Quando utilizar AWS Organizations

O AWS Organizations é um serviço da AWS que você pode usar para gerenciar as Contas da AWS como um grupo. Isso fornece recursos, como faturamento consolidado, em que todas as faturas das contas são agrupadas e administradas por um pagante. Você também pode gerenciar de forma centralizada a segurança da organização usando controles baseados em políticas. Para obter mais informações sobre o AWS Organizations, consulte o Guia do usuário do AWS Organizations.

Acesso confiável

Quando você usa o AWS Organizations para gerenciar as contas como um grupo, a maioria das tarefas administrativas da organização só pode ser executada pela conta de gerenciamento da organização. Por padrão, isso só inclui as operações relacionadas ao gerenciamento da própria organização. Você pode estender essa funcionalidade adicional a outros serviços da AWS ao permitir o acesso confiável entre o Organizations e ao serviço em questão. O acesso confiável concede permissões ao serviço da AWS especificado para acessar informações sobre a organização e as contas que ela contém. Quando você habilita o acesso confiável para o Gerenciamento de Contas, o serviço de Gerenciamento de Contas concede ao Organizations e à conta de gerenciamento dele permissões para acessar os metadados, como as informações de contato primário ou alternativo, de todas as contas-membro da organização.

Para obter mais informações, consulte Habilitar o acesso confiável para o Gerenciamento de Contas da AWS.

Administrador delegado

Depois de habilitar o acesso confiável, você também pode optar por designar uma das contas-membro como uma conta de administrador delegado para o Gerenciamento de Contas da AWS. Isso permite que a conta de administrador delegado execute as mesmas tarefas de gerenciamento de metadados do Gerenciamento de Contas para as contas-membro na organização que, anteriormente, somente a conta de gerenciamento podia fazer. A conta de administrador delegado só pode acessar as tarefas de gerenciamento do serviço de Gerenciamento de Contas. A conta de administrador delegado não tem todo o acesso administrativo à organização que a conta de gerenciamento tem.

Para obter mais informações, consulte Habilitar uma conta de administrador delegado para o Gerenciamento de Contas da AWS.

Políticas de controle de serviço

Quando sua Conta da AWS faz parte de uma organização gerenciada pelo AWS Organizations, o administrador da organização pode aplicar políticas de controle de serviços (SCPs) que podem limitar o que as entidades principais das contas-membro podem fazer. Uma SCP nunca concede permissões; em vez disso, ela é um filtro que limita quais permissões podem ser usadas pela conta-membro. Um usuário ou perfil (uma entidade principal) de uma conta-membro só pode executar as operações que estão na interseção do que é permitido pelas SCPs que se aplicam à conta e pelas políticas de permissão do IAM anexadas à entidade principal. Por exemplo, você pode usar SCPs para impedir que qualquer entidade principal de uma conta modifique os contatos alternativos da própria conta.

Por conhecer exemplos de SCPs que se aplicam a Contas da AWS, consulte Restringir o acesso usando políticas de controle de serviços do AWS Organizations.