View a markdown version of this page

Actions, ressources et clés de condition pour AWS Organizations - Référence de l'autorisation de service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Actions, ressources et clés de condition pour AWS Organizations

AWS Organisations (préfixe du service) : organizations) fournit les opérations, ressources, actions et clés de condition spécifiques au service suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

Opérations d'API définies par AWS Organizations

Le tableau suivant associe les opérations d'API aux actions IAM qu'elles autorisent. Seules les clés de condition qui ont des valeurs statiques pour l'API et l'action données sont répertoriées ; pour l'ensemble complet des clés de condition prises en charge par chaque action, consultez le Tableau des actions.

Opération Action IAM Clé de condition Valeur (s) possible (s) Niveau d’accès

AcceptHandshake

organizations:AcceptHandshake

Écrire

organizations:LeaveOrganization

Écrire

AttachPolicy

organizations:AttachPolicy

Gestion des autorisations, Rédaction

CancelHandshake

organizations:CancelHandshake

Écrire

CloseAccount

organizations:CloseAccount

Écrire

CreateAccount

organizations:CreateAccount

Écrire

organizations:TagResource

Marquer, écrire

CreateGovCloudAccount

organizations:CreateGovCloudAccount

Écrire

organizations:TagResource

Marquer, écrire

CreateOrganization

organizations:CreateOrganization

Écrire

CreateOrganizationalUnit

organizations:CreateOrganizationalUnit

Écrire

organizations:TagResource

Marquer, écrire

CreatePolicy

organizations:CreatePolicy

Écrire

organizations:TagResource

Marquer, écrire

DeclineHandshake

organizations:DeclineHandshake

Écrire

DeleteOrganization

organizations:DeleteOrganization

Écrire

DeleteOrganizationalUnit

organizations:DeleteOrganizationalUnit

Écrire

DeletePolicy

organizations:DeletePolicy

Écrire

DeleteResourcePolicy

organizations:DeleteResourcePolicy

Gestion des autorisations, Rédaction

DeregisterDelegatedAdministrator

organizations:DeregisterDelegatedAdministrator

Écrire

DescribeAccount

organizations:DescribeAccount

Lecture

DescribeCreateAccountStatus

organizations:DescribeCreateAccountStatus

Lecture

DescribeEffectivePolicy

organizations:DescribeEffectivePolicy

Lecture

DescribeHandshake

organizations:DescribeHandshake

Lecture

DescribeOrganization

organizations:DescribeOrganization

Lecture

DescribeOrganizationalUnit

organizations:DescribeOrganizationalUnit

Lecture

DescribePolicy

organizations:DescribePolicy

Lecture

DescribeResourcePolicy

organizations:DescribeResourcePolicy

Lecture

DescribeResponsibilityTransfer

organizations:DescribeResponsibilityTransfer

Lecture

DetachPolicy

organizations:DetachPolicy

Gestion des autorisations, Rédaction

DisableAWSServiceAccess

organizations:DisableAWSServiceAccess

Écrire

DisablePolicyType

organizations:DisablePolicyType

Écrire

EnableAWSServiceAccess

organizations:EnableAWSServiceAccess

Écrire

EnableAllFeatures

organizations:EnableAllFeatures

Écrire

EnablePolicyType

organizations:EnablePolicyType

Écrire

InviteAccountToOrganization

organizations:InviteAccountToOrganization

Écrire

organizations:TagResource

Marquer, écrire

InviteOrganizationToTransferResponsibility

organizations:InviteOrganizationToTransferResponsibility

Écrire

organizations:TagResource

Marquer, écrire

LeaveOrganization

organizations:LeaveOrganization

Écrire

ListAWSServiceAccessForOrganization

organizations:ListAWSServiceAccessForOrganization

List

ListAccounts

organizations:ListAccounts

List

ListAccountsForParent

organizations:ListAccountsForParent

List

ListAccountsWithInvalidEffectivePolicy

organizations:ListAccountsWithInvalidEffectivePolicy

List

ListChildren

organizations:ListChildren

List

ListCreateAccountStatus

organizations:ListCreateAccountStatus

List

ListDelegatedAdministrators

organizations:ListDelegatedAdministrators

List

ListDelegatedServicesForAccount

organizations:ListDelegatedServicesForAccount

List

ListEffectivePolicyValidationErrors

organizations:ListEffectivePolicyValidationErrors

List

ListHandshakesForAccount

organizations:ListHandshakesForAccount

List

ListHandshakesForOrganization

organizations:ListHandshakesForOrganization

List

ListInboundResponsibilityTransfers

organizations:ListInboundResponsibilityTransfers

List

ListOrganizationalUnitsForParent

organizations:ListOrganizationalUnitsForParent

List

ListOutboundResponsibilityTransfers

organizations:ListOutboundResponsibilityTransfers

List

ListParents

organizations:ListParents

List

ListPolicies

organizations:ListPolicies

List

ListPoliciesForTarget

organizations:ListPoliciesForTarget

List

ListRoots

organizations:ListRoots

List

ListTagsForResource

organizations:ListTagsForResource

List

ListTargetsForPolicy

organizations:ListTargetsForPolicy

List

MoveAccount

organizations:MoveAccount

Écrire

PutResourcePolicy

organizations:PutResourcePolicy

Gestion des autorisations, Rédaction

organizations:TagResource

Marquer, écrire

RegisterDelegatedAdministrator

organizations:RegisterDelegatedAdministrator

Écrire

RemoveAccountFromOrganization

organizations:RemoveAccountFromOrganization

Écrire

TagResource

organizations:TagResource

Marquer, écrire

TerminateResponsibilityTransfer

organizations:TerminateResponsibilityTransfer

Écrire

UntagResource

organizations:UntagResource

Marquer, écrire

UpdateOrganizationalUnit

organizations:UpdateOrganizationalUnit

Écrire

UpdatePolicy

organizations:UpdatePolicy

Gestion des autorisations, Rédaction

UpdateResponsibilityTransfer

organizations:UpdateResponsibilityTransfer

Écrire

Actions définies par AWS Organizations

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Pour chaque action, le tableau répertorie les types de ressources et les clés de condition pris en charge par cette action. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

Actions Description Types de ressources (*obligatoire) Clés de condition Niveau d’accès

AcceptHandshake

Accorde l'autorisation d'envoyer une réponse à l'auteur d'une liaison pour accepter l'action proposée par la demande de liaison (handshake)

handshake*

Écrire

AttachPolicy

Accorde l'autorisation d'attacher une politique à une racine, une unité organisationnelle ou un compte individuel

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

Gestion des autorisations, Rédaction

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

CancelHandshake

Accorde l'autorisation d'annuler une demande de liaison (handshake)

handshake*

Écrire

CloseAccount

Autorise la fermeture d'un Compte AWS qui fait désormais partie d'une organisation, soit créée au sein de l'organisation, soit invitée à rejoindre l'organisation

account*

aws:ResourceTag/${TagKey}

Écrire

CreateAccount

Accorde l'autorisation de créer un Compte AWS qui est automatiquement membre de l'organisation avec les informations d'identification qui ont fait la demande

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Écrire

CreateGovCloudAccount

Accorde l'autorisation de créer un AWS GovCloud compte (américain)

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Écrire

CreateOrganization

Accorde l'autorisation de créer une organisation. Le compte contenant les informations d'identification qui appelle le CreateOrganization l'opération devient automatiquement le compte de gestion de la nouvelle organisation

Écrire

CreateOrganizationalUnit

Accorde l'autorisation de créer une unité organisationnelle (OU) au sein d'une unité organisationnelle racine ou parent

organizationalunit

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Écrire

root

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

CreatePolicy

Autorise la création d'une politique que vous pouvez associer à une racine, à une unité organisationnelle (OU) ou à un individu Compte AWS

policy*

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

Écrire

DeclineHandshake

Accorde l'autorisation de refuser une demande de liaison. Cette action définit l'état de la liaison sur DECLINED (REFUSÉ) et désactive effectivement la requête

handshake*

Écrire

DeleteOrganization

Accorde l'autorisation de supprimer l'organisation

Écrire

DeleteOrganizationalUnit

Accorde l'autorisation de supprimer une unité organisationnelle d'une unité organisationnelle racine ou d'une autre unité organisationnelle

organizationalunit*

aws:ResourceTag/${TagKey}

Écrire

DeletePolicy

Accorde l'autorisation de supprimer une politique de votre organisation

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Écrire

DeleteResourcePolicy

Accorde l'autorisation de supprimer une politique de votre organisation

Gestion des autorisations, Rédaction

DeregisterDelegatedAdministrator

Autorise le désenregistrement du membre spécifié Compte AWS en tant qu'administrateur délégué pour AWS service spécifié par ServicePrincipal

account*

aws:ResourceTag/${TagKey}

organizations:ServicePrincipal

Écrire

DescribeAccount

Accorde l'autorisation de récupérer Organizations-related détails sur le compte spécifié

account*

aws:ResourceTag/${TagKey}

Lecture

DescribeCreateAccountStatus

Accorde l'autorisation de récupérer le statut actuel d'une requête asynchrone pour créer un compte

Lecture

DescribeEffectivePolicy

Accorde l'autorisation de récupérer la politique effective d'un compte

account*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Lecture

DescribeHandshake

Accorde l'autorisation de récupérer les détails relatifs à une liaison demandée précédemment

handshake*

Lecture

DescribeOrganization

Accorde l'autorisation de récupérer des informations sur l'organisation à laquelle appartiennent les informations d'identification de l'appelant

Lecture

DescribeOrganizationalUnit

Accorde l'autorisation de récupérer les détails relatifs à une unité organisationnelle (OU)

organizationalunit*

aws:ResourceTag/${TagKey}

Lecture

DescribePolicy

Octroie l'autorisation de récupérer les informations relatives à une politique

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Lecture

DescribeResourcePolicy

Accorde l'autorisation d'obtenir des informations sur une politique de ressources

Lecture

DescribeResponsibilityTransfer

Autorise la récupération des informations relatives à un transfert de responsabilité antérieur

responsibilitytransfer*

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Lecture

DetachPolicy

Accorde l'autorisation de détacher une politique d'une racine cible, d'une unité organisationnelle ou d'un compte

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

Gestion des autorisations, Rédaction

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

DisableAWSServiceAccess

Autorise la désactivation de l'intégration d'un AWS service (le service spécifié par ServicePrincipal) avec AWS Organisations

organizations:ServicePrincipal

Écrire

DisablePolicyType

Accorde l'autorisation de désactiver un type de politique d'organisation dans une racine

root*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Écrire

EnableAWSServiceAccess

Accorde l'autorisation d'activer l'intégration d'un AWS service (le service spécifié par ServicePrincipal) avec AWS Organisations

organizations:ServicePrincipal

Écrire

EnableAllFeatures

Accorde l'autorisation de démarrer le processus d'activation de toutes les fonctions dans une organisation, afin de la mettre à niveau pour qu'elle ne prenne pas seulement en charge les fonctions de facturation consolidée

Écrire

EnablePolicyType

Accorde l'autorisation d'activer un type de politique dans une racine

root*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Écrire

InviteAccountToOrganization

Autorise l'envoi d'une invitation à un autre Compte AWS, en lui demandant de rejoindre votre organisation en tant que compte membre

account

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Écrire

InviteOrganizationToTransferResponsibility

Autorise l'envoi d'une invitation à un autre Compte AWS, en lui demandant de transférer une responsabilité particulière à votre organisation

account

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Écrire

LeaveOrganization

Accorde l'autorisation de supprimer un compte membre de son organisation parent

Écrire

ListAWSServiceAccessForOrganization

Accorde l'autorisation de récupérer la liste des AWS services pour lesquels vous avez activé l'intégration avec votre organisation

List

ListAccounts

Autorise la liste de tous les comptes de l'organisation

List

ListAccountsForParent

Accorde l'autorisation de répertorier les comptes d'une organisation qui se trouvent dans une racine ou une unité organisationnelle (OU)

organizationalunit

aws:ResourceTag/${TagKey}

List

root

aws:ResourceTag/${TagKey}

ListAccountsWithInvalidEffectivePolicy

Autorise à répertorier les comptes dont les politiques en vigueur ne sont pas valides pour un type de politique spécifié

organizations:PolicyType

List

ListChildren

Accorde l'autorisation de répertorier toutes les unités organisationnelles ou comptes qui se trouvent dans une unité organisationnelle parent ou une racine

organizationalunit

aws:ResourceTag/${TagKey}

List

root

aws:ResourceTag/${TagKey}

ListCreateAccountStatus

Accorde l'autorisation de répertorier les demandes de création de compte asynchrones qui font actuellement l'objet d'un suivi pour l'organisation

List

ListDelegatedAdministrators

Accorde l'autorisation de répertorier les AWS comptes désignés en tant qu'administrateurs délégués dans cette organisation

organizations:ServicePrincipal

List

ListDelegatedServicesForAccount

Accorde l'autorisation de répertorier les AWS services pour lesquels le compte spécifié est un administrateur délégué dans cette organisation

account*

aws:ResourceTag/${TagKey}

List

ListEffectivePolicyValidationErrors

Autorise à répertorier les erreurs de validation détectées dans la politique en vigueur pour un compte et un type de politique spécifiques

account*

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

ListHandshakesForAccount

Accorde l'autorisation de répertorier toutes les liaisons qui sont associées à un compte

List

ListHandshakesForOrganization

Accorde l'autorisation de répertorier les liaisons qui sont associées à l'organisation

List

ListInboundResponsibilityTransfers

Permet de répertorier toutes les responsabilités d'un type particulier transférées à votre organisation

organizations:TransferDirection

organizations:TransferType

List

ListOrganizationalUnitsForParent

Autorise la liste de toutes les unités organisationnelles (UO) d'une unité organisationnelle mère ou racine

organizationalunit

aws:ResourceTag/${TagKey}

List

root

aws:ResourceTag/${TagKey}

ListOutboundResponsibilityTransfers

Autorise la liste de toutes les responsabilités d'un type particulier transférées à une autre organisation

organizations:TransferDirection

organizations:TransferType

List

ListParents

Accorde l'autorisation de répertorier les racines ou unités organisationnelles (OU) qui servent de parent immédiat d'un compte ou d'une unité organisationnelle enfant

account

aws:ResourceTag/${TagKey}

List

organizationalunit

aws:ResourceTag/${TagKey}

ListPolicies

Accorde l'autorisation de répertorier toutes les stratégies d'une organisation

organizations:PolicyType

List

ListPoliciesForTarget

Accorde l'autorisation de répertorier toutes les stratégies qui sont attachées directement à une racine, une unité organisationnelle (OU) ou un compte

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

ListRoots

Accorde l'autorisation de répertorier toutes les racines qui sont définies dans l'organisation

List

ListTagsForResource

Accorde l'autorisation de répertorier toutes les balises pour la ressource spécifiée

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

policy

aws:ResourceTag/${TagKey}

organizations:PolicyType

resourcepolicy

aws:ResourceTag/${TagKey}

organizations:PolicyType

responsibilitytransfer

aws:ResourceTag/${TagKey}

organizations:PolicyType

organizations:TransferDirection

organizations:TransferType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

ListTargetsForPolicy

Accorde l'autorisation de répertorier toutes les racines, unités organisationnelles et tous les comptes auxquels une politique est attachée

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

MoveAccount

Accorde l'autorisation de déplacer un compte de sa racine ou unité organisationnelle actuelle vers une autre racine ou unité organisationnelle parent

account*

aws:ResourceTag/${TagKey}

Écrire

organizationalunit*

aws:ResourceTag/${TagKey}

root*

aws:ResourceTag/${TagKey}

PutResourcePolicy

Accorde l'autorisation de créer ou de mettre à jour une politique de ressource

resourcepolicy*

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Gestion des autorisations, Rédaction

RegisterDelegatedAdministrator

Autorise l'enregistrement du compte de membre spécifié pour administrer les fonctionnalités des organisations du AWS service spécifié par ServicePrincipal

account*

aws:ResourceTag/${TagKey}

organizations:ServicePrincipal

Écrire

RemoveAccountFromOrganization

Autorise la suppression du compte spécifié de l'organisation

account*

aws:ResourceTag/${TagKey}

Écrire

TagResource

Accorde l'autorisation d'ajouter une ou plusieurs identifications à la ressource spécifiée

account

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

Marquer, écrire

organizationalunit

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

policy

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

resourcepolicy

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

responsibilitytransfer

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

organizations:TransferDirection

organizations:TransferType

root

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

TerminateResponsibilityTransfer

Autorise la fin du transfert d'une responsabilité à destination ou en provenance de votre organisation

responsibilitytransfer*

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Écrire

UntagResource

Accorde l'autorisation de supprimer une ou plusieurs identifications de la ressource spécifiée

account

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

Marquer, écrire

organizationalunit

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

policy

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

resourcepolicy

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

responsibilitytransfer

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

organizations:TransferDirection

organizations:TransferType

root

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

UpdateOrganizationalUnit

Accorde l'autorisation de renommer une unité organisationnelle (OU)

organizationalunit*

aws:ResourceTag/${TagKey}

Écrire

UpdatePolicy

Accorde l'autorisation de mettre à jour une politique existante avec un nouveau nom, une nouvelle description ou un nouveau contenu

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Gestion des autorisations, Rédaction

UpdateResponsibilityTransfer

Permet de renommer un transfert de responsabilité depuis ou vers votre organisation

responsibilitytransfer*

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Écrire

Types de ressources définis par AWS Organizations

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM.

Types de ressources ARN Clés de condition

account

arn:${Partition}:organizations::${Account}:account/o-${OrganizationId}/${AccountId}

aws:ResourceTag/${TagKey}

awspolicy

arn:${Partition}:organizations::aws:policy/${PolicyType}/p-${PolicyId}

handshake

arn:${Partition}:organizations::${Account}:handshake/o-${OrganizationId}/${HandshakeType}/h-${HandshakeId}

organization

arn:${Partition}:organizations::${Account}:organization/o-${OrganizationId}

organizationalunit

arn:${Partition}:organizations::${Account}:ou/o-${OrganizationId}/ou-${OrganizationalUnitId}

aws:ResourceTag/${TagKey}

policy

arn:${Partition}:organizations::${Account}:policy/o-${OrganizationId}/${PolicyType}/p-${PolicyId}

aws:ResourceTag/${TagKey}

resourcepolicy

arn:${Partition}:organizations::${Account}:resourcepolicy/o-${OrganizationId}/rp-${ResourcePolicyId}

aws:ResourceTag/${TagKey}

responsibilitytransfer

arn:${Partition}:organizations::${Account}:transfer/o-${OrganizationId}/${TransferType}/${TransferDirection}/rt-${ResponsibilityTransferId}

aws:ResourceTag/${TagKey}

root

arn:${Partition}:organizations::${Account}:root/o-${OrganizationId}/r-${RootId}

aws:ResourceTag/${TagKey}

Clés de condition pour AWS Organizations

AWS Les organisations définissent les clés de condition suivantes qui peuvent être utilisées dans Condition élément d'une politique IAM.

Clés de condition Description Type

aws:RequestTag/${TagKey}

Filtre l'accès en fonction des identifications transmises dans la demande

String

aws:ResourceTag/${TagKey}

Filtre l'accès en fonction des identifications associées à la ressource

String

aws:TagKeys

Filtre l'accès en fonction des clés d'identification qui sont transmises dans la demande

ArrayOfString

organizations:PolicyType

Filtre l'accès en fonction du type de tâche spécifié

String

organizations:ServicePrincipal

Filtre l'accès en fonction du service principal spécifié

String

organizations:TransferDirection

Filtre l'accès en fonction de la responsabilité spécifiée, transfert par la direction

String

organizations:TransferType

Filtre l'accès en fonction des noms de type de transfert de responsabilité spécifiés

String