管理组织单元 (OU) - AWS Organizations
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

管理组织单元 (OU)

注意

AWS Organizations 正在推出组织管理控制台的新版本。您可以通过在控制台顶部的通知框中选择链接来在旧控制台和新控制台之间切换。我们鼓励您尝试新版本,并让我们知道您的想法。我们希望得到您的反馈并会阅读每份提交的内容。

您可以使用组织单元 (OU),将账户分组到一起,作为一个单元管理。这将极大简化您的账户管理。您可以在单个组织中创建多个 OUs,也可以在其他 OUs 中创建 OUs。 每个 OU 均可包含多个账户,并且您可以将账户从一个 OU 移动到另一个。但是,OU 名称必须在父 OU 或根内是唯一的。

注意

组织中有一个根,在您首次设置组织时由 AWS Organizations 为您创建。

要确定组织中账户的结构,您可以执行以下任务:

要在移动账户或附加策略时导航到不同的 OUs 或根,您可以使用默认的“树”视图。

旧控制台

将组织作为“树”导航

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. 选择 组织账户 选项卡.

  3. 如果页面左侧未显示树视图窗格,请打开 TREE VIEW (树视图) 开关 .

  4. 最初,该树显示根,只显示子 OUs 的第一级。要展开树窗格以显示更深的层级,请选择要展开的实体旁边的 + 图标。要减少视觉混乱和折叠树结构的分支,请选择展开的父实体旁边的 – 图标。

  5. 仍然在树视图窗格中,选择要导航到的 OU 或根。树视图中以加粗文本显示的节点是当前在中心窗格中查看的节点。

    Notes
    • 中央窗格中的重命名、删除和移动操作:在控制台中查看根或 OU 的内容时,可以与此根或 OU 的子实体进行交互。

      • 如果您选中子账户的复选框,则可以选择此部分上方的 Rename、Delete 或 Move 链接来对所选账户执行这些操作。

      • 如果选中子 OU 的复选框,则可以选择此部分上方的“重命名”或“删除”链接,以在所选 OU 上执行这些操作。您不能将 OU 从一个父级移动到另一个父级。

      这些操作只 应用到选中的子实体,不应用到上级根或 OU。要对上级 OU 执行同样的操作,必须导航到 OU 的父 OU 或根,然后选中要管理的子 OU 的复选框。

    • Details 窗格:控制台右侧的详细信息窗格显示有关您正在查看的根或 OU 的信息。如果选中子实体的复选框,则详细信息窗格将切换为显示有关所选实体的信息。要再次查看上级根或 OU 的详细信息,则必须清除此复选框。或者,您也可以导航到父根或 OU,然后选中要查看其信息的 OU 的复选框。

新控制台

将组织作为“树”导航

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. AWS 账户 页 上的 Organization (组织) 部分顶部,确保 View AWS accounts only (仅查看 AWS 账户) 开关图标处于关闭状态 .

  3. 最初,该树显示根,只显示子 OUs 和账户的第一级。要展开树结构以显示更深的级别,请选择展开图标 ( ) 的任何父实体旁边的 。要减少视觉混乱和折叠树结构的分支,请选择折叠图标 ( )。

  4. 选择 OU 或根的名称以查看其详细信息并执行特定操作。或者,您也可以选择名称旁边的单选按钮,然后在 Actions (操作) 菜单中对该实体执行某些操作。

您还可以以表格形式查看组织中所有账户的列表,而无需先导航到 OU 来查找它们。在此视图中,您无法查看任何 OUs,也无法操作附加到它们的策略。

旧控制台

将组织作为没有层次结构的账户的平面列表查看

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. 选择 账户 选项卡.

  3. 您可以关闭 TREE VIEW (树视图) 开关以关闭页面左侧的树视图窗格 .

新控制台

将组织作为没有层次结构的账户的平面列表查看

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. AWS 账户 页上的 Organization (组织) 部分顶部,选择 View AWS accounts only (仅查看 AWS 账户) 开关图标以将其打开。 .

  3. 显示账户列表时不显示任何层次结构。

创建 OU

当您登录到组织的管理账户时,可以在组织的根目录中创建 OU。OUs 最深可嵌套至 5 层。要创建 OU,请完成以下步骤。

重要

如果此组织通过 AWS Control Tower 进行管理,请使用 OUs 控制台或 AWS Control Tower 创建 APIs。 如果您在 组织 中创建 OU,则不会将该 OU 注册到 AWS Control Tower。有关更多信息,请参阅 用户指南AWS Control Tower 中的引用 外部的资源AWS Control Tower。

最小权限

要在组织的根中创建 OU,您必须拥有以下权限:

  • organizations:DescribeOrganization – 仅当使用 组织 控制台时才需要

  • organizations:CreateOrganizationalUnit

旧控制台

创建 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

    控制台会显示根的内容。首次访问根时,控制台在该顶级视图中显示所有 AWS 账户。如果您之前创建了 OUs 并将账户移动到其中,则控制台仅显示顶级 OUs 以及任何您尚未移动到 OU 中的账户。

  2. (可选) 如果要在现有 OU 中创建 OU,请通过选择子 OU 的名称(而不是复选框)或在树视图中选择 OU 来导航到子 OU

  3. 当您处于层次结构中的正确位置时,选择 +New organizational unit (+新建组织部门) 磁贴。

  4. Create organizational unit (创建组织部门) 对话框中,输入要创建的 OU 的名称。

  5. (可选)通过选择 Add tag (添加标签),然后输入键和可选值来添加一个或多个标签。将值留空会将它设置为空字符串;它不是 null。 您最多可以将 50 个标签附加到 OU。

  6. 完成后,选择 Create organizational unit (创建组织部门)

您的新 OU 显示在父级内部。现在,您可以将账户移动到此 OU 或向其附加策略。

新控制台

创建 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. 导航到 AWS 账户 页.

    控制台将显示根 OU 及其内容。首次访问根时,控制台在该顶级视图中显示所有 AWS 账户。如果您之前创建了 OUs 并将账户移动到其中,则控制台仅显示顶级 OUs 以及任何您尚未移动到 OU 中的账户。

  3. (可选) 如果要在现有 OU 中创建 OU,请通过选择子 OU 的名称(而不是复选框)或选择 导航到子 OU 树状图中的 OUs 旁,直至您看到所需的内容,然后选择其名称。

  4. 当您在层次结构中选择了正确的父 OU 时,在 Actions (操作) 菜单上的 Organizational Unit (组织部门) 下,选择 Create new (新建)

  5. Create organizational unit 对话框中,输入要创建的 OU 的名称。

  6. (可选) 通过选择 Add tag (添加标签),然后输入键和可选值来添加一个或多个标签。将值留空会将它设置为空字符串;它不是 null。 您最多可以将 50 个标签附加到 OU。

  7. 最后,选择 Create organizational unit (创建组织部门)

您的新 OU 显示在父级内部。现在,您可以将账户移动到此 OU 或向其附加策略。

AWS CLI & AWS SDKs

创建 OU

您可以使用以下命令之一创建 OU:

  • AWS CLI:aws organizations<gls id=1>create-organizational-unit</gls>

    要创建 OU,您必须先找到要作为新 OU 的父级的根或 OU 的身份。

    要查找根的身份,请使用 list-roots 命令。要查找 OU 的身份,请使用 list-children 导航到所需的 OU。

    以下示例演示如何查找根的身份,然后在根下查找 OU 的身份。最后一个命令说明如何在找到的 OU 中创建新的 OU。

    $ aws organizations list-roots { "Roots": [ { "Id": "r-a1b2", "Arn": "arn:aws-cn:organizations::123456789012:root/o-aa111bb222/r-a1b2", "Name": "Root", "PolicyTypes": [] } ] } $ aws organizations list-children \ --parent-id r-a1b2 \ --child-type ORGANIZATIONAL_UNIT { "Children": [ { "Id": "ou-a1b2-f6g7h111", "Type": "ORGANIZATIONAL_UNIT" } ] } $ aws organizations create-organizational-unit \ --parent-id ou-a1b2-f6g7h111 \ --name New-Child-OU { "OrganizationalUnit": { "Id": "ou-a1b2-f6g7h222", "Arn": "arn:aws-cn:organizations::123456789012:ou/o-aa111bb222/ou-a1b2-f6g7h222", "Name": "New-Child-OU" } }
  • AWS SDKs: CreateOrganizationalUnit

重命名 OU

当您登录到组织的管理账户时,您可以重命名 OU。为此,请完成以下步骤。

最小权限

要在 AWS 组织的根中重命名 OU,您必须拥有以下权限:

  • organizations:DescribeOrganization – 仅当使用 组织 控制台时才需要

  • organizations:UpdateOrganizationalUnit

旧控制台

重命名 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. 组织账户 选项卡上,导航到要重命名的 OU,然后选中其名称旁边的复选框。

  3. 选择 Rename (重命名).

  4. Rename organizational unit 对话框中,输入新名称,然后选择 Rename organizational unit

新控制台

重命名 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. AWS 账户 页 上,导航到要重命名的 OU,然后执行以下步骤之一:

    • 选择单选按钮 (位于要重命名的 OU 旁边)。然后,在 Actions 菜单上的 Organizational unit 下,选择 Rename

    • 选择 OU 的名称以访问 OU 的详细信息页面。然后,在页面顶部选择 Rename (重命名)

  3. Rename organizational unit (重命名组织部门) 对话框中,输入新名称,然后选择 Save changes (保存更改)

AWS CLI & AWS SDKs

重命名 OU

您可以使用以下命令之一重命名 OU:

  • AWS CLI:aws organizations<gls id=1>update-organizational-unit</gls>

    以下示例说明如何重命名 OU。

    $ aws organizations update-organizational-unit \ --organizational-unit-id ou-a1b2-f6g7h222 \ --name "Renamed-OU" { "OrganizationalUnit": { "Id": "ou-a1b2-f6g7h222", "Arn": "arn:aws-cn:organizations::123456789012:ou/o-aa111bb222/ou-a1b2-f6g7h222", "Name": "Renamed-OU" } }
  • AWS SDKs: UpdateOrganizationalUnit

编辑附加到 OU 的标签

当您登录到组织的主账户时,您可以添加或删除附加到 OU 的标签。为此,请完成以下步骤。

最小权限

要编辑附加到 AWS 组织的根中的 OU 的标签,您必须拥有以下权限:

  • organizations:DescribeOrganization – 仅当使用 组织 控制台时才需要

  • organizations:DescribeOrganizationalUnit– 仅当使用 组织 控制台时才需要

  • organizations:TagResource

  • organizations:UntagResource

旧控制台

编辑附加到 OU 的标签

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. 组织账户 选项卡上,导航到并选择要编辑其标签的 OU 的名称

  3. 在右侧 OU 的详细信息窗格中,选择 EDIT TAGS (编辑标签)

  4. 您可以在此页面上执行这些操作中的任意操作:

    • 通过在旧标签上输入新值来编辑任何标签的值。您无法修改标签键。要更改键,您必须删除具有旧键的标签,并添加具有新键的标签。

    • 通过选择要删除的标签旁边的 Remove (删除) 来删除现有标签。

    • 添加新的标签键值对。选择 Add tag (添加标签),然后在提供的框中输入新的键名称和可选值。如果您将 Value (值) 框留空,则该值为空字符串;它不是 null

  5. 在执行所有添加、删除和编辑操作后,选择 Save changes (保存更改)

新控制台

编辑附加到 OU 的标签

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. AWS 账户 页上,导航到并选择要编辑其标签的 OU 的名称

  3. 在 OU 的详细信息页面上,选择 Tags (标签) 选项卡,然后选择 Manage tags (管理标签)

  4. 您可以在此选项卡上执行这些操作中的任意操作:

    • 通过在旧标签上输入新值来编辑任何标签的值。您无法修改标签键。要更改键,您必须删除具有旧键的标签,并添加具有新键的标签。

    • 通过选择要保留的标签旁边的 Remove (删除) 来删除现有标签。

    • 添加新的标签键值对。选择 Add tag (添加标签),然后在提供的框中输入新的键名称和可选值。如果将 Value (值) 框留空,则该值为空字符串;它不是 null

  5. 在执行所有添加、删除和编辑操作后,选择 Save changes (保存更改)

AWS CLI & AWS SDKs

编辑附加到 OU 的标签

您可以使用以下命令之一更改附加到 OU 的标签:

  • AWS CLI:aws organizations AWS Organizations 和 aws organizations untag-resourceAWS Organizations

    以下示例将标签 "Department"="12345" 附加到 OU。请注意,KeyValue 区分大小写。

    $ aws organizations tag-resource \ --resource-id ou-a1b2-f6g7h222 \ --tags Key=Department,Value=12345

    此命令成功后不会生成任何输出。

    以下示例从 OU 中删除 Department 标签。

    $ aws organizations untag-resource \ --resource-id ou-a1b2-f6g7h222 \ --tag-keys Department

    此命令成功后不会生成任何输出。

  • AWS SDKs:TagResourceUntagResource

将账户移动到 OU 或在根和 OUs 之间移动

当您登录到组织的管理账户时,您可以将组织中的账户从根移动到 OU,从一个 OU 移动到另一个,或者从 OU 移回根。将账户放入 OU 中可使其遵循附加到父 OU 以及父链中一直到根的所有 OUs 策略。如果账户未在 OU 中,则该账户仅遵循附加到根以及任何直接附加到账户上的策略。要移动账户,请完成以下步骤。

最小权限

要将账户在 OU 层次结构中移动到新位置,您必须拥有以下权限:

  • organizations:DescribeOrganization – 仅当使用 组织 控制台时才需要

  • organizations:MoveAccount

旧控制台

将账户移动到 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. 组织账户 选项卡 上,导航到当前包含要移动的账户的 OU。

  3. 选择账户,然后选择 Move (移动)

  4. Move AWS account (移动 AWS 账户) 对话框中,导航到并选择要将账户移动到的 OU 或根,然后选择 Move (移动)

新控制台

将账户移动到 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. AWS 账户 页 上,导航到包含要移动的账户的 OU

  3. 选择账户名称旁边的单选按钮,然后在 Actions (操作) 菜单上的 AWS account (AWS 账户) 下,选择 Move (移动环境)。

  4. Move AWS account 对话框中,导航到并选择要将账户移动到的 OU 或根,然后选择 Move AWS account

AWS CLI & AWS SDKs

将账户移动到 OU

您可以使用以下命令之一移动账户:

  • AWS CLI:aws organizations<gls id=1> move-account</gls>

    以下示例将 AWS 账户从根移动到 OU。请注意,您必须指定源容器和目标容器的 IDs。

    $ aws organizations move-account \ --account-id 111122223333 \ --source-parent-id r-a1b2 \ --destination-parent-id ou-a1b2-f6g7h111

    此命令成功后不会生成任何输出。

  • AWS SDKs: MoveAccount

删除 OU

当您登录到组织的管理账户时,可以删除不再需要的 OUs。

您必须先将所有账户移出 OU 和任何子 OUs,然后才能删除子 OUs。

最小权限

要删除 OU,您必须拥有以下权限:

  • organizations:DescribeOrganization – 仅当使用 组织 控制台时才需要

  • organizations:DeleteOrganizationalUnit

控制台

删除 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. 组织账户 选项卡上,导航到要删除的 OU 并选中其名称旁边的复选框。

  3. 在页面顶部,选择 Delete (删除)

  4. AWS Organizations 将删除 OU 并将其从列表中删除。

新控制台

删除 OU

  1. 登录到 AWS Organizations 控制台You must sign in as an IAM user or assume an IAM role in the organization’s management account.

  2. AWS 账户 页 上,导航到要删除的 OU 并执行以下步骤之一:

    • 选择 OUs 名称旁边的单选按钮,然后在 Actions (操作) 菜单上的 Organizational unit (组织部门) 下,选择 Delete (删除)

    • 选择 OU 的名称以转到其“Details (详细信息)”页面,然后选择 Delete (删除)

  3. 要确认您要删除 OU,请输入其名称,然后选择 Delete (删除)

    AWS Organizations 将删除 OU 并将其从列表中删除。

AWS CLI & AWS SDKs

删除 OU

您可以使用以下命令之一删除 OU: