管理组织单元 (OU) - Amazon Organizations
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

管理组织单元 (OU)

您可以使用组织单元 (OU),将账户分组到一起,作为一个单元管理。这将极大简化您的账户管理。您可以在单个组织内创建多个 OU,也可以在其他 OU 中创建 OU。每个 OU 可以包含多个账户,您可以将账户从一个 OU 移动到另一个。但是,OU 名称必须在父 OU 或根内是唯一的。

注意

组织中有一个根,Amazon Organizations在您首次设置组织时为您创建。

要确定组织中账户的结构,您可以执行以下任务:

要在移动账户或附加策略时导航到不同的 OU 或根,可以使用默认的 “树” 视图。

Amazon Web Services Management Console

以 “树” 形式导航组织

  1. 登录到 Amazon Organizations 控制台您必须以 IAM 用户身份或代入组织管理账户中的 IAM 角色登录。

  2. 在存储库的 Amazon Web Services 账户 页面上的组织部分,确保查看 Amazon Web Services 账户 仅限切换图标已打开OFF

  3. 初始状态下,树结构只显示子 OU 和账户的第一级。要展开树结构以显示更深的层级,请选择展开图标 ( )旁边的任何父实体。要减少树结构的分支的混乱和折叠,请选择折叠图标 ( )旁边的扩展父实体。

  4. 选择 OU 或根的名称以查看其详细信息并执行某些操作。或者,您可以选择名称旁边的单选按钮,然后在操作菜单。

您还可以以表格形式仅查看组织中的帐户列表,而无需首先导航到 OU 即可查找它们。在此视图中,您无法看到任何 OU 或操纵附加到它们的策略。

Amazon Web Services Management Console

以无层次结构的帐户平面列表形式查看组织

  1. 登录到 Amazon Organizations 控制台您必须以 IAM 用户身份或代入组织管理账户中的 IAM 角色登录。

  2. 在存储库的 Amazon Web Services 账户 页面上的组织部分,选择查看 Amazon Web Services 账户 仅限开关图标以将其打开。

  3. 帐户列表显示时不包含任何层次结构。

创建 OU

当您登录到您组织的管理账户时,您可以在组织的根下创建 OU。OU 最深可嵌套至 5 层。要创建 OU,请完成以下步骤。

重要

如果此组织使用Amazon Control Tower,然后使用Amazon Control Tower控制台或 API。如果您在 Organizations 中创建 OU,则该 OU 未注册到Amazon Control Tower。有关更多信息,请参阅 。引用 外部的资源Amazon Control Tower中的Amazon Control Tower用户指南

最小权限

要在组织的根中创建 OU,您必须拥有以下权限:

  • organizations:DescribeOrganization— 仅当使用 “Organizations” 控制台时才需要

  • organizations:CreateOrganizationalUnit

Amazon Web Services Management Console

创建 OU

  1. 登录到 Amazon Organizations 控制台您必须以 IAM 用户身份或代入组织管理账户中的 IAM 角色登录。

  2. 导航到 Amazon Web Services 账户 页面。

    控制台显示根 OU 及其内容。首次访问根时,控制台将显示所有 Amazon Web Services 账户 在该顶级视图中。如果您以前创建了 OU 并将账户移动到其中,则控制台仅显示顶级 OU 以及任何您尚未移动到 OU 中的账户。

  3. (可选)如果要在现有 OU 中创建 OU,导航到子 OU通过选择子 OU 的名称(不是复选框),或通过选择 旁边,直到看到所需的 OU,然后选择其名称。

  4. 在层次结构中选择了正确的父 OU 后,在操作” 菜单,在组织部门中,选择创建新的

  5. 创建组织单位对话框中,输入要创建的 OU 的名称。

  6. (可选)添加一个或多个标签,方法是选择添加标签然后输入一个键值。将值留空将其设置为空字符串; 它不是null。您最多可以向 OU 附加 50 个标签。

  7. 最后,选择创建组织单位

您的新 OU 显示在父级内部。现在,您可以将账户移动到此 OU 或者为其附加策略。

Amazon CLI & Amazon SDKs

创建 OU

您可以使用以下命令之一创建 OU:

  • Amazon CLI:创建组织单位

    要创建 OU,您必须首先找到要作为新 OU 父级的根或 OU 的标识。

    要查找根目录的标识,请使用列表根命令。要查找 OU 的标识,请使用名单子项以导航到所需的 OU。

    以下示例说明如何查找根目录的标识,然后在根目录下查找 OU 的标识。最后一个命令显示如何在找到的 OU 中创建新 OU。

    $ aws organizations list-roots { "Roots": [ { "Id": "r-a1b2", "Arn": "arn:aws:organizations::123456789012:root/o-aa111bb222/r-a1b2", "Name": "Root", "PolicyTypes": [] } ] } $ aws organizations list-children \ --parent-id r-a1b2 \ --child-type ORGANIZATIONAL_UNIT { "Children": [ { "Id": "ou-a1b2-f6g7h111", "Type": "ORGANIZATIONAL_UNIT" } ] } $ aws organizations create-organizational-unit \ --parent-id ou-a1b2-f6g7h111 \ --name New-Child-OU { "OrganizationalUnit": { "Id": "ou-a1b2-f6g7h222", "Arn": "arn:aws:organizations::123456789012:ou/o-aa111bb222/ou-a1b2-f6g7h222", "Name": "New-Child-OU" } }
  • Amazon开发工具包:CreateOrganizationalUnit

重命名 OU

当您登录到组织的管理账户时,您可以重命名 OU。为此,请完成以下步骤。

最小权限

要在 Amazon 组织的根中重命名 OU,您必须拥有以下权限:

  • organizations:DescribeOrganization— 仅当使用 “Organizations” 控制台时才需要

  • organizations:UpdateOrganizationalUnit

Amazon Web Services Management Console

重命名 OU

  1. 登录到 Amazon Organizations 控制台您必须以 IAM 用户身份或代入组织管理账户中的 IAM 角色登录。

  2. 在存储库的 Amazon Web Services 账户 页面,导航到 OU,然后执行以下步骤之一:

    • 选择单选按钮 旁边的要重命名的 OU 旁。然后,在操作” 菜单,在组织单位中,选择重命名

    • 选择 OU 的名称,以访问 OU 的详细信息页面。然后,在页面顶部选择重命名

  3. 重命名组织单位对话框中,输入新名称,然后选择保存更改。

Amazon CLI & Amazon SDKs

重命名 OU

您可以使用以下命令之一重命名 OU:

  • Amazon CLI:更新-组织单位

    下面的示例说明了如何重命名 OU。

    $ aws organizations update-organizational-unit \ --organizational-unit-id ou-a1b2-f6g7h222 \ --name "Renamed-OU" { "OrganizationalUnit": { "Id": "ou-a1b2-f6g7h222", "Arn": "arn:aws:organizations::123456789012:ou/o-aa111bb222/ou-a1b2-f6g7h222", "Name": "Renamed-OU" } }
  • Amazon开发工具包:UpdateOrganizationalUnit

编辑附加到 OU 的标记

当您登录到组织的主账户时,您可以添加或删除附加到 OU 的标签。为此,请完成以下步骤。

最小权限

要在您的根中编辑附加到 OU 的标签,请在Amazon组织,您必须拥有以下权限:

  • organizations:DescribeOrganization— 仅当使用 “Organizations” 控制台时才需要

  • organizations:DescribeOrganizationalUnit— 仅当使用 “Organizations” 控制台时才需要

  • organizations:TagResource

  • organizations:UntagResource

Amazon Web Services Management Console

编辑附加到 OU 的标签

  1. 登录到 Amazon Organizations 控制台您必须以 IAM 用户身份或代入组织管理账户中的 IAM 角色登录。

  2. 在存储库的 Amazon Web Services 账户 页面,导航到 OU 的名称您要编辑其标签。

  3. 在 OU 的详细信息页面上,选择标签” 选项卡,然后选择管理标签

  4. 您可以在此选项卡上执行以下任一操作:

    • 通过在旧标签上输入新值来编辑任何标签的值。您不能修改标签键值。要更改密钥,您必须删除带有旧密钥的标签,然后使用新密钥添加标签。

    • 删除现有标签,方法是选择Remove旁边的要重复的标签旁的。

    • 添加新的标签键值对。选择添加标签,然后在提供的框中输入新的密钥名称和可选值。如果您离开框中的值是空字符串;它不是null

  5. 选择保存更改。在完成所有要进行的添加、删除和编辑之后。

Amazon CLI & Amazon SDKs

编辑附加到 OU 的标签

您可以使用以下命令之一更改附加到 OU 的标签:

  • Amazon CLI:tag-resourceuntag-resource

    下面的示例将标签"Department"="12345"添加到 OU。请注意,KeyValue区分大小写。

    $ aws organizations tag-resource \ --resource-id ou-a1b2-f6g7h222 \ --tags Key=Department,Value=12345

    成功后,此命令不会生成任何输出。

    下面的示例删除Department标记来自 OU。

    $ aws organizations untag-resource \ --resource-id ou-a1b2-f6g7h222 \ --tag-keys Department

    成功后,此命令不会生成任何输出。

  • Amazon开发工具包:TagResourceUntagResource

将账户移动到 OU 或在根与 OU 之间移动

当您登录到您组织的管理账户时,您可以将组织中的账户从根移动到某个 OU,从一个 OU 移动到另一个,或者从 OU 中移动回根。将账户放入 OU 中可使其遵循附加到该父 OU 及其父链中一直到根的所有 OU 的策略。如果账户未在 OU 中,则该账户仅遵循直接附加到根以及任何直接附加到账户上的策略。要移动账户,请完成以下步骤。

最小权限

要将账户在 OU 层次结构中移动到新位置,您必须拥有以下权限:

  • organizations:DescribeOrganization— 仅当使用 “Organizations” 控制台时才需要

  • organizations:MoveAccount

Amazon Web Services Management Console

将帐户移动到 OU

  1. 登录到 Amazon Organizations 控制台您必须以 IAM 用户身份或代入组织管理账户中的 IAM 角色登录。

  2. 在存储库的 Amazon Web Services 账户 页面上,找到要移动的一个或多个账户。您可以导航 OU 层次结构或启用查看 Amazon Web Services 账户 仅限查看没有 OU 结构的帐户的平面列表。如果您有很多账户,您可能需要选择加载更多帐户OU 名称'在列表底部找到所有要移动的对象。

  3. 选中复选框 在您想要移动的每个账户的名称旁边。

  4. 在存储库的操作” 菜单,在 Amazon Web Services 账户 中,选择Move (移动)

  5. Move (移动) Amazon Web Services 账户 对话框中,导航到要将账户移动到 OU 或根,然后选择 OU 或根,然后选择Move (移动) Amazon Web Services 账户

Amazon CLI & Amazon SDKs

将账户移动到 OU

您可以使用以下命令之一移动账户:

  • Amazon CLI:移动账户

    下面的示例将 Amazon Web Services 账户 从根目录到 OU。请注意,您必须同时指定源容器和目标容器的 ID。

    $ aws organizations move-account \ --account-id 111122223333 \ --source-parent-id r-a1b2 \ --destination-parent-id ou-a1b2-f6g7h111

    成功后,此命令不会生成任何输出。

  • Amazon开发工具包:MoveAccount

删除 OU

当您登录到组织的管理账户时,您可以删除不再需要的任何 OU。

您必须先将所有账户移出 OU 和任意子 OU,然后再删除子 OU。

最小权限

要删除 OU,您必须拥有以下权限:

  • organizations:DescribeOrganization— 仅当使用 “Organizations” 控制台时才需要

  • organizations:DeleteOrganizationalUnit

Amazon Web Services Management Console

删除 OU

  1. 登录到 Amazon Organizations 控制台您必须以 IAM 用户身份或代入组织管理账户中的 IAM 角色登录。

  2. 在存储库的 Amazon Web Services 账户 页面上,找到要删除的 OU,然后选中复选框 旁边的每个 OU 名称。

  3. 选择操作,然后在组织单位中,选择Delete

  4. 要确认您要删除 OU,请输入 OU 的名称(如果您只选择删除一个)或单词 “删除”(如果您选择了多个),然后选择Delete

    Amazon Organizations将删除 OU 并将其从列表中删除。

Amazon CLI & Amazon SDKs

删除 OU

您可以使用以下命令之一删除 OU:

  • Amazon CLI:删除组织单位

    以下示例说明如何删除 OU。

    $ aws organizations delete-organizational-unit \ --organizational-unit-id ou-a1b2-f6g7h222

    成功后,此命令不会生成任何输出。

  • Amazon开发工具包:DeleteOrganizationalUnit