Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Actions, ressources et clés de condition pour AWS Organizations
AWS Organisations (préfixe du service) : organizations) fournit les opérations, ressources, actions et clés de condition spécifiques au service suivantes à utiliser dans les politiques d'autorisation IAM.
Références :
-
Découvrez comment configurer ce service.
-
Affichez la liste des opérations d'API disponibles pour ce service.
-
Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.
-
Consultez le référence d'autorisation de service programmatique
pour ce service.
Rubriques
Opérations d'API définies par AWS Organizations
Le tableau suivant associe les opérations d'API aux actions IAM qu'elles autorisent. Seules les clés de condition qui ont des valeurs statiques pour l'API et l'action données sont répertoriées ; pour l'ensemble complet des clés de condition prises en charge par chaque action, consultez le Tableau des actions.
| Opération | Action IAM | Clé de condition | Valeur (s) possible (s) | Niveau d’accès |
|---|---|---|---|---|
|
AcceptHandshake |
Écrire |
|||
Écrire |
||||
|
AttachPolicy |
Gestion des autorisations, Rédaction |
|||
|
CancelHandshake |
Écrire |
|||
|
CloseAccount |
Écrire |
|||
|
CreateAccount |
Écrire |
|||
Marquer, écrire |
||||
|
CreateGovCloudAccount |
Écrire |
|||
Marquer, écrire |
||||
|
CreateOrganization |
Écrire |
|||
|
CreateOrganizationalUnit |
Écrire |
|||
Marquer, écrire |
||||
|
CreatePolicy |
Écrire |
|||
Marquer, écrire |
||||
|
DeclineHandshake |
Écrire |
|||
|
DeleteOrganization |
Écrire |
|||
|
DeleteOrganizationalUnit |
Écrire |
|||
|
DeletePolicy |
Écrire |
|||
|
DeleteResourcePolicy |
Gestion des autorisations, Rédaction |
|||
|
DeregisterDelegatedAdministrator |
Écrire |
|||
|
DescribeAccount |
Lecture |
|||
|
DescribeCreateAccountStatus |
Lecture |
|||
|
DescribeEffectivePolicy |
Lecture |
|||
|
DescribeHandshake |
Lecture |
|||
|
DescribeOrganization |
Lecture |
|||
|
DescribeOrganizationalUnit |
Lecture |
|||
|
DescribePolicy |
Lecture |
|||
|
DescribeResourcePolicy |
Lecture |
|||
|
DescribeResponsibilityTransfer |
Lecture |
|||
|
DetachPolicy |
Gestion des autorisations, Rédaction |
|||
|
DisableAWSServiceAccess |
Écrire |
|||
|
DisablePolicyType |
Écrire |
|||
|
EnableAWSServiceAccess |
Écrire |
|||
|
EnableAllFeatures |
Écrire |
|||
|
EnablePolicyType |
Écrire |
|||
|
InviteAccountToOrganization |
Écrire |
|||
Marquer, écrire |
||||
|
InviteOrganizationToTransferResponsibility |
Écrire |
|||
Marquer, écrire |
||||
|
LeaveOrganization |
Écrire |
|||
|
ListAWSServiceAccessForOrganization |
List |
|||
|
ListAccounts |
List |
|||
|
ListAccountsForParent |
List |
|||
|
ListAccountsWithInvalidEffectivePolicy |
List |
|||
|
ListChildren |
List |
|||
|
ListCreateAccountStatus |
List |
|||
|
ListDelegatedAdministrators |
List |
|||
|
ListDelegatedServicesForAccount |
List |
|||
|
ListEffectivePolicyValidationErrors |
List |
|||
|
ListHandshakesForAccount |
List |
|||
|
ListHandshakesForOrganization |
List |
|||
|
ListInboundResponsibilityTransfers |
List |
|||
|
ListOrganizationalUnitsForParent |
List |
|||
|
ListOutboundResponsibilityTransfers |
List |
|||
|
ListParents |
List |
|||
|
ListPolicies |
List |
|||
|
ListPoliciesForTarget |
List |
|||
|
ListRoots |
List |
|||
|
ListTagsForResource |
List |
|||
|
ListTargetsForPolicy |
List |
|||
|
MoveAccount |
Écrire |
|||
|
PutResourcePolicy |
Gestion des autorisations, Rédaction |
|||
Marquer, écrire |
||||
|
RegisterDelegatedAdministrator |
Écrire |
|||
|
RemoveAccountFromOrganization |
Écrire |
|||
|
TagResource |
Marquer, écrire |
|||
|
TerminateResponsibilityTransfer |
Écrire |
|||
|
UntagResource |
Marquer, écrire |
|||
|
UpdateOrganizationalUnit |
Écrire |
|||
|
UpdatePolicy |
Gestion des autorisations, Rédaction |
|||
|
UpdateResponsibilityTransfer |
Écrire |
Actions définies par AWS Organizations
Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Pour chaque action, le tableau répertorie les types de ressources et les clés de condition pris en charge par cette action. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.
| Actions | Description | Types de ressources (*obligatoire) | Clés de condition | Niveau d’accès |
|---|---|---|---|---|
Accorde l'autorisation d'envoyer une réponse à l'auteur d'une liaison pour accepter l'action proposée par la demande de liaison (handshake) |
Écrire |
|||
Accorde l'autorisation d'attacher une politique à une racine, une unité organisationnelle ou un compte individuel |
Gestion des autorisations, Rédaction |
|||
Accorde l'autorisation d'annuler une demande de liaison (handshake) |
Écrire |
|||
Autorise la fermeture d'un Compte AWS qui fait désormais partie d'une organisation, soit créée au sein de l'organisation, soit invitée à rejoindre l'organisation |
Écrire |
|||
Accorde l'autorisation de créer un Compte AWS qui est automatiquement membre de l'organisation avec les informations d'identification qui ont fait la demande |
Écrire |
|||
Accorde l'autorisation de créer un AWS GovCloud compte (américain) |
Écrire |
|||
Accorde l'autorisation de créer une organisation. Le compte contenant les informations d'identification qui appelle le CreateOrganization l'opération devient automatiquement le compte de gestion de la nouvelle organisation |
Écrire |
|||
Accorde l'autorisation de créer une unité organisationnelle (OU) au sein d'une unité organisationnelle racine ou parent |
Écrire |
|||
Autorise la création d'une politique que vous pouvez associer à une racine, à une unité organisationnelle (OU) ou à un individu Compte AWS |
Écrire |
|||
Accorde l'autorisation de refuser une demande de liaison. Cette action définit l'état de la liaison sur DECLINED (REFUSÉ) et désactive effectivement la requête |
Écrire |
|||
Accorde l'autorisation de supprimer l'organisation |
Écrire |
|||
Accorde l'autorisation de supprimer une unité organisationnelle d'une unité organisationnelle racine ou d'une autre unité organisationnelle |
Écrire |
|||
Accorde l'autorisation de supprimer une politique de votre organisation |
Écrire |
|||
Accorde l'autorisation de supprimer une politique de votre organisation |
Gestion des autorisations, Rédaction |
|||
Autorise le désenregistrement du membre spécifié Compte AWS en tant qu'administrateur délégué pour AWS service spécifié par ServicePrincipal |
Écrire |
|||
Accorde l'autorisation de récupérer Organizations-related détails sur le compte spécifié |
Lecture |
|||
Accorde l'autorisation de récupérer le statut actuel d'une requête asynchrone pour créer un compte |
Lecture |
|||
Accorde l'autorisation de récupérer la politique effective d'un compte |
Lecture |
|||
Accorde l'autorisation de récupérer les détails relatifs à une liaison demandée précédemment |
Lecture |
|||
Accorde l'autorisation de récupérer des informations sur l'organisation à laquelle appartiennent les informations d'identification de l'appelant |
Lecture |
|||
Accorde l'autorisation de récupérer les détails relatifs à une unité organisationnelle (OU) |
Lecture |
|||
Octroie l'autorisation de récupérer les informations relatives à une politique |
Lecture |
|||
Accorde l'autorisation d'obtenir des informations sur une politique de ressources |
Lecture |
|||
Autorise la récupération des informations relatives à un transfert de responsabilité antérieur |
Lecture |
|||
Accorde l'autorisation de détacher une politique d'une racine cible, d'une unité organisationnelle ou d'un compte |
Gestion des autorisations, Rédaction |
|||
Autorise la désactivation de l'intégration d'un AWS service (le service spécifié par ServicePrincipal) avec AWS Organisations |
Écrire |
|||
Accorde l'autorisation de désactiver un type de politique d'organisation dans une racine |
Écrire |
|||
Accorde l'autorisation d'activer l'intégration d'un AWS service (le service spécifié par ServicePrincipal) avec AWS Organisations |
Écrire |
|||
Accorde l'autorisation de démarrer le processus d'activation de toutes les fonctions dans une organisation, afin de la mettre à niveau pour qu'elle ne prenne pas seulement en charge les fonctions de facturation consolidée |
Écrire |
|||
Accorde l'autorisation d'activer un type de politique dans une racine |
Écrire |
|||
Autorise l'envoi d'une invitation à un autre Compte AWS, en lui demandant de rejoindre votre organisation en tant que compte membre |
Écrire |
|||
Autorise l'envoi d'une invitation à un autre Compte AWS, en lui demandant de transférer une responsabilité particulière à votre organisation |
Écrire |
|||
Accorde l'autorisation de supprimer un compte membre de son organisation parent |
Écrire |
|||
Accorde l'autorisation de récupérer la liste des AWS services pour lesquels vous avez activé l'intégration avec votre organisation |
List |
|||
Autorise la liste de tous les comptes de l'organisation |
List |
|||
Accorde l'autorisation de répertorier les comptes d'une organisation qui se trouvent dans une racine ou une unité organisationnelle (OU) |
List |
|||
Autorise à répertorier les comptes dont les politiques en vigueur ne sont pas valides pour un type de politique spécifié |
List |
|||
Accorde l'autorisation de répertorier toutes les unités organisationnelles ou comptes qui se trouvent dans une unité organisationnelle parent ou une racine |
List |
|||
Accorde l'autorisation de répertorier les demandes de création de compte asynchrones qui font actuellement l'objet d'un suivi pour l'organisation |
List |
|||
Accorde l'autorisation de répertorier les AWS comptes désignés en tant qu'administrateurs délégués dans cette organisation |
List |
|||
Accorde l'autorisation de répertorier les AWS services pour lesquels le compte spécifié est un administrateur délégué dans cette organisation |
List |
|||
Autorise à répertorier les erreurs de validation détectées dans la politique en vigueur pour un compte et un type de politique spécifiques |
List |
|||
Accorde l'autorisation de répertorier toutes les liaisons qui sont associées à un compte |
List |
|||
Accorde l'autorisation de répertorier les liaisons qui sont associées à l'organisation |
List |
|||
Permet de répertorier toutes les responsabilités d'un type particulier transférées à votre organisation |
List |
|||
Autorise la liste de toutes les unités organisationnelles (UO) d'une unité organisationnelle mère ou racine |
List |
|||
Autorise la liste de toutes les responsabilités d'un type particulier transférées à une autre organisation |
List |
|||
Accorde l'autorisation de répertorier les racines ou unités organisationnelles (OU) qui servent de parent immédiat d'un compte ou d'une unité organisationnelle enfant |
List |
|||
Accorde l'autorisation de répertorier toutes les stratégies d'une organisation |
List |
|||
Accorde l'autorisation de répertorier toutes les stratégies qui sont attachées directement à une racine, une unité organisationnelle (OU) ou un compte |
List |
|||
Accorde l'autorisation de répertorier toutes les racines qui sont définies dans l'organisation |
List |
|||
Accorde l'autorisation de répertorier toutes les balises pour la ressource spécifiée |
List |
|||
Accorde l'autorisation de répertorier toutes les racines, unités organisationnelles et tous les comptes auxquels une politique est attachée |
List |
|||
Accorde l'autorisation de déplacer un compte de sa racine ou unité organisationnelle actuelle vers une autre racine ou unité organisationnelle parent |
Écrire |
|||
Accorde l'autorisation de créer ou de mettre à jour une politique de ressource |
Gestion des autorisations, Rédaction |
|||
Autorise l'enregistrement du compte de membre spécifié pour administrer les fonctionnalités des organisations du AWS service spécifié par ServicePrincipal |
Écrire |
|||
Autorise la suppression du compte spécifié de l'organisation |
Écrire |
|||
Accorde l'autorisation d'ajouter une ou plusieurs identifications à la ressource spécifiée |
Marquer, écrire |
|||
Autorise la fin du transfert d'une responsabilité à destination ou en provenance de votre organisation |
Écrire |
|||
Accorde l'autorisation de supprimer une ou plusieurs identifications de la ressource spécifiée |
Marquer, écrire |
|||
Accorde l'autorisation de renommer une unité organisationnelle (OU) |
Écrire |
|||
Accorde l'autorisation de mettre à jour une politique existante avec un nouveau nom, une nouvelle description ou un nouveau contenu |
Gestion des autorisations, Rédaction |
|||
Permet de renommer un transfert de responsabilité depuis ou vers votre organisation |
Écrire |
Types de ressources définis par AWS Organizations
Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM.
| Types de ressources | ARN | Clés de condition |
|---|---|---|
arn:${Partition}:organizations::${Account}:account/o-${OrganizationId}/${AccountId} |
||
arn:${Partition}:organizations::aws:policy/${PolicyType}/p-${PolicyId} |
||
arn:${Partition}:organizations::${Account}:handshake/o-${OrganizationId}/${HandshakeType}/h-${HandshakeId} |
||
arn:${Partition}:organizations::${Account}:organization/o-${OrganizationId} |
||
arn:${Partition}:organizations::${Account}:ou/o-${OrganizationId}/ou-${OrganizationalUnitId} |
||
arn:${Partition}:organizations::${Account}:policy/o-${OrganizationId}/${PolicyType}/p-${PolicyId} |
||
arn:${Partition}:organizations::${Account}:resourcepolicy/o-${OrganizationId}/rp-${ResourcePolicyId} |
||
arn:${Partition}:organizations::${Account}:transfer/o-${OrganizationId}/${TransferType}/${TransferDirection}/rt-${ResponsibilityTransferId} |
||
arn:${Partition}:organizations::${Account}:root/o-${OrganizationId}/r-${RootId} |
Clés de condition pour AWS Organizations
AWS Les organisations définissent les clés de condition suivantes qui peuvent être utilisées dans Condition élément d'une politique IAM.
| Clés de condition | Description | Type |
|---|---|---|
Filtre l'accès en fonction des identifications transmises dans la demande |
String |
|
Filtre l'accès en fonction des identifications associées à la ressource |
String |
|
Filtre l'accès en fonction des clés d'identification qui sont transmises dans la demande |
ArrayOfString |
|
Filtre l'accès en fonction du type de tâche spécifié |
String |
|
Filtre l'accès en fonction du service principal spécifié |
String |
|
Filtre l'accès en fonction de la responsabilité spécifiée, transfert par la direction |
String |
|
Filtre l'accès en fonction des noms de type de transfert de responsabilité spécifiés |
String |