本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

声明式策略

声明式策略允许您在整个组织中大规模地集中声明和强制执行所需的配置。 AWS 服务 连接后，当服务添加新功能或时，配置将始终保持不变 APIs。使用声明性策略来防止不合规操作。例如，您可以屏蔽整个组织中对 Amazon VPC 资源的公共互联网访问权限。

使用声明性策略的主要优势在于：

有关支持的属 AWS 服务 性和属性的完整列表，请参阅支持的 AWS 服务 和属性。

声明性策略的工作原理

声明式策略是在服务的控制平面中强制执行的，这与诸如服务控制策略 (SCPs) 和资源控制策略 () 之类的授权策略有重要区别。RCPs虽然授权策略规范访问权限 APIs，但声明性策略直接应用于服务级别，以强制执行持久意图。这样可以确保始终强制执行基准配置，即使服务引入了新功能或新功能 APIs 也是如此。

下表有助于说明这种区别，表中还提供了一些使用案例。

在您创建并附加声明性策略后，将在整个组织中应用和强制执行该策略。声明式策略可以应用于整个组织、组织单位 (OUs) 或帐户。加入组织的账户将自动继承组织中的声明性策略。有关更多信息，请参阅 了解管理策略继承。

有效的策略是从组织根目录继承的一组规则， OUs 以及直接关联到账户的规则。有效策略指定适用于账户的最终规则集。有关更多信息，请参阅 查看有效管理策略。

如果分离了声明性策略，则属性状态将回滚到附加该声明性策略之前的状态。

声明性策略的自定义错误消息

声明性策略允许您创建自定义错误消息。例如，如果由于声明性策略而导致 API 操作失败，则可以设置错误消息或提供自定义 URL，例如指向内部 Wiki 的链接或描述该失败的消息的链接。如果您未指定自定义错误消息，则会 AWS Organizations 提供以下默认错误消息：Example: This action is denied due to an organizational policy in effect。

您还可以使用审核创建声明性策略、更新声明性策略和删除声明性策略的过程。 AWS CloudTrail CloudTrail 可以标记由于声明式策略而导致的 API 操作失败。有关更多信息，请参阅日志记录和监控。

声明性策略的账户状态报告

账户状态报告允许您查看范围内账户的声明性策略支持的所有属性的当前状态。您可以选择要包含在报告范围内的账户和组织单位 (OUs)，也可以通过选择根目录来选择整个组织。

此报告提供区域细分来帮助您评估就绪情况，并评测属性的当前状态是跨账户统一（通过 numberOfMatchedAccounts）还是不一致（通过 numberOfUnmatchedAccounts）。您还可以看到最常见值，即该属性中最常观察到的配置值。

图 1 中生成了一份账户状态报告，其中显示了以下属性的账户间一致性：VPC 屏蔽公共访问权限和映像屏蔽公共访问权限。这意味着，对于每个属性，范围内的所有账户对该属性的配置都相同。

生成的账户状态报告显示了以下属性的不一致账户：允许的映像设置、实例元数据默认值、Serial Console 访问权限和快照屏蔽公共访问权限。在此示例中，不一致账户的每个属性都是因为存在一个账户具有不同的配置值。

如果存在最常见值，则会显示在相应的列中。有关每个属性所控制内容的更多详细信息，请参阅声明性策略语法和示例策略。

您也可以展开属性查看区域明细。在此示例中，展开了“映像屏蔽公共访问权限”项，在每个区域中，您都可以看到具备账户间的统一性。

是否选择附加声明性策略来强制执行基准配置，取决于具体的使用案例。在附加声明性策略之前，使用账户状态报告来帮助评测就绪情况。

有关更多信息，请参阅生成账户状态报告。

图 1：VPC 屏蔽公共访问权限和映像屏蔽公共访问权限具备跨账户一致性的示例账户状态报告。

支持的 AWS 服务 和属性

的声明式策略支持的属性 EC2

下表显示了 Amazon EC2 相关服务支持的属性。