账户管理 Amazon Virtual Private Cloud 终端节点策略 - Amazon账户管理
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

账户管理 Amazon Virtual Private Cloud 终端节点策略

您可以为账户管理创建 Amazon VPC 终端节点策略,可在该策略中指定:

  • 可执行操作的委托人。

  • 委托人可以执行的操作。

  • 可对其执行操作的资源。

以下示例显示了 Amazon VPC 终端节点策略,该策略允许账户 123456789012 中名为 Alice 的 IAM 用户检索和更改任何备用联系信息。 Amazon Web Services 账户 ,但拒绝所有 IAM 用户删除任何账户上的任何备用联系人信息的权限。

{ "Version": "2012-10-17", "Statement": [ { "Action": [ "account:GetAlternateContact", "account:PutAlternateContact" ], "Resource": "arn:aws::iam:*:account, "Effect": "Allow", "Principal": { "AWS": "arn:aws::iam:123456789012:user/Alice" } }, { "Action": "account:DeleteAlternateContact", "Resource": "*", "Effect": "Deny", "Principal": "arn:aws::iam:*:root" } ] }

如果您希望授予对属于Amazon组织转换为位于组织的其中一个成员账户中的委托人,然后Resource元素必须使用以下格式:

arn:aws:account::{ManagementAccountId}:account/o-{OrganizationId}/{AccountId}

有关创建终端节点策略的更多信息,请参使用 VPC 终端节点控制对服务的访问中的 Amazon PrivateLink 指南.