翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

RCP 評価

のさまざまなレベルで複数のリソースコントロールポリシー (RCPs) をアタッチできるため AWS Organizations、RCPs の評価方法を理解することで、適切な結果をもたらす RCPs記述できます。

RCPsを使用するための戦略

RCPFullAWSAccess ポリシーは AWS マネージドポリシーです。リソースコントロールポリシー (RCPs。このポリシーをデタッチすることはできません。このデフォルトの RCP では、すべてのプリンシパルとアクションのアクセスが RCP 評価を通過できます。つまり、RCPs の作成とアタッチを開始するまで、既存の IAM アクセス許可はすべてそのまま動作し続けます。この AWS 管理ポリシーはアクセスを許可しません。

Deny ステートメントを使用して、組織内のリソースへのアクセスをブロックできます。特定のアカウントのリソースに対するアクセス許可を拒否する場合、ルートからアカウント (ターゲットアカウント自体を含む) への直接パスの各 OU までの RCP は、そのアクセス許可を拒否できます。

Deny ステートメントは、組織のより広範な部分に当てはまる制限を実装するための強力な方法です。たとえば、組織外の ID がリソースのルートレベルにアクセスできないようにポリシーをアタッチできます。これは、組織内のすべてのアカウントに対して有効です。 では、ポリシーがアカウントのリソースに与える影響を徹底的にテストすることなく、RCPs を組織のルートにアタッチしないことを AWS 強くお勧めします。詳細については、「RCPs の効果のテスト」を参照してください。

図 1 では、特定のサービスに明示的なDenyステートメントが指定されている RCP が本番稼働用 OU にアタッチされています。その結果、組織内のどのレベルにも適用された拒否ポリシーが、その下にあるすべての OU とメンバーアカウントに対して評価されるため、アカウント A とアカウント B の両方がサービスへのアクセスを拒否されます。

図 1: Production OU にアタッチされたDenyステートメントと、アカウント A とアカウント B への影響を含む組織構造の例