura
DeleteOrganizationalUnit	Concede permiso para eliminar una unidad organizativa desde la raíz u otra UO	organizationalunit*	aws:ResourceTag/${TagKey}	Escritura
DeletePolicy	Concede permiso para eliminar una política de su organización	policy*	aws:ResourceTag/${TagKey} organizations:PolicyType	Escritura
DeleteResourcePolicy	Otorga permiso para eliminar una política de recursos de su organización			Administración de permisos, Write
DeregisterDelegatedAdministrator	Concede permiso para anular el registro del miembro especificado Cuenta de AWS como administrador delegado de AWS servicio que se especifica mediante ServicePrincipal	account*	aws:ResourceTag/${TagKey} organizations:ServicePrincipal	Escritura
DescribeAccount	Concede permiso para recuperar Organizations-related detalles sobre la cuenta especificada	account*	aws:ResourceTag/${TagKey}	Lectura
DescribeCreateAccountStatus	Concede permiso para recuperar el estado actual de una solicitud asincrónica para crear una cuenta			Lectura
DescribeEffectivePolicy	Concede permiso para recuperar la política efectiva de una cuenta	account*	aws:ResourceTag/${TagKey} organizations:PolicyType	Lectura
DescribeHandshake	Concede permiso para recuperar información sobre un protocolo de transferencia previamente solicitado	handshake*		Lectura
DescribeOrganization	Concede permiso para recuperar detalles de la organización a la que pertenecen las credenciales de llamada.			Lectura
DescribeOrganizationalUnit	Concede permiso para recuperar información sobre una unidad organizativa (UO)	organizationalunit*	aws:ResourceTag/${TagKey}	Lectura
DescribePolicy	Concede permiso para recuperar detalles sobre una política.	policy*	aws:ResourceTag/${TagKey} organizations:PolicyType	Lectura
DescribeResourcePolicy	Otorga permiso para recuperar información sobre una política de recursos			Lectura
DescribeResponsibilityTransfer	Concede permiso para recuperar detalles sobre una transferencia de responsabilidad anterior	responsibilitytransfer*	aws:ResourceTag/${TagKey} organizations:TransferDirection organizations:TransferType	Lectura
DetachPolicy	Concede permiso para desconectar una política de una raíz, una unidad organizativa o una cuenta	account	aws:ResourceTag/${TagKey} organizations:PolicyType	Gestión de permisos, Write
		organizationalunit	aws:ResourceTag/${TagKey} organizations:PolicyType
		policy*	aws:ResourceTag/${TagKey} organizations:PolicyType
		root	aws:ResourceTag/${TagKey} organizations:PolicyType
DisableAWSServiceAccess	Concede permiso para deshabilitar la integración de un AWS servicio (el servicio especificado por ServicePrincipal) con AWS Organizaciones		organizations:ServicePrincipal	Escritura
DisablePolicyType	Concede permiso para desactivar un tipo de política de organización en una raíz	root*	aws:ResourceTag/${TagKey} organizations:PolicyType	Escritura
EnableAWSServiceAccess	Otorga permiso para permitir la integración de un AWS servicio (el servicio especificado por ServicePrincipal) con AWS Organizaciones		organizations:ServicePrincipal	Escritura
EnableAllFeatures	Concede permiso para iniciar el proceso para habilitar todas las características de una organización, mejorándola para que no sólo soporte las características de la Facturación consolidada			Escritura
EnablePolicyType	Concede permiso para habilitar un tipo de política en una raíz	root*	aws:ResourceTag/${TagKey} organizations:PolicyType	Escritura
InviteAccountToOrganization	Concede permiso para enviar una invitación a otra persona Cuenta de AWS, pidiéndole que se una a tu organización como cuenta de miembro	account	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Escritura
InviteOrganizationToTransferResponsibility	Concede permiso para enviar una invitación a otra persona Cuenta de AWS, pidiéndole que transfiera una responsabilidad concreta a su organización	account	aws:ResourceTag/${TagKey} organizations:TransferDirection organizations:TransferType	Escritura
LeaveOrganization	Concede permiso para remover una cuenta de miembro de su organización principal			Escritura
ListAWSServiceAccessForOrganization	Concede permiso para recuperar la lista de AWS servicios para los que ha habilitado la integración con su organización			Enumeración
ListAccounts	Concede permiso para enumerar todas las cuentas de la organización.			Enumeración
ListAccountsForParent	Concede permiso para obtener una lista de las cuentas de una organización que se encuentran en una raíz o unidad organizativa (UO)	organizationalunit	aws:ResourceTag/${TagKey}	Enumeración
ListAccountsForParent		root	aws:ResourceTag/${TagKey}	Enumeración
ListAccountsWithInvalidEffectivePolicy	Concede permiso para enumerar las cuentas que tienen políticas vigentes no válidas para un tipo de política específico.		organizations:PolicyType	Enumeración
ListChildren	Concede permiso para ver una lista de todas las UO o cuentas que se encuentran en una UO principal o raíz	organizationalunit	aws:ResourceTag/${TagKey}	Enumeración
ListChildren		root	aws:ResourceTag/${TagKey}	Enumeración
ListCreateAccountStatus	Concede permiso para obtener una lista de las solicitudes de creación de cuentas asincrónicas de las que actualmente se lleva un seguimiento para la organización			Enumeración
ListDelegatedAdministrators	Concede permiso para incluir los AWS cuentas designadas como administradores delegados en esta organización		organizations:ServicePrincipal	Enumeración
ListDelegatedServicesForAccount	Otorga permiso para incluir las AWS servicios para los que la cuenta especificada es administradora delegada en esta organización	account*	aws:ResourceTag/${TagKey}	Enumeración
ListEffectivePolicyValidationErrors	Concede permiso para enumerar los errores de validación encontrados en la política vigente para una cuenta y un tipo de política específicos.	account*	aws:ResourceTag/${TagKey} organizations:PolicyType	Enumeración
ListHandshakesForAccount	Concede permiso para obtener una lista de todos los protocolos de transferencia que están asociados con una cuenta			Enumeración
ListHandshakesForOrganization	Concede permiso para obtener una lista de los protocolos de transferencia que están asociados con la organización			Enumeración
ListInboundResponsibilityTransfers	Concede permiso para enumerar todas las responsabilidades de un tipo concreto transferidas a su organización		organizations:TransferDirection organizations:TransferType	Enumeración
ListOrganizationalUnitsForParent	Concede permiso para enumerar todas las unidades organizativas (UO) de una unidad organizacional principal o raíz.	organizationalunit	aws:ResourceTag/${TagKey}	Enumeración
ListOrganizationalUnitsForParent		root	aws:ResourceTag/${TagKey}	Enumeración
ListOutboundResponsibilityTransfers	Concede permiso para enumerar todas las responsabilidades de un tipo concreto transferidas a otra organización		organizations:TransferDirection organizations:TransferType	Enumeración
ListParents	Concede permiso para enumerar la raíz o las unidades organizativas (UO) que sirven como origen inmediato de una UO o cuenta secundaria	account	aws:ResourceTag/${TagKey}	Enumeración
ListParents		organizationalunit	aws:ResourceTag/${TagKey}	Enumeración
ListPolicies	Concede permiso para ver una lista de todas las políticas de una organización		organizations:PolicyType	Enumeración
ListPoliciesForTarget	Concede permiso para mostrar todas las políticas que están adjuntadas directamente a una raíz, unidad organizativa (UO) o cuenta	account	aws:ResourceTag/${TagKey} organizations:PolicyType	Enumeración
		organizationalunit	aws:ResourceTag/${TagKey} organizations:PolicyType
		root	aws:ResourceTag/${TagKey} organizations:PolicyType
ListRoots	Concede permiso para obtener una lista de todas las raíces que están definidos en la organización			Enumeración
ListTagsForResource	Concede permiso para obtener una lista de todas las etiquetas del recurso especificado	account	aws:ResourceTag/${TagKey} organizations:PolicyType	Enumeración
		organizationalunit	aws:ResourceTag/${TagKey} organizations:PolicyType
		policy	aws:ResourceTag/${TagKey} organizations:PolicyType
		resourcepolicy	aws:ResourceTag/${TagKey} organizations:PolicyType
		responsibilitytransfer	aws:ResourceTag/${TagKey} organizations:PolicyType organizations:TransferDirection organizations:TransferType
		root	aws:ResourceTag/${TagKey} organizations:PolicyType
ListTargetsForPolicy	Concede permiso para enumerar todas las raíces, UO y cuentas a los que una política está adjunta	policy*	aws:ResourceTag/${TagKey} organizations:PolicyType	Enumeración
MoveAccount	Concede permiso para mover una cuenta desde su raíz u UO actual a otra raíz o UO principal	account*	aws:ResourceTag/${TagKey}	Escritura
		organizationalunit*	aws:ResourceTag/${TagKey}
		root*	aws:ResourceTag/${TagKey}
PutResourcePolicy	Concede permiso para crear o actualizar una política de recursos.	resourcepolicy*	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	Gestión de permisos, Write
RegisterDelegatedAdministrator	Otorga permiso para registrar la cuenta de miembro especificada para administrar las funciones de la Organización del AWS servicio que se especifica mediante ServicePrincipal	account*	aws:ResourceTag/${TagKey} organizations:ServicePrincipal	Escritura
RemoveAccountFromOrganization	Concede permiso para eliminar la cuenta especificada de la organización.	account*	aws:ResourceTag/${TagKey}	Escritura
TagResource	Otorga permiso para agregar una o más etiquetas al recurso especificado.	account	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType	Etiquetar, escribir
		organizationalunit	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
		policy	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
		resourcepolicy	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
		responsibilitytransfer	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType organizations:TransferDirection organizations:TransferType
		root	aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
TerminateResponsibilityTransfer	Concede permiso para finalizar la transferencia de una responsabilidad hacia o desde tu organización	responsibilitytransfer*	aws:ResourceTag/${TagKey} organizations:TransferDirection organizations:TransferType	Escritura
UntagResource	Otorga permiso para eliminar una o más etiquetas del recurso especificado.	account	aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType	Etiquetar, escribir
		organizationalunit	aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
		policy	aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
		resourcepolicy	aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
		responsibilitytransfer	aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType organizations:TransferDirection organizations:TransferType
		root	aws:ResourceTag/${TagKey} aws:TagKeys organizations:PolicyType
UpdateOrganizationalUnit	Concede permiso para cambiar el nombre de una unidad organizativa (UO)	organizationalunit*	aws:ResourceTag/${TagKey}	Escritura
UpdatePolicy	Concede permiso para actualizar una política existente con un nuevo nombre, descripción o contenido	policy*	aws:ResourceTag/${TagKey} organizations:PolicyType	Gestión de permisos, escritura
UpdateResponsibilityTransfer	Concede permiso para cambiar el nombre de una transferencia de responsabilidad hacia o desde tu organización	responsibilitytransfer*	aws:ResourceTag/${TagKey} organizations:TransferDirection organizations:TransferType	Escritura

Tipos de recursos definidos por AWS Organizations

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM.

Tipos de recurso	ARN	Claves de condición
account	arn:${Partition}:organizations::${Account}:account/o-${OrganizationId}/${AccountId}	aws:ResourceTag/${TagKey}
awspolicy	arn:${Partition}:organizations::aws:policy/${PolicyType}/p-${PolicyId}
handshake	arn:${Partition}:organizations::${Account}:handshake/o-${OrganizationId}/${HandshakeType}/h-${HandshakeId}
organization	arn:${Partition}:organizations::${Account}:organization/o-${OrganizationId}
organizationalunit	arn:${Partition}:organizations::${Account}:ou/o-${OrganizationId}/ou-${OrganizationalUnitId}	aws:ResourceTag/${TagKey}
policy	arn:${Partition}:organizations::${Account}:policy/o-${OrganizationId}/${PolicyType}/p-${PolicyId}	aws:ResourceTag/${TagKey}
resourcepolicy	arn:${Partition}:organizations::${Account}:resourcepolicy/o-${OrganizationId}/rp-${ResourcePolicyId}	aws:ResourceTag/${TagKey}
responsibilitytransfer	arn:${Partition}:organizations::${Account}:transfer/o-${OrganizationId}/${TransferType}/${TransferDirection}/rt-${ResponsibilityTransferId}	aws:ResourceTag/${TagKey}
root	arn:${Partition}:organizations::${Account}:root/o-${OrganizationId}/r-${RootId}	aws:ResourceTag/${TagKey}

Claves de condición para AWS Organizations

AWS Las organizaciones definen las siguientes claves de condición que se pueden usar en Condition elemento de una política de IAM.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por las etiquetas que se pasan en la solicitud	String
aws:ResourceTag/${TagKey}	Filtra el acceso por las etiquetas asociadas al recurso	String
aws:TagKeys	Filtra el acceso por las claves de etiquetas que se pasan en la solicitud	ArrayOfString
organizations:PolicyType	Filtra el acceso según el tipo de política especificada	String
organizations:ServicePrincipal	Filtra el acceso por los nombres principales de servicio especificados	String
organizations:TransferDirection	Filtra el acceso por la responsabilidad especificada y transfiere por dirección	String
organizations:TransferType	Filtra el acceso según los nombres de los tipos de transferencia de responsabilidades especificados	String

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

AWS OpsWorks Administración de la configuración (opsworks-cm)

AWS Puestos avanzados (outposts)