View a markdown version of this page

Creazione OrganizationAccountAccessRole di un account invitato con AWS Organizations - AWS Organizations

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Creazione OrganizationAccountAccessRole di un account invitato con AWS Organizations

Per impostazione predefinita, se crei un account membro come parte dell'organizzazione, AWS crea automaticamente un ruolo nell'account che concede le autorizzazioni di amministratore agli utenti IAM delegati nell'account di gestione. Per impostazione predefinita, tale ruolo è denominato OrganizationAccountAccessRole. Per ulteriori informazioni, consulta Accesso a un account membro OrganizationAccountAccessRole con AWS Organizations.

Tuttavia, gli account membro invitati a far parte dell'organizzazione non ottengono automaticamente un ruolo amministratore creato. È necessario eseguire questa operazione manualmente, come illustrato nella procedura seguente. Essenzialmente, in questo modo viene duplicato il ruoto automaticamente configurato per gli account creati. Consigliamo di utilizzare lo stesso nome, OrganizationAccountAccessRole, per i ruoli creati manualmente per coerenza e facilità di memorizzazione.

Console di gestione AWS
Per creare un AWS Organizations ruolo di amministratore in un account membro

  1. Accedi alla console IAM all'indirizzo https://console.aws.amazon.com/iam/. È necessario accedere come utente IAM, assumere un ruolo IAM o accedere come utente root (non consigliato) nell'account membro. L'utente o il ruolo devono avere autorizzazioni per creare i ruoli e le policy IAM.

  2. Nella console IAM, vai su Ruoli e quindi scegli Crea ruolo.

  3. Scegli Account AWS, quindi seleziona Altro Account AWS.

  4. Inserisci il numero ID di 12 cifre dell'account di gestione a cui desideri concedere l'accesso come amministratore. In Opzioni, tieni presente quanto segue:

    • Per questo ruolo, poiché gli account sono interni all'azienda, non è necessario scegliere Require external ID (Richiedi ID esterno). Per ulteriori informazioni sull'opzione ID esterno, vedi Quando devo usare un ID esterno? nella Guida per l'utente IAM.

    • Se l'MFA è abilitata e configurata, è possibile scegliere di richiedere l'autenticazione utilizzando un dispositivo MFA. Per ulteriori informazioni sull'MFA, consulta Using Multi-Factor Authentication (MFA) AWS nella IAM User Guide.

  5. Scegli Next (Successivo).

  6. Nella pagina Aggiungi autorizzazioni, scegli la policy AWS gestita denominata, quindi scegli AdministratorAccess Avanti.

  7. Nella pagina Nome, revisione e creazione, specifica il nome del ruolo e una descrizione opzionale. Consigliamo di utilizzare OrganizationAccountAccessRole, per coerenza con il nome predefinito assegnato al ruolo nei nuovi account. Per rendere effettive le modifiche, scegliere Create role (Crea ruolo).

  8. Il nuovo ruolo viene visualizzato nell'elenco di ruoli disponibili. Scegli il nome del nuovo ruolo per visualizzare i dettagli, facendo particolare attenzione all'URL del link che viene fornito. Assegnare questo URL agli utenti nell'account membro che deve accedere al ruolo. Inoltre, prendere nota del Role ARN (ARN ruolo) perché sarà necessario nella fase 15.

  9. Accedi alla console IAM all'indirizzo https://console.aws.amazon.com/iam/. A questo punto, accedi come utente nell'account di gestione che dispone delle autorizzazioni per creare policy e assegnare le policy a utenti o gruppi.

  10. Vai su Policy e quindi scegli Crea policy.

  11. In Service (Servizio), scegliere STS.

  12. In Azioni, iniziare a digitare AssumeRole nella casella Filtro e quindi selezionare la casella di controllo accanto quando viene visualizzata.

  13. In Risorse, assicurati che Specifico sia selezionato, quindi scegli Aggiungi ARN.

  14. Inserisci il numero ID dell'account AWS membro, quindi inserisci il nome del ruolo che hai creato in precedenza nei passaggi 1—8. Scegli Aggiungi ARN.

  15. Se si concede l'autorizzazione per assumere il ruolo in più account membri, ripetere le fasi 14 e 15 per ogni account.

  16. Scegli Next (Successivo).

  17. Nella pagina Rivedi e crea, inserisci un nome per la nuova politica, quindi scegli Crea politica per salvare le modifiche.

  18. Scegli i gruppi di utenti IAM nel pannello di navigazione, quindi scegli il nome del gruppo (non la casella di controllo) che desideri utilizzare per delegare l'amministrazione dell'account membro.

  19. Scegli la scheda Autorizzazioni.

  20. Scegli Aggiungi autorizzazioni, scegli Allega policy, quindi seleziona la policy che hai creato nei passaggi 11—18.

Gli utenti che sono membri del gruppo selezionato ora possono utilizzare l'URL che hai acquisito nella fase 9 per accedere a ciascun ruolo dell'account membro. Possono accedere a questi account membri esattamente come se accedessero a un account creato nell'organizzazione. Per ulteriori informazioni su come utilizzare il ruolo per amministrare un account membro, consulta Accesso a un account membro OrganizationAccountAccessRole con AWS Organizations.