View a markdown version of this page

Mettez à jour une politique de délégation basée sur les ressources avec AWS Organizations - AWS Organizations

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Mettez à jour une politique de délégation basée sur les ressources avec AWS Organizations

À partir du compte de gestion, mettez à jour une politique de délégation basée sur les ressources pour votre organisation et ajoutez une déclaration indiquant quels comptes membres peuvent effectuer des actions sur les politiques. Vous pouvez ajouter plusieurs déclarations dans la politique pour indiquer un ensemble d'autorisations différent pour les comptes membres.

Important

À compter du 30 juin 2026, les AWS Organisations n'autorisent plus NotAction et ne contiennent plus d'NotResourceéléments dans les politiques de délégation basées sur les ressources. Ces éléments sont incompatibles avec le modèle de liste d'autorisation de délégation et peuvent accorder un accès involontaire aux actions de gestion de l'organisation. Toute tentative de création ou de mise à jour d'une politique de délégation contenant NotAction ou NotResource postérieure à cette date est rejetée avec une erreur.

Les politiques stockées existantes continuent de fonctionner sans interruption. Passez en revue vos politiques de délégation et NotAction remplacez-les par une Action liste explicite et NotResource par une Resource liste explicite.

Autorisations minimales

Pour mettre à jour la politique de délégation basée sur les ressources, vous devez disposer des autorisations nécessaires pour exécuter les actions suivantes :

  • organizations:PutResourcePolicy

  • organizations:DescribeResourcePolicy

En outre, vous devez accorder aux rôles et aux utilisateurs du compte administrateur délégué les autorisations IAM correspondant aux actions requises. Sans autorisations IAM, on suppose que le principal appelant ne dispose pas des autorisations requises pour gérer les AWS Organizations politiques.

Console de gestion AWS

Ajoutez des instructions à la politique de délégation basée sur les ressources dans la Console de gestion AWS à l'aide de l'une des méthodes suivantes :

  • Politique JSON : collez et personnalisez un exemple de politique de délégation basée sur les ressources à utiliser dans votre compte, ou saisissez votre propre document de politique JSON dans l'éditeur JSON.

  • Éditeur visuel : créez une nouvelle politique de délégation dans l'éditeur visuel, qui vous guide dans la création d'une politique de délégation sans avoir à écrire de syntaxe JSON.

Utiliser l'éditeur de stratégie JSON pour mettre à jour une politique de délégation

  1. Connectez-vous à la console AWS Organizations. Vous devez vous connecter en tant qu'utilisateur IAM, assumer un rôle IAM ou vous connecter en tant qu'utilisateur racine (non recommandé) dans le compte de gestion de l'organisation.

  2. Cliquez sur Paramètres.

  3. Dans la AWS Organizations section Administrateur délégué pour, choisissez Modifier pour mettre à jour la politique de délégation des Organisations.

  4. Entrez un document de stratégie JSON. Pour de plus amples informations sur le langage de la stratégie IAM, consultez la référence de politique JSON IAM.

  5. Résolvez les avertissements de sécurité, les erreurs ou les avertissements généraux générés lors de la validation des politiques, puis choisissez Créer une politique.

Utiliser l'éditeur visuel pour mettre à jour une politique de délégation

  1. Connectez-vous à la console AWS Organizations. Vous devez vous connecter en tant qu'utilisateur IAM, assumer un rôle IAM ou vous connecter en tant qu'utilisateur racine (non recommandé) dans le compte de gestion de l'organisation.

  2. Cliquez sur Paramètres.

  3. Dans la AWS Organizations section Administrateur délégué pour, choisissez Modifier pour mettre à jour la politique de délégation des Organisations.

  4. Sur la page Create Delegation policy (Créer une politique de délégation), choisissez Add new statement (Ajouter une nouvelle déclaration).

  5. Réglez l'effet sur Allow.

  6. Ajoutez Principal pour définir les comptes membres auxquels vous souhaitez déléguer.

  7. Dans la liste des actions, choisissez les actions que vous souhaitez déléguer. Vous pouvez utiliser les actions de filtrage pour affiner les choix.

  8. Pour spécifier si le compte membre délégué peut attacher des politiques à la racine de l'organisation ou aux unités d'organisation, veuillez définir les Resources. Vous devez également sélectionner policy comme type de ressource. Vous pouvez spécifier des ressources de la manière suivante :

    • Choisissez Add a resource (Ajouter une ressource) et créez l'ARN (Amazon Resource Name) en suivant les instructions de la boîte de dialogue.

    • Répertoriez les ARN des ressources manuellement dans l'éditeur. Pour plus d'informations sur la syntaxe de l'ARN, consultez Amazon Resource Name (ARN) dans le Guide de référence AWS général. Pour de plus amples informations sur l'utilisation des ARN dans l'élément ressource d'une politique, consultez Éléments de politique JSON IAM : Resource.

  9. Choisissez Add a condition (Ajouter une condition) pour spécifier d'autres conditions, notamment le type de politique que vous souhaitez déléguer. Choisissez la clé de condition, la clé de balise, le qualificateur et l'opérateur de la condition, puis saisissez une Value. Lorsque vous avez terminé, choisissez Add condition (Ajouter une condition). Pour plus d'informations sur l'élément Condition, consultez Éléments de politique JSON IAM : Condition dans la référence de politique JSON IAM.

  10. Pour ajouter d'autres blocs d'autorisation, choisissez Add new statement (Ajouter une nouvelle déclaration). Pour chaque bloc, répétez les étapes 5 à 9.

  11. Résolvez les avertissements de sécurité, les erreurs ou les avertissements généraux générés lors de la validation de la politique, puis choisissez Enregistrer la politique.

AWS CLI & AWS SDKs
Création ou mise à jour d'une politique de délégation

Vous pouvez utiliser les commandes suivantes pour mettre à jour une politique de délégation :

  • AWS CLI : put-resource-policy

    L'exemple suivant crée ou met à jour la politique de délégation.

    $ aws organizations put-resource-policy --content
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Fully_manage_backup_policies",
            "Effect": "Allow",
            "Principal": {
                "AWS": "135791357913"
            },
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAccounts",
                "organizations:CreatePolicy",
                "organizations:DescribePolicy",
                "organizations:UpdatePolicy",
                "organizations:DeletePolicy",
                "organizations:AttachPolicy",
                "organizations:DetachPolicy"
            ],
            "Resource": [
                "arn:aws:organizations::246802468024:root/o-abcdef/r-pqrstu",
                "arn:aws:organizations::246802468024:ou/o-abcdef/*",
                "arn:aws:organizations::246802468024:account/o-abcdef/*",
                "arn:aws:organizations::246802468024:organization/policy/backup_policy/*",
            ],
            "Condition": {
                "StringLikeIfExists": {
                    "organizations:PolicyType": [
                        "BACKUP_POLICY"
                    ]
                }
            }
        }
    ]
}
Actions de politique de délégation prises en charge

Les actions suivantes sont prises en charge pour la politique de délégation :

  • AttachPolicy

  • CreatePolicy

  • DeletePolicy

  • DescribeAccount

  • DescribeCreateAccountStatus

  • DescribeEffectivePolicy

  • DescribeHandshake

  • DescribeOrganization

  • DescribeOrganizationalUnit

  • DescribePolicy

  • DescribeResourcePolicy

  • DetachPolicy

  • DisablePolicyType

  • EnablePolicyType

  • ListAccounts

  • ListAccountsForParent

  • ListAWSServiceAccessForOrganization

  • ListChildren

  • ListCreateAccountStatus

  • ListDelegatedAdministrators

  • ListDelegatedServicesForAccount

  • ListHandshakesForAccount

  • ListHandshakesForOrganization

  • ListOrganizationalUnitsForParent

  • ListParents

  • ListPolicies

  • ListPoliciesForTarget

  • ListRoots

  • ListTagsForResource

  • ListTargetsForPolicy

  • TagResource

  • UntagResource

  • UpdatePolicy

Clés de condition prises en charge

Seules les clés de condition prises en charge par AWS Organizations peuvent être utilisées pour la politique de délégation. Pour plus d'informations, consultez la section Clés de condition pour AWS Organizations la référence d'autorisation de service.