本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 資源控制政策 (RCP)
<a name="orgs_manage_policies_rcps"></a>

**注意**  
**服務控制政策 SCPs) 和資源控制政策 RCPs)**  
當您需要限制組織成員帳戶中 IAM 主體的許可時，請使用 SCP。  
當您需要限制組織帳戶外部的 IAM 主體，請求存取組織成員帳戶中的資源時，請使用 RCP。  
如需詳細資訊，請參閱[了解 SCPs和 RCPs](orgs_manage_policies_authorization_policies.md)。

資源控制政策 RCPs) 是一種組織政策，可用來管理組織中的許可。RCPs可讓您集中控制組織中資源的最大可用許可。RCPs可協助您確保帳戶中的資源符合組織的存取控制準則。RCPs僅適用於[已啟用所有功能的](orgs_manage_org_support-all-features.md) 組織。如果您的組織只啟用合併帳單功能，則無法使用 RCPs。如需啟用 RCPs的說明，請參閱 [啟用政策類型](enable-policy-type.md)。

僅 RCPs 不足以將許可授予組織中的資源。RCP 不會授予任何許可。RCP 會針對身分可對組織中資源採取的動作，定義許可護欄或設定限制。管理員仍然必須將身分型政策連接到 IAM 使用者或角色，或將資源型政策連接到您帳戶中的資源，以實際授予許可。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[身分型政策和資源型政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_identity-vs-resource.html)。

[有效許可](#rcp-effects-on-permissions)是 RCPs [和服務控制政策 (SCPs)](orgs_manage_policies_scps.md) 允許的內容與身分型和資源型政策允許的內容之間的邏輯交集。

**RCPs不會影響管理帳戶中的資源**  
RCPs不會影響管理帳戶中的資源。它們只會影響組織中成員帳戶中的資源。這也表示 RCPs適用於指定為委派管理員的成員帳戶。

****本頁主題****
+ [AWS 服務 支援 RCPs 清單](#rcp-supported-services)
+ [測試 RCPs的效果](#rcp-warning-testing-effect)
+ [RCPs的大小上限](#rcp-size-limit)
+ [將 RCPs連接到組織中的不同層級](#rcp-about-inheritance)
+ [RCP 對許可的影響](#rcp-effects-on-permissions)
+ [不受 RCPs 限制的資源和實體](#actions-not-restricted-by-rcps)
+ [RCP 評估](orgs_manage_policies_rcps_evaluation.md)
+ [RCP 語法](orgs_manage_policies_rcps_syntax.md)
+ [資源控制政策範例](orgs_manage_policies_rcps_examples.md)

## AWS 服務 支援 RCPs 清單
<a name="rcp-supported-services"></a>

RCPs適用於下列項目的動作 AWS 服務：
+ [Amazon AppStream](https://docs.aws.amazon.com/appstream2) `[appstream]`
+ [Amazon CloudFront](https://docs.aws.amazon.com/cloudfront) `[cloudfront]`
+ [Amazon CloudSearch](https://docs.aws.amazon.com/cloudsearch) `[cloudsearch]`
+ [Amazon CloudWatch Logs](https://docs.aws.amazon.com/cloudwatch) `[logs]`
+ [網路合成監視器](https://docs.aws.amazon.com/network-monitor) `[networkmonitor]`
+ [Amazon Cognito](https://docs.aws.amazon.com/cognito) `[cognito-identity]`
+ [Amazon Comprehend](https://docs.aws.amazon.com/comprehend) `[comprehend]`
+ [Amazon Comprehend Medical](https://docs.aws.amazon.com/comprehend-medical) `[comprehendmedical]`
+ [Amazon Data Firehose](https://docs.aws.amazon.com/firehose) `[firehose]`
+ [Amazon DynamoDB](https://docs.aws.amazon.com/dynamodb) `[dynamodb]`
+ [DynamoDB Accelerator](https://docs.aws.amazon.com/dax) `[dax]`
+ [Amazon EC2 Auto Scaling](https://docs.aws.amazon.com/autoscaling) `[autoscaling]`
+ [Amazon Elastic Container 登錄檔](https://docs.aws.amazon.com/ecr) `[ecr]`
+ [Amazon Inspector 掃描](https://docs.aws.amazon.com/inspector) `[inspector2]`
+ [Amazon Kendra](https://docs.aws.amazon.com/kendra) `[kendra]`
+ [https://docs.aws.amazon.com/kendra-ranking](https://docs.aws.amazon.com/kendra-ranking) `[kendra-ranking]`
+ [Amazon Kinesis Video Streams](https://docs.aws.amazon.com/kinesisvideo) `[kinesisvideo]`
+ [https://docs.aws.amazon.com/memorydb](https://docs.aws.amazon.com/memorydb) `[memorydb]`
+ [Amazon OpenSearch Serverless](https://docs.aws.amazon.com/opensearch-service) `[aoss]`
+ [https://docs.aws.amazon.com/polly](https://docs.aws.amazon.com/polly) `[polly]`
+ [Amazon S3](https://docs.aws.amazon.com/s3) `[s3]`
+ [Amazon SQS](https://docs.aws.amazon.com/sqs) `[sqs]`
+ [Amazon Textract](https://docs.aws.amazon.com/textract) `[textract]`
+ [InfluxDB 的 Amazon Timestream](https://docs.aws.amazon.com/timestream-influxdb) `[timestream-influxdb]`
+ [Amazon Transcribe](https://docs.aws.amazon.com/transcribe) `[transcribe]`
+ [Amazon Translate](https://docs.aws.amazon.com/translate) `[translate]`
+ [AWS AppConfig](https://docs.aws.amazon.com/appconfig) `[appconfig]`
+ [AWS CodeBuild](https://docs.aws.amazon.com/codebuild) `[codebuild]`
+ [AWS CodeCommit](https://docs.aws.amazon.com/codecommit) `[codecommit]`
+ [AWS CodePipeline](https://docs.aws.amazon.com/codepipeline) `[codepipeline]`
+ [AWS Elemental MediaStore](https://docs.aws.amazon.com/mediastore) `[mediastore]`
+ [AWS Fault Injection Service](https://docs.aws.amazon.com/fis) `[fis]`
+ [AWS Health](https://docs.aws.amazon.com/health) `[health]`
+ [AWS Key Management Service](https://docs.aws.amazon.com/kms) `[kms]`
+ [AWS 定價計算工具](https://docs.aws.amazon.com/pricing) `[pricing]`
+ [AWS Active Directory 的私有 CA 連接器](https://docs.aws.amazon.com/pca-connector-ad) `[pca-connector-ad]`
+ [AWS Secrets Manager](https://docs.aws.amazon.com/secretsmanager) `[secretsmanager]`
+ [AWS Security Token Service](https://docs.aws.amazon.com/iam) `[sts]`
+ [AWS 登入](https://docs.aws.amazon.com/signin) `[signin]`
+ [AWS 支援](https://docs.aws.amazon.com/aws-support) `[support]`
+ [https://docs.aws.amazon.com/transfer](https://docs.aws.amazon.com/transfer) `[transfer]`
+ [AWS WAF](https://docs.aws.amazon.com/waf) `[wafv2]`
+ [AWS 成本最佳化中心](https://docs.aws.amazon.com/cost-optimization-hub) `[cost-optimization-hub]`

## 測試 RCPs的效果
<a name="rcp-warning-testing-effect"></a>

AWS 強烈建議您不要在未徹底測試政策對您帳戶中資源的影響的情況下，將 RCPs 連接到組織的根目錄。您可以先將 RCPs 連接至個別測試帳戶、將它們移至階層中較低的 OUs，然後視需要逐步完成組織結構。判斷影響的一種方法是檢閱拒絕存取錯誤的 AWS CloudTrail 日誌。

## RCPs的大小上限
<a name="rcp-size-limit"></a>

RCP 中的所有字元都會計入其[大小上限](orgs_reference_limits.md#min-max-values)。本指南中的範例顯示以額外空格格式化的 RCPs，以改善其可讀性。不過，若您的政策大小接近大小上限，為了節省空間，您可以刪除引號外部的任何空格，例如空格字元和換行字元。

**提示**  
使用視覺化編輯器來建置 RCP。它會自動移除額外空格。

## 將 RCPs連接到組織中的不同層級
<a name="rcp-about-inheritance"></a>

您可以直接將 RCPs 連接到個別帳戶、OUs 或組織根目錄。如需 RCPs運作方式的詳細說明，請參閱 [RCP 評估](orgs_manage_policies_rcps_evaluation.md)。

## RCP 對許可的影響
<a name="rcp-effects-on-permissions"></a>

RCPs AWS Identity and Access Management (IAM) 政策。它們與以[資源為基礎的政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_identity-vs-resource.html)最密切相關。不過，RCP 永遠不會授予許可。反之，RCPs是存取控制，可指定組織中資源的可用許可上限。如需詳細資訊，請參閱 * IAM User Guide* 中的 [Policy evaluation logic](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。
+ RCPs適用於 子集的資源 AWS 服務。如需詳細資訊，請參閱[AWS 服務 支援 RCPs 清單](#rcp-supported-services)。
+ RCPs***只會影響由連接 RCP 的組織一部分帳戶管理的資源***。 RCPs 它們不會影響來自組織外部帳戶的資源。例如，請考慮 組織中帳戶 A 擁有的 Amazon S3 儲存貯體。儲存貯體政策 （以資源為基礎的政策） 授予組織外部帳戶 B 使用者存取權。帳戶 A 已連接 RCP。該 RCP 適用於帳戶 A 中的 S3 儲存貯體，即使使用者從帳戶 B 存取也一樣。不過，當帳戶 A 中的使用者存取時，該 RCP 不適用於帳戶 B 中的資源。
+ RCP 會限制成員帳戶中資源的許可。帳戶中的任何資源都只有其上方***每個***父項允許的這些許可。如果許可在帳戶上方的任何層級遭到封鎖，則受影響帳戶中的資源不會擁有該許可，即使資源擁有者連接以資源為基礎的政策，允許對任何使用者進行完整存取。
+ RCPs適用於在 操作請求中授權的資源。您可以在[服務授權參考](https://docs.aws.amazon.com/service-authorization/latest/reference/reference_policies_actions-resources-contextkeys.html#actions_table)中動作資料表的「資源類型」欄中找到這些資源。如果在「資源類型」欄中指定資源，則會套用呼叫委託人帳戶的 RCPs。例如， 會`s3:GetObject`授權物件資源。每當提出`GetObject`請求時，就會套用適用的 RCP 來判斷請求委託人是否可以叫用 `GetObject`操作。*適用的 RCP* 是已連接到 帳戶、組織單位 (OU) 或擁有所存取資源之組織的根目錄的 RCP。
+ RCPs只會影響組織中***成員***帳戶中的資源。它們不會影響管理帳戶中的資源。這也表示 RCPs適用於指定為委派管理員的成員帳戶。如需詳細資訊，請參閱[管理帳戶的最佳實務](orgs_best-practices_mgmt-acct.md)。
+ 當委託人請求存取具有連接 RCP （具有適用 RCP 的資源） 的帳戶內的資源時，RCP 會包含在政策評估邏輯中，以判斷委託人是否被允許或拒絕存取。
+ RCPs會影響委託人嘗試使用適用的 RCP 存取成員帳戶中資源的有效許可，無論委託人是否屬於相同的組織。這包括根使用者。例外狀況是委託人是服務連結角色，因為 RCPs不適用於由服務連結角色進行的呼叫。服務連結角色 AWS 服務 可讓 代表您執行必要的動作，且不受 RCPs限制。
+ 使用者和角色仍然必須獲得具有適當 IAM 許可政策的許可，包括以身分為基礎的和資源為基礎的政策。沒有任何 IAM 許可政策的使用者或角色無法存取，即使適用的 RCP 允許所有服務、所有動作和所有資源。

## 不受 RCPs 限制的資源和實體
<a name="actions-not-restricted-by-rcps"></a>

***您無法使用*** RCPs來限制下列項目：
+ 管理帳戶中資源的任何動作。
+ RCPs不會影響任何服務連結角色的有效許可。服務連結角色是一種獨特的 IAM 角色類型，可直接連結至 AWS 服務，並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。RCPs 無法限制服務連結角色的許可。RCPs也不會影響 AWS 服務擔任服務連結角色的能力；也就是說，服務連結角色的信任政策也不會受到 RCPs的影響。
+ RCPs不適用於 [AWS 受管金鑰AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk)。 AWS 受管金鑰 是由 代表您建立、管理和使用 AWS 服務。您無法變更或管理其許可。
+ RCPs不會影響下列許可：  
****    
[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_tw/organizations/latest/userguide/orgs_manage_policies_rcps.html)