View a markdown version of this page

Azioni, risorse e chiavi di condizione per AWS Organizations - Service Authorization Reference

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Azioni, risorse e chiavi di condizione per AWS Organizations

AWS Organizzazioni (prefisso del servizio: organizations) fornisce le seguenti operazioni, risorse, azioni e chiavi di condizione specifiche del servizio da utilizzare nelle politiche di autorizzazione IAM.

Riferimenti:

Operazioni API definite da AWS Organizations

La tabella seguente associa le operazioni API alle azioni IAM che autorizzano. Sono elencate solo le chiavi di condizione che hanno valori statici per l'API e l'azione specificate; per il set completo di chiavi di condizione supportate da ciascuna azione, consulta Tabella delle azioni.

Operazione Azione IAM Chiave di condizione Valori possibili Livello di accesso

AcceptHandshake

organizations:AcceptHandshake

Scrittura

organizations:LeaveOrganization

Scrittura

AttachPolicy

organizations:AttachPolicy

Gestione delle autorizzazioni, scrittura

CancelHandshake

organizations:CancelHandshake

Scrittura

CloseAccount

organizations:CloseAccount

Scrittura

CreateAccount

organizations:CreateAccount

Scrittura

organizations:TagResource

Etichettatura, scrittura

CreateGovCloudAccount

organizations:CreateGovCloudAccount

Scrittura

organizations:TagResource

Etichettare, scrivere

CreateOrganization

organizations:CreateOrganization

Scrittura

CreateOrganizationalUnit

organizations:CreateOrganizationalUnit

Scrittura

organizations:TagResource

Etichettare, scrivere

CreatePolicy

organizations:CreatePolicy

Scrittura

organizations:TagResource

Etichettare, scrivere

DeclineHandshake

organizations:DeclineHandshake

Scrittura

DeleteOrganization

organizations:DeleteOrganization

Scrittura

DeleteOrganizationalUnit

organizations:DeleteOrganizationalUnit

Scrittura

DeletePolicy

organizations:DeletePolicy

Scrittura

DeleteResourcePolicy

organizations:DeleteResourcePolicy

Gestione delle autorizzazioni, Write

DeregisterDelegatedAdministrator

organizations:DeregisterDelegatedAdministrator

Scrittura

DescribeAccount

organizations:DescribeAccount

Lettura

DescribeCreateAccountStatus

organizations:DescribeCreateAccountStatus

Lettura

DescribeEffectivePolicy

organizations:DescribeEffectivePolicy

Lettura

DescribeHandshake

organizations:DescribeHandshake

Lettura

DescribeOrganization

organizations:DescribeOrganization

Lettura

DescribeOrganizationalUnit

organizations:DescribeOrganizationalUnit

Lettura

DescribePolicy

organizations:DescribePolicy

Lettura

DescribeResourcePolicy

organizations:DescribeResourcePolicy

Lettura

DescribeResponsibilityTransfer

organizations:DescribeResponsibilityTransfer

Lettura

DetachPolicy

organizations:DetachPolicy

Gestione delle autorizzazioni, Write

DisableAWSServiceAccess

organizations:DisableAWSServiceAccess

Scrittura

DisablePolicyType

organizations:DisablePolicyType

Scrittura

EnableAWSServiceAccess

organizations:EnableAWSServiceAccess

Scrittura

EnableAllFeatures

organizations:EnableAllFeatures

Scrittura

EnablePolicyType

organizations:EnablePolicyType

Scrittura

InviteAccountToOrganization

organizations:InviteAccountToOrganization

Scrittura

organizations:TagResource

Etichettatura, scrittura

InviteOrganizationToTransferResponsibility

organizations:InviteOrganizationToTransferResponsibility

Scrittura

organizations:TagResource

Etichettare, scrivere

LeaveOrganization

organizations:LeaveOrganization

Scrittura

ListAWSServiceAccessForOrganization

organizations:ListAWSServiceAccessForOrganization

List

ListAccounts

organizations:ListAccounts

List

ListAccountsForParent

organizations:ListAccountsForParent

List

ListAccountsWithInvalidEffectivePolicy

organizations:ListAccountsWithInvalidEffectivePolicy

List

ListChildren

organizations:ListChildren

List

ListCreateAccountStatus

organizations:ListCreateAccountStatus

List

ListDelegatedAdministrators

organizations:ListDelegatedAdministrators

List

ListDelegatedServicesForAccount

organizations:ListDelegatedServicesForAccount

List

ListEffectivePolicyValidationErrors

organizations:ListEffectivePolicyValidationErrors

List

ListHandshakesForAccount

organizations:ListHandshakesForAccount

List

ListHandshakesForOrganization

organizations:ListHandshakesForOrganization

List

ListInboundResponsibilityTransfers

organizations:ListInboundResponsibilityTransfers

List

ListOrganizationalUnitsForParent

organizations:ListOrganizationalUnitsForParent

List

ListOutboundResponsibilityTransfers

organizations:ListOutboundResponsibilityTransfers

List

ListParents

organizations:ListParents

List

ListPolicies

organizations:ListPolicies

List

ListPoliciesForTarget

organizations:ListPoliciesForTarget

List

ListRoots

organizations:ListRoots

List

ListTagsForResource

organizations:ListTagsForResource

List

ListTargetsForPolicy

organizations:ListTargetsForPolicy

List

MoveAccount

organizations:MoveAccount

Scrittura

PutResourcePolicy

organizations:PutResourcePolicy

Gestione delle autorizzazioni, Write

organizations:TagResource

Etichettatura, scrittura

RegisterDelegatedAdministrator

organizations:RegisterDelegatedAdministrator

Scrittura

RemoveAccountFromOrganization

organizations:RemoveAccountFromOrganization

Scrittura

TagResource

organizations:TagResource

Etichettare, scrivere

TerminateResponsibilityTransfer

organizations:TerminateResponsibilityTransfer

Scrittura

UntagResource

organizations:UntagResource

Etichettare, scrivere

UpdateOrganizationalUnit

organizations:UpdateOrganizationalUnit

Scrittura

UpdatePolicy

organizations:UpdatePolicy

Gestione delle autorizzazioni, Write

UpdateResponsibilityTransfer

organizations:UpdateResponsibilityTransfer

Scrittura

Azioni definite da AWS Organizations

Puoi specificare le seguenti operazioni nell'elemento Action di un'istruzione di policy IAM. Per ogni azione, la tabella elenca i tipi di risorse e le chiavi di condizione supportate da tale azione. Utilizza le policy per concedere le autorizzazioni per eseguire un'operazione in AWS. Quando utilizzi un'operazione in una policy, in genere consenti o rifiuti l'accesso all'operazione API o al comando CLI con lo stesso nome. Tuttavia, in alcuni casi, una singola operazione controlla l'accesso a più di una operazione. In alternativa, alcune operazioni richiedono operazioni differenti.

Operazioni Description Tipi di risorsa (*obbligatorio) Chiavi di condizione Livello di accesso

AcceptHandshake

Autorizza l'utente a inviare una risposta al mittente di un handshake accettando l'operazione proposta dalla richiesta di handshake

handshake*

Scrittura

AttachPolicy

Autorizza l'utente a collegare una policy a una directory principale, un'unità organizzativa o un singolo account

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

Gestione delle autorizzazioni, Write

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

CancelHandshake

Autorizza l'utente ad annullare un handshake

handshake*

Scrittura

CloseAccount

Concede il permesso di chiudere un Account AWS che ora fa parte di un'organizzazione, creata all'interno dell'organizzazione o invitata a far parte dell'organizzazione

account*

aws:ResourceTag/${TagKey}

Scrittura

CreateAccount

Concede il permesso di creare un Account AWS che è automaticamente un membro dell'organizzazione con le credenziali che ha effettuato la richiesta

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Scrittura

CreateGovCloudAccount

Concede il permesso di creare un AWS GovCloud account (USA)

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Scrittura

CreateOrganization

Autorizza l'utente a creare un'organizzazione. L'account con le credenziali che chiama il CreateOrganization l'operazione diventa automaticamente l'account di gestione della nuova organizzazione

Scrittura

CreateOrganizationalUnit

Autorizza l'utente a creare un'unità organizzativa (Organizational Unit, OU) all'interno di una directory principale o di un'unità organizzativa padre

organizationalunit

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Scrittura

root

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

CreatePolicy

Concede l'autorizzazione a creare una policy che è possibile allegare a una radice, a un'unità organizzativa (OU) o a un individuo Account AWS

policy*

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

Scrittura

DeclineHandshake

Autorizza l'utente a rifiutare una richiesta di handshake. Questa operazione imposta lo stato di handshake a DECLINED e disabilita la richiesta

handshake*

Scrittura

DeleteOrganization

Autorizza l'utente a eliminare l'organizzazione

Scrittura

DeleteOrganizationalUnit

Autorizza l'utente a eliminare un'unità organizzativa da una directory principale o da un'altra unità organizzativa

organizationalunit*

aws:ResourceTag/${TagKey}

Scrittura

DeletePolicy

Autorizza l'utente a eliminare una policy dall'organizzazione

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Scrittura

DeleteResourcePolicy

Concede l'autorizzazione per eliminare una policy della risorsa dall'organizzazione

Gestione delle autorizzazioni, Write

DeregisterDelegatedAdministrator

Concede il permesso di annullare la registrazione del membro specificato Account AWS in qualità di amministratore delegato per AWS servizio specificato da ServicePrincipal

account*

aws:ResourceTag/${TagKey}

organizations:ServicePrincipal

Scrittura

DescribeAccount

Concede il permesso di recuperare Organizations-related dettagli sull'account specificato

account*

aws:ResourceTag/${TagKey}

Lettura

DescribeCreateAccountStatus

Autorizza l'utente a recuperare l'attuale stato di una richiesta asincrona di creazione di un account

Lettura

DescribeEffectivePolicy

Concede l'autorizzazione per recuperare la policy operativa per un account

account*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Lettura

DescribeHandshake

Autorizza l'utente a recuperare i dettagli di una richiesta di handshake inviata in precedenza

handshake*

Lettura

DescribeOrganization

Concede l'autorizzazione a recuperare i dettagli sull'organizzazione a cui appartengono le credenziali di chiamata

Lettura

DescribeOrganizationalUnit

Autorizza l'utente a recuperare i dettagli relativi a un'unità organizzativa

organizationalunit*

aws:ResourceTag/${TagKey}

Lettura

DescribePolicy

Concede il permesso di recuperare i dettagli su una politica

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Lettura

DescribeResourcePolicy

Concede l'autorizzazione per recuperare informazioni su una policy della risorsa

Lettura

DescribeResponsibilityTransfer

Concede il permesso di recuperare i dettagli su un precedente trasferimento di responsabilità

responsibilitytransfer*

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Lettura

DetachPolicy

Autorizza l'utente a scollegare una policy da una directory principale, unità organizzativa o account di destinazione

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

Gestione delle autorizzazioni, scrittura

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

DisableAWSServiceAccess

Concede il permesso di disabilitare l'integrazione di un AWS servizio (il servizio specificato da ServicePrincipal) con AWS Organizzazioni

organizations:ServicePrincipal

Scrittura

DisablePolicyType

Autorizza l'utente a disabilitare un tipo di policy di un'organizzazione in una directory principale

root*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Scrittura

EnableAWSServiceAccess

Concede il permesso di consentire l'integrazione di un AWS servizio (il servizio specificato da ServicePrincipal) con AWS Organizzazioni

organizations:ServicePrincipal

Scrittura

EnableAllFeatures

Autorizza l'utente ad avviare il processo di abilitazione di tutte le funzionalità di un'organizzazione, permettendo ad essa di superare la limitazione del supporto delle sole funzionalità legate alla fatturazione consolidata

Scrittura

EnablePolicyType

Autorizza l'utente ad abilitare un tipo di policy in una directory principale

root*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Scrittura

InviteAccountToOrganization

Concede il permesso di inviare un invito a un altro Account AWS, chiedendogli di entrare a far parte della tua organizzazione come account membro

account

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Scrittura

InviteOrganizationToTransferResponsibility

Concede il permesso di inviare un invito a un altro Account AWS, chiedendogli di trasferire una particolare responsabilità alla tua organizzazione

account

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Scrittura

LeaveOrganization

Autorizza l'utente a rimuovere un account membro dall'organizzazione padre

Scrittura

ListAWSServiceAccessForOrganization

Concede il permesso di recuperare l'elenco dei AWS servizi per i quali hai abilitato l'integrazione con la tua organizzazione

List

ListAccounts

Concede il permesso di elencare tutti gli account dell'organizzazione

List

ListAccountsForParent

Autorizza l'utente a elencare gli account in un'organizzazione che sono inclusi in una directory principale o in un'unità organizzativa

organizationalunit

aws:ResourceTag/${TagKey}

List

root

aws:ResourceTag/${TagKey}

ListAccountsWithInvalidEffectivePolicy

Concede l'autorizzazione a elencare gli account con politiche efficaci non valide per un tipo di politica specificato

organizations:PolicyType

List

ListChildren

Autorizza l'utente a elencare tutte le unità organizzative o gli account contenuti in un'unità organizzativa padre o in una directory principale

organizationalunit

aws:ResourceTag/${TagKey}

List

root

aws:ResourceTag/${TagKey}

ListCreateAccountStatus

Autorizza l'utente a visualizzare l'elenco delle richieste di creazione di account asincrone che sono al momento monitorate per l'organizzazione

List

ListDelegatedAdministrators

Concede il permesso di elencare i AWS account designati come amministratori delegati in questa organizzazione

organizations:ServicePrincipal

List

ListDelegatedServicesForAccount

Concede il permesso di elencare i AWS servizi per i quali l'account specificato è un amministratore delegato in questa organizzazione

account*

aws:ResourceTag/${TagKey}

List

ListEffectivePolicyValidationErrors

Concede l'autorizzazione a elencare gli errori di convalida rilevati nella politica in vigore per un account e un tipo di politica specifici

account*

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

ListHandshakesForAccount

Autorizza l'utente a elencare tutti gli handshake associati a un account

List

ListHandshakesForOrganization

Autorizza l'utente a elencare gli handshake associati all'organizzazione

List

ListInboundResponsibilityTransfers

Concede il permesso di elencare tutte le responsabilità di un particolare tipo trasferite all'organizzazione

organizations:TransferDirection

organizations:TransferType

List

ListOrganizationalUnitsForParent

Concede il permesso di elencare tutte le unità organizzative (OU) in un'unità organizzativa principale o principale

organizationalunit

aws:ResourceTag/${TagKey}

List

root

aws:ResourceTag/${TagKey}

ListOutboundResponsibilityTransfers

Concede il permesso di elencare tutte le responsabilità di un particolare tipo trasferite a un'altra organizzazione

organizations:TransferDirection

organizations:TransferType

List

ListParents

Autorizza l'utente a elencare la directory principale o le unità organizzative che fungono da padre diretto di un'unità organizzativa figlio o di un account

account

aws:ResourceTag/${TagKey}

List

organizationalunit

aws:ResourceTag/${TagKey}

ListPolicies

Autorizza l'utente a elencare tutte le policy di un'organizzazione

organizations:PolicyType

List

ListPoliciesForTarget

Autorizza l'utente a elencare tutte le policy che sono direttamente associate a una directory principale, un'unità organizzativa o un account

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

ListRoots

Autorizza l'utente a elencare tutte le directory principali definite nell'organizzazione

List

ListTagsForResource

Autorizza l'utente a elencare tutti i tag per la risorsa specificata

account

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

organizationalunit

aws:ResourceTag/${TagKey}

organizations:PolicyType

policy

aws:ResourceTag/${TagKey}

organizations:PolicyType

resourcepolicy

aws:ResourceTag/${TagKey}

organizations:PolicyType

responsibilitytransfer

aws:ResourceTag/${TagKey}

organizations:PolicyType

organizations:TransferDirection

organizations:TransferType

root

aws:ResourceTag/${TagKey}

organizations:PolicyType

ListTargetsForPolicy

Autorizza l'utente a elencare tutte le directory principali, le unità organizzative e gli account ai quali è associata una policy

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

List

MoveAccount

Autorizza l'utente a spostare un account dalla directory principale o dall'unità organizzativa attuale a un'altra directory principale o unità organizzativa padre

account*

aws:ResourceTag/${TagKey}

Scrittura

organizationalunit*

aws:ResourceTag/${TagKey}

root*

aws:ResourceTag/${TagKey}

PutResourcePolicy

Concede l'autorizzazione per creare o aggiornare la policy di una risorsa

resourcepolicy*

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

Gestione delle autorizzazioni, scrittura

RegisterDelegatedAdministrator

Concede il permesso di registrare l'account membro specificato per amministrare le funzionalità Organizzative di AWS servizio specificato da ServicePrincipal

account*

aws:ResourceTag/${TagKey}

organizations:ServicePrincipal

Scrittura

RemoveAccountFromOrganization

Concede l'autorizzazione a rimuovere l'account specificato dall'organizzazione

account*

aws:ResourceTag/${TagKey}

Scrittura

TagResource

Concede l'autorizzazione per aggiungere uno o più tag alla risorsa specificata

account

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

Etichettatura, scrittura

organizationalunit

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

policy

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

resourcepolicy

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

responsibilitytransfer

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

organizations:TransferDirection

organizations:TransferType

root

aws:RequestTag/${TagKey}

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

TerminateResponsibilityTransfer

Concede il permesso di porre fine al trasferimento di una responsabilità da o verso l'organizzazione

responsibilitytransfer*

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Scrittura

UntagResource

Concede l'autorizzazione per rimuovere uno o più tag dalla risorsa specificata

account

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

Etichettatura, scrittura

organizationalunit

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

policy

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

resourcepolicy

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

responsibilitytransfer

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

organizations:TransferDirection

organizations:TransferType

root

aws:ResourceTag/${TagKey}

aws:TagKeys

organizations:PolicyType

UpdateOrganizationalUnit

Autorizza l'utente a rinominare un'unità organizzativa

organizationalunit*

aws:ResourceTag/${TagKey}

Scrittura

UpdatePolicy

Autorizza l'utente ad aggiornare una policy esistente con nuovi nome, descrizione o contenuti

policy*

aws:ResourceTag/${TagKey}

organizations:PolicyType

Gestione delle autorizzazioni, Write

UpdateResponsibilityTransfer

Concede il permesso di rinominare un trasferimento di responsabilità da o verso l'organizzazione

responsibilitytransfer*

aws:ResourceTag/${TagKey}

organizations:TransferDirection

organizations:TransferType

Scrittura

Tipi di risorse definiti da AWS Organizations

I seguenti tipi di risorse sono definiti da questo servizio e possono essere utilizzati nell'elemento Resource delle istruzioni di policy delle autorizzazioni IAM.

Tipi di risorse ARN Chiavi di condizione

account

arn:${Partition}:organizations::${Account}:account/o-${OrganizationId}/${AccountId}

aws:ResourceTag/${TagKey}

awspolicy

arn:${Partition}:organizations::aws:policy/${PolicyType}/p-${PolicyId}

handshake

arn:${Partition}:organizations::${Account}:handshake/o-${OrganizationId}/${HandshakeType}/h-${HandshakeId}

organization

arn:${Partition}:organizations::${Account}:organization/o-${OrganizationId}

organizationalunit

arn:${Partition}:organizations::${Account}:ou/o-${OrganizationId}/ou-${OrganizationalUnitId}

aws:ResourceTag/${TagKey}

policy

arn:${Partition}:organizations::${Account}:policy/o-${OrganizationId}/${PolicyType}/p-${PolicyId}

aws:ResourceTag/${TagKey}

resourcepolicy

arn:${Partition}:organizations::${Account}:resourcepolicy/o-${OrganizationId}/rp-${ResourcePolicyId}

aws:ResourceTag/${TagKey}

responsibilitytransfer

arn:${Partition}:organizations::${Account}:transfer/o-${OrganizationId}/${TransferType}/${TransferDirection}/rt-${ResponsibilityTransferId}

aws:ResourceTag/${TagKey}

root

arn:${Partition}:organizations::${Account}:root/o-${OrganizationId}/r-${RootId}

aws:ResourceTag/${TagKey}

Chiavi di condizione per AWS Organizations

AWS Le organizzazioni definiscono le seguenti chiavi di condizione che possono essere utilizzate in Condition elemento di una policy IAM.

Chiavi di condizione Descrizione Tipo

aws:RequestTag/${TagKey}

Filtra l'accesso per i tag passati nella richiesta

String

aws:ResourceTag/${TagKey}

Filtra l'accesso per i tag associati alla risorsa

String

aws:TagKeys

Filtra l'accesso tramite le chiavi di tag passate nella richiesta

ArrayOfString

organizations:PolicyType

Filtra l'accesso in base ai nomi del tipo di policy specificata

String

organizations:ServicePrincipal

Filtra l'accesso in base ai nomi dei principali del servizio specificato

String

organizations:TransferDirection

Filtra l'accesso in base alla responsabilità specificata, trasferimento da parte della direzione

String

organizations:TransferType

Filtra l'accesso in base ai nomi dei tipi di trasferimento di responsabilità specificati

String