本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
向群组添加和移除AWS托管 Microsoft AD 成员以及向群组添加和移除群组
使用 AWS Directory Service Data API，成员可以是用户、组或计算机。用户表示可以访问您目录的人员或实体。组允许您一次向多个用户授予和拒绝权限。
使用以下过程将AWS受管 Microsoft AD 用户添加到群组或从群组中移除或移除到另一个群组中AWS 管理控制台、AWS CLI、或中包含用户和群组管理或 AWS Directory Service 数据的群组AWS Tools for PowerShell。
将用户添加到组
使用以下步骤将 Microsoft AD AWS 托管用户添加到包含用户和组管理或AWS目录服务数据的群组中AWS 管理控制台、AWS CLI、或AWS Tools for PowerShell。
重要
当你将 Microsoft AD AWS 托管用户添加到群组时，该用户将继承分配给该群组的角色和权限。这些角色和权限是用户的组成员资格的一部分。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中AWS 区域为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 Directory ServiceAPI 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用AWS托管策略，例如AWS托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管式策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
从组中删除用户
使用 AWS Directory Service Data API，成员可以是用户、组或计算机。用户表示可以访问您目录的人员或实体。组允许您一次向多个用户授予和拒绝权限。
使用以下步骤将 Microsoft AD AWS 托管用户移至包含用户和组管理或AWS目录服务数据的群组中AWS 管理控制台、AWS CLI、或AWS Tools for PowerShell。
重要
当你从群组中移除 Microsoft AD AWS 托管用户时，该用户将无法访问分配给该群组的角色和权限。这些角色和权限是组成员资格的一部分。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中AWS 区域为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 Directory ServiceAPI 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用AWS托管策略，例如AWS托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管式策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
将组添加到组
当你将AWS托管 Microsoft AD 群组添加到另一个群组时，这些群组将共享父子关系。子组将可以访问分配给该父组的角色和权限。您可以将子组添加到您的组，也可以将您的组添加到父组。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中AWS 区域为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 Directory ServiceAPI 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用AWS托管策略，例如AWS托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管式策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
从组中删除组
当你从另一个群组中移除AWS托管 Microsoft AD 群组时，这些群组将不再共享父子关系。子组将无法访问分配给该父组的角色和权限。您可以从您的组中删除子组，也可以从父组中删除您的组。
在开始任一过程之前，您需要完成以下操作：
-
要使用用户和组管理或 AWS Directory Service Data CLI，必须将其启用。有关更多信息，请参阅启用用户和组管理或 Directory Service Data。
-
您只能从主目录中AWS 区域为目录启用此功能。有关更多信息，请参阅主区域与其他区域。
-
您需要必要的 IAM 权限才能使用 AWS Directory Service 数据。有关更多信息，请参阅 Directory ServiceAPI 权限：操作、资源和条件参考。要开始向您的用户和工作负载授予权限，您可以使用AWS托管策略，例如AWS托管策略：AWSDirectoryServiceDataFullAccess或AWS 托管式策略：AWSDirectoryServiceDataReadOnlyAccess。有关更多信息，请参阅 IAM 安全最佳实践。
