View a markdown version of this page

Memahami mode operasi API - AWS Pengelolaan Akun
Memberikan izin untuk memperbarui atribut akun

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Memahami mode operasi API

Informasi ini adalah tentang memahami mode operasi API jika Anda mendaftar untuk AWS menggunakan Daftar untuk AWS (lanjutan) atau jika Anda mengaktifkan fitur lanjutan untuk akun Anda. Untuk membandingkan opsi pendaftaran, lihatBandingkan opsi pendaftaran.

Operasi API yang bekerja dengan atribut Akun AWS an selalu bekerja di salah satu dari dua mode operasi:

  • Konteks mandiri — mode ini digunakan ketika pengguna atau peran dalam akun mengakses atau mengubah atribut akun di akun yang sama. Mode konteks mandiri secara otomatis digunakan jika Anda tidak menyer takan AccountId parameter saat memanggil salah satu operasi Manajemen Akun AWS CLI atau AWS SDK.

  • Konteks organisasi — mode ini digunakan ketika pengguna atau peran dalam satu akun dalam organisasi mengakses atau mengubah atribut akun di akun anggota yang berbeda di organisasi yang sama. Mode konteks organisasi secara otomatis digunakan ketika Anda menyer takan AccountId parameter saat memanggil salah satu operasi Manajemen Akun AWS CLI atau AWS SDK. Anda dapat memanggil operasi dalam mode ini hanya dari akun manajemen organisasi, atau akun admin yang didelegasikan untuk Manajemen Akun.

Oper AWS CLI asi dan AWS SDK dapat bekerja baik dalam konteks mandiri atau organisasi.

  • Jika Anda tidak menyertakan AccountId parameter, maka operasi berjalan dalam konteks mandiri dan secara otomatis menerapkan permintaan ke akun yang Anda gunakan untuk membuat permintaan. Ini benar apakah akun tersebut adalah anggota organisasi atau tidak.

  • Jika Anda menyertakan AccountId parameter, maka operasi berjalan dalam konteks organisasi, dan operasi bekerja pada akun Organisasi yang ditentukan.

    • Jika akun yang memanggil operasi adalah akun manajemen atau akun admin yang didelegasikan untuk layanan Manajemen Akun, maka Anda dapat menentukan akun anggota organisasi tersebut dalam AccountId parameter untuk memperbarui akun yang ditentukan.

    • Satu-satunya akun dalam organisasi yang dapat memanggil salah satu operasi kontak alternatif dan menentukan nomor akunnya sendiri dalam AccountId parameter adalah akun yang ditentukan sebagai akun admin yang di deleg asikan untuk layanan Manajemen Akun. Akun lain, termasuk akun manajemen, menerima AccessDenied pengecualian.

  • Jika Anda menjalankan operasi dalam mode mandiri, maka Anda harus diizinkan untuk menjalankan operasi dengan kebijakan IAM yang menyertakan Resource elemen "*" untuk mengizinkan semua sumber daya, atau ARN yang menggunakan sintaks untuk akun mandiri.

  • Jika Anda menjalankan operasi dalam mode organisasi, maka Anda harus diizinkan untuk menjalankan operasi dengan kebijakan IAM yang menyertakan Resource elemen "*" untuk mengizinkan semua sumber daya, atau ARN yang menggunakan sintaks untuk akun anggota dalam organisasi.

Memberikan izin untuk memperbarui atribut akun

Seperti kebanyakan AWS operasi, Anda memberikan izin untuk menambah, memperbarui, atau menghapus atribut akun Akun AWS dengan menggunakan kebijakan izin IAM. Saat Anda melampirkan kebijakan izin IAM ke prinsipal IAM (baik pengguna atau peran), Anda menentukan tindakan yang dapat dilakukan oleh kepala sekolah pada sumber daya mana, dan dalam kondisi apa.

Berikut ini adalah beberapa pertimbangan khusus Manajemen Akun untuk membuat kebijakan izin.

Format Nama Sumber Daya Amazon untuk Akun AWS

  • Nama Sumber Daya Amazon (ARN) untuk Akun AWS yang dapat Anda sertakan dalam resource elemen pernyataan kebijakan dibuat secara berbeda berdasarkan apakah akun yang ingin Anda rujuk adalah akun mandiri atau akun yang ada di organisasi. Lihat bagian sebelumnya diMemahami mode operasi API.

    • Akun ARN untuk akun mandiri:

      arn:aws:account::{AccountId}:account

      Anda harus menggunakan format ini saat menjalankan operasi atribut akun dalam mode mandiri dengan tidak menyertakan AccountID parameter.

    • Akun ARN untuk akun anggota dalam suatu organisasi:

      arn:aws:account::{ManagementAccountId}:account/o-{OrganizationId}/{AccountId}

      Anda harus menggunakan format ini saat menjalankan operasi atribut akun dalam mode organisasi dengan menyertakan AccountID parameter.

Kunci konteks untuk kebijakan IAM

Layanan Manajemen Akun juga menyediakan beberapa kunci kondisi khusus layanan Manajemen Akun yang memberikan kontrol halus atas izin yang Anda berikan.

akun: AccountResourceOrgPaths

Kunci konteks account:AccountResourceOrgPaths memungkinkan Anda menentukan jalur melalui hierarki organisasi Anda ke unit organisasi tertentu (OU). Hanya akun anggota yang terkandung oleh OU tersebut yang cocok dengan kondisi tersebut. Cuplikan contoh berikut membatasi kebijakan untuk diterapkan hanya pada akun yang ada di salah satu dari dua OU tertentu.

Karena account:AccountResourceOrgPaths merupakan tipe string multi-nilai, Anda harus menggunakan ForAnyValue atau operator string ForAllValues multi-nilai. Juga, perhatikan bahwa awalan pada kunci kondisi adalahaccount, meskipun Anda mereferensikan jalur ke OU dalam organisasi.

"Condition": {
    "ForAnyValue:StringLike": {
        "account:AccountResourceOrgPaths": [
            "o-aa111bb222/r-a1b2/ou-a1b2-f6g7h111/*", 
            "o-aa111bb222/r-a1b2/ou-a1b2-f6g7h222/*"
        ]
    }
}

akun: AccountResourceOrgTags

Kunci konteks account:AccountResourceOrgTags memungkinkan Anda mereferensikan tag yang dapat dilampirkan ke akun dalam organisasi. Tag adalah pasangan key/value string yang dapat Anda gunakan untuk mengkategorikan dan memberi label sumber daya di akun Anda. Untuk informasi selengkapnya tentang penandaan, lihat Editor Tag di Panduan AWS Resource Groups Pengguna. Untuk informasi tentang menggunakan tag sebagai bagian dari strategi kontrol akses berbasis atribut, lihat Apa itu ABAC AWS di Panduan Pengguna IAM. Cuplikan contoh berikut membatasi kebijakan untuk diterapkan hanya pada akun di organisasi yang memiliki tag dengan kunci project dan nilai salah satu ataublue. red

Karena account:AccountResourceOrgTags merupakan tipe string multi-nilai, Anda harus menggunakan ForAnyValue atau operator string ForAllValues multi-nilai. Juga, perhatikan bahwa awalan pada kunci kondisi adalahaccount, meskipun Anda merujuk tag pada akun anggota organisasi.

"Condition": {
    "ForAnyValue:StringLike": {
        "account:AccountResourceOrgTags/project": [
            "blue", 
            "red"
        ]
    }
}
catatan

Anda dapat melampirkan tag hanya ke akun dalam organisasi. Anda tidak dapat melampirkan tag ke mandiri Akun AWS.