管理对 AWS Control Tower 资源的访问权限概述
每个 AWS 资源都归某个 AWS 账户所有，创建或访问资源的权限由权限策略进行管理。账户管理员可以向 IAM 身份（即：用户、组和角色）附加权限策略。有些服务（例如 AWS Lambda）还支持向资源附加权限策略。
注意
账户管理员（或管理员）是具有管理员权限的用户。有关更多信息，请参阅《IAM 用户指南》中的 IAM 最佳实操。
如果您负责向用户或角色授予权限，则必须了解并跟踪需要权限的用户和角色、每个用户和角色需要权限的资源，以及操作这些资源必须允许的特定操作。
AWS Control Tower 资源和操作
在 AWS Control Tower 中，主要资源是登录区。AWS Control Tower 还支持另一种资源类型，即控件，有时也称为护栏。但是，对于 AWS Control Tower，您只能管理现有登录区中的控件。控件可以称为子资源。
AWS 中的资源和子资源都具有与之关联的唯一 Amazon 资源名称（ARN），如下例所示。
| 资源类型 | ARN 格式 |
|---|---|
| 文件系统 | arn:aws:elasticfilesystem: |
AWS Control Tower 提供了一组 API 操作，用于处理 AWS Control Tower 资源。有关可用操作的列表，请参阅 AWS Control Tower API 参考 中的 AWS Control Tower。
有关 AWS Control Tower 中 CloudFormation 资源的更多信息，请参阅 AWS CloudFormation 用户指南。
关于资源所有权
AWS 账户对在该账户下创建的资源具有所有权，而无论创建资源的人员是谁。具体而言，资源所有者是对资源创建请求进行身份验证的主体实体（即 AWS 账户根用户、IAM Identity Center 用户、IAM 用户或 IAM 角色）的 AWS 账户。以下示例说明了它的工作原理：
-
如果您使用 AWS 账户的 AWS 账户根用户凭证来设置登录区，则 AWS 账户是资源的所有者。
-
如果您在 AWS 账户中创建一个 IAM 用户，并授予该用户设置登录区的权限，那么只要其账户满足相关先决条件，该用户就可以设置登录区。但是，您的 AWS 账户（即该用户所属的账户）将拥有该登录区资源。
-
如果您在 AWS 账户中创建了一个具有登录区设置权限的 IAM 角色，则能够代入该角色的任何人员都可以设置登录区。您的 AWS 账户（即该角色所属的账户）将拥有该登录区资源。
指定策略元素：Action、Effect 和 Principal
您可以通过 AWS Control Tower 控制台或登录区 API 来设置和管理登录区。要设置登录区，您必须是 IAM 用户，并且具有 IAM 策略中定义的管理权限。
以下是可在策略中识别的最基本元素：
-
资源 - 在策略中，您可以使用 Amazon 资源名称（ARN）标识策略应用到的资源。有关更多信息，请参阅 AWS Control Tower 资源和操作。
-
操作 – 您可以使用操作关键字标识要允许或拒绝的资源操作。有关可供执行的操作类型的信息，请参阅 Actions defined by AWS Control Tower。
-
效果：您可以指定当用户请求特定操作（可以是允许或拒绝）时的效果。如果没有显式授予（允许）对资源的访问权限，则隐式拒绝访问。您也可显式拒绝对资源的访问，这样可确保用户无法访问该资源，即使有其他策略授予了访问权限的情况下也是如此。
-
主体 – 在基于身份的策略（IAM 策略）中，策略所附加的用户是隐式主体。对于基于资源的策略，您可以指定要接收权限的用户、账户、服务或其他实体（仅适用于基于资源的策略）。AWS Control Tower 不支持基于资源的策略。
有关 IAM 策略语法和描述的更多信息，请参阅《IAM 用户指南》中的 AWS IAM 策略参考。
在策略中指定条件
当您授予权限时，可使用 IAM 策略语言来指定规定策略何时生效的条件。例如，您可能希望策略仅在特定日期后应用。有关使用策略语言指定条件的更多信息，请参阅《IAM 用户指南》中的条件。
要表达条件，您可以使用预定义的条件键。没有特定于 AWS Control Tower 的条件键。但有 AWS 范围内的条件密钥，您可以根据需要使用。有关 AWS 范围内的键的完整列表，请参阅《IAM 用户指南》中的条件的可用键。
