适用于 AWS Control Tower 的 IAM Identity Center 组 - AWS Control Tower

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

适用于 AWS Control Tower 的 IAM Identity Center 组

AWS Control Tower 提供了预配置的组以组织账户中执行特定任务的用户。您可以在 IAM Identity Center 中直接添加用户并将其分配给这些组。这样做会将权限集与账户中的组用户进行匹配。有关配置群组的最新指南和最佳实践，请参阅 IAM Identity Center 用户指南中的最佳实践。

设置登录区时将创建以下组。

AWSAccount工厂
账户 权限集 描述
管理账户 AWSServiceCatalogEndUserAccess 此组在该账户中仅用于通过 Account Factory 预置新账户。
AWSServiceCatalogAdmins
账户 权限集 描述
管理账户 AWSServiceCatalogAdminFullAccess 此组在该账户中仅用于对 Account Factory 进行管理更改。该群组中的用户除非也在 F AWSAccountac tory 群组中，否则无法配置新帐户。
AWSControlTowerAdmins
账户 权限集 描述
管理账户 AWSAdministratorAccess 该账户中此组的用户是唯一可访问 AWS Control Tower 控制台的用户。
日志存档账户 AWSAdministratorAccess 用户拥有此账户的管理员访问权限。
审计账户 AWSAdministratorAccess 用户拥有此账户的管理员访问权限。
成员账户 AWSOrganizationsFullAccess 用户拥有对该账户中 Organizations 的完全访问权限。
AWSSecurityAuditPowerUsers
账户 权限集 描述
管理账户 AWSPowerUserAccess 用户可以执行应用程序开发任务，也可以创建和配置支持有 AWS 意识的应用程序开发的资源和服务。
日志存档账户 AWSPowerUserAccess 用户可以执行应用程序开发任务，也可以创建和配置支持有 AWS 意识的应用程序开发的资源和服务。
审计账户 AWSPowerUserAccess 用户可以执行应用程序开发任务，也可以创建和配置支持有 AWS 意识的应用程序开发的资源和服务。
成员账户 AWSPowerUserAccess 用户可以执行应用程序开发任务，也可以创建和配置支持有 AWS 意识的应用程序开发的资源和服务。
AWSSecurity审计员
账户 权限集 描述
管理账户 AWSReadOnlyAccess 用户对该账户中的所有 AWS 服务和资源具有只读访问权限。
日志存档账户 AWSReadOnlyAccess 用户对该账户中的所有 AWS 服务和资源具有只读访问权限。
审计账户 AWSReadOnlyAccess 用户对该账户中的所有 AWS 服务和资源具有只读访问权限。
成员账户 AWSReadOnlyAccess 用户对该账户中的所有 AWS 服务和资源具有只读访问权限。
AWSLogArchiveAdmins
账户 权限集 描述
日志存档账户 AWSAdministratorAccess 用户拥有此账户的管理员访问权限。
AWSLogArchiveViewers
账户 权限集 描述
日志存档账户 AWSReadOnlyAccess 用户对该账户中的所有 AWS 服务和资源具有只读访问权限。
AWSAuditAccountAdmins
账户 权限集 描述
审计账户 AWSAdministratorAccess 用户拥有此账户的管理员访问权限。