本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
资源控制策略（RCP）
注意
服务控制策略（SCP）和资源控制策略（RCP）
需要限制组织成员账户中 IAM 主体的权限时，请使用 SCP。
需要限制组织账户外部的 IAM 主体请求访问组织成员账户内的资源时，请使用 RCP。
有关更多信息，请参阅了解 SCP 和 RCP。
资源控制策略（RCP）是一种组织策略，可用于管理组织中的权限。RCP 为您组织中资源的最大可用权限提供集中控制。RCP 可帮助确保您账户中的资源符合组织的访问控制准则。RCP 仅在启用所有功能的组织中可用。如果您的组织只启用了整合账单功能，则不能使用 RCP。有关启用 RCP 的说明，请参阅启用策略类型。
单凭 RCP 不足以向组织中资源的授予权限。RCP 不授予任何权限。RCP 针对各种身份可对组织的资源执行的操作定义权限护栏或设置限制。管理员仍然必须将基于身份的策略附加到 IAM 用户或角色，或者将基于资源的策略附加到您账户中的资源，以实际授予权限。有关更多信息，请参阅 IAM 用户指南中的Identity-based 策略和基于资源的策略。
有效权限是指 RCP 和服务控制策略（SCP）允许的权限与基于身份和基于资源的策略允许的权限之间的逻辑交集。
RCP 不会影响管理账户中的资源
RCP 不会影响管理账户中的资源。它们仅影响组织内成员账户中的资源。这也意味着 RCP 适用于指定为委派管理员的成员账户。
主题
清单 Amazon Web Services 服务 支持 RCP 的
RCP 适用于以下操作： Amazon Web Services 服务
Amazon CloudFront
(prefix:cloudfront)Amazon CloudSearch
(prefix:cloudsearch)亚马逊 CloudWatch 日志
(prefix:logs)网络合成监视器
(prefix:networkmonitor)亚马逊 Cognito
(prefix:cognito-identity)亚马逊 Cognito 用户池
(prefix:cognito-idp)亚马逊理解
(prefix:comprehend)亚马逊 Comprehend Medical
(prefix:comprehendmedical)亚马逊数据消防水带
(prefix:firehose)亚马逊 DynamoDB
(prefix:dynamodb)DynamoDB 加速器
(prefix:dax)亚马逊 EC2 自动扩展
(prefix:autoscaling)亚马逊弹性容器注册表
(prefix:ecr)亚马逊检查员扫描
(prefix:inspector-scan)亚马逊 Kendra
(prefix:kendra)亚马逊 Kinesis 视频直播
(prefix:kinesisvideo)亚马逊 MemoryDB
(prefix:memorydb)亚马逊 OpenSearch 无服务器
(prefix:aoss)亚马逊 Polly
(prefix:polly)亚马逊 S3
(prefix:s3)亚马逊 SQS
(prefix:sqs)亚马逊Textract
(prefix:textract)InfluxDB 的亚马逊时间流
(prefix:timestream-influxdb)亚马逊转录
(prefix:transcribe)亚马逊翻译
(prefix:translate)Amazon AppStream
(prefix:appstream)Amazon AppConfig
(prefix:appconfig)Amazon CodeBuild
(prefix:codebuild)Amazon CodeCommit
(prefix:codecommit)Amazon CodePipeline
(prefix:codepipeline)Amazon 成本优化中心
(prefix:cost-optimization-hub)Amazon EventBridge
(prefix:events)Amazon Fault Injection Service
(prefix:fis)Amazon Health
(prefix:health)Amazon Key Management Service
(prefix:kms)亚马逊 OpenSearch 服务
(prefix:opensearch)Amazon 定价计算器
(prefix:pricing)Amazon 活动目录的私有 CA 连接器
(prefix:pca-connector-ad)Amazon Secrets Manager
(prefix:secretsmanager)Amazon Security Token Service
(prefix:sts)Amazon 登录
(prefix:signin)Amazon Web Services Support
(prefix:support)Amazon Transfer Family
(prefix:transfer)Amazon WAF
(prefix:wafv2)
测试 RCP 的影响
Amazon 强烈建议在未彻底测试该政策对账户中资源的影响之前，不要将 RCP 附加到组织的根目录。您可以先将 RCP 附加到各个测试账户，将它们向上移动到层次结构中较低的 OU，然后再根据需要在组织结构中逐渐向上移动。确定影响的一种方法是查看 Amazon CloudTrail 日志中是否存在访问被拒绝错误。
RCP 的最大大小
RCP 中的所有字符都将计入其最大大小。本指南中的示例说明使用额外空格编排格式以提高其可读性的 RCP。但是，在您的策略大小接近最大大小时，可以删除任何空格（例如，引号之外的空格字符和换行符）来节省空间。
提示
使用可视化编辑器构建您的 RCP。它会自动删除额外的空格。
将 RCP 附加到组织中的不同级别
您可以将 RCP 直接附加到个人账户、OU 或组织根。有关 RCP 工作原理的详细说明，请参阅 RCP 评估。
RCP 对权限的影响
RCP 是一种 Amazon Identity and Access Management (IAM) 政策。与基于资源的策略关系最为密切。但是，RCP 永远不会授予权限。相反，RCP 是访问控制措施，用于指定组织中资源的最大可用权限。有关更多信息，请参阅《IAM 用户指南》中的策略评估逻辑。
-
RCP 适用于子集的资源。 Amazon Web Services 服务有关更多信息，请参阅 清单 Amazon Web Services 服务 支持 RCP 的。
-
RCP 仅影响由附加了 RCP 的组织中的账户管理的资源。它们不会影响组织外部账户的资源。例如，假设有一个由组织中的账户 A 拥有的 Amazon S3 存储桶。存储桶策略（一种基于资源的策略）会向来自组织外账户 B 的用户授予访问权限。账户 A 附加了一个 RCP。即使账户 B 的用户进行访问，该 RCP 也适用于账户 A 中的 S3 存储桶。但是，当账户 A 的用户进行访问时，该 RCP 就不适用于账户 B 中的资源。
-
RCP 会限制成员账户中资源的权限。账户中的任何资源都只拥有其上方的每个父级资源允许的那些权限。如果在账户级别以上的任何级别阻止了某权限，则受影响账户中的资源就无法获得该权限，即使资源所有者附加了允许对任何用户进行完全访问的基于资源的策略也是如此。
-
RCP 适用于作为操作请求的一部分而获得授权的资源。这些资源可以在《Service Authorization Reference》中操作表的“资源类型”列中找到。如果在“资源类型”列中指定了某个资源，则会应用调用主体账户的 RCP。例如，
s3:GetObject会授权对象资源。每次发出GetObject请求时，都会应用适用的 RCP 来确定请求主体是否可以调用GetObject操作。适用的 RCP 是指已附加到账户、组织单元（OU）或拥有所访问资源的组织根的 RCP。 -
RCP 仅影响组织中的成员账户，对管理账户中的资源没有任何影响。这也意味着 RCP 适用于指定为委派管理员的成员账户。有关更多信息，请参阅 管理账户的最佳实践。
-
当主体请求访问已附加 RCP 的账户中的资源（具有适用 RCP 的资源）时，RCP 将包含在策略评估逻辑中，以确定是允许还是拒绝该主体访问。
-
无论尝试访问具有适用 RCP 的成员账户中资源的主体是否属于同一组织，RCP 都会影响其有效权限。这包括根用户。例外情况是委托人是服务相关角色，因为 RCP 不适用于服务相关角色发出的呼叫。 Service-linked 角色可以代表你执行必要的操作，并且不能受到 RCP 的限制。 Amazon Web Services 服务
-
仍必须通过适当的 IAM 权限策略（包括基于身份和基于资源的策略）向用户和角色授予权限。即使适用的 RCP 允许所有服务、所有操作和所有资源，没有任何 IAM 权限策略的用户或角色也不会拥有访问权限。
不受 RCP 限制的资源和实体
您无法使用 RCP 来限制以下操作：
-
对管理账户中的资源执行的任何操作。
-
RCP 不会影响任何服务相关角色的有效权限。 Service-linked 角色是一种独特的 IAM 角色类型，直接关联到 Amazon 服务，包括该服务代表您调用其他 Amazon 服务所需的所有权限。RCP 无法限制服务关联角色的权限。RCP 也不会影响 Amazon 服务承担服务相关角色的能力；也就是说，服务相关角色的信任策略也不会受到 RCP 的影响。
-
RCP不适用于. Amazon 托管式密钥Amazon Key Management Service Amazon 托管式密钥 由一个代表您创建、管理和使用 Amazon Web Services 服务。您无法更改或管理其权限。
RCP 不会影响以下权限：
服务 API 未经 RCP 授权的资源 Amazon Key Management Service kms:RetireGrantRCP 不会影响 kms:RetireGrant权限。有关如何确定kms:RetireGrant权限的更多信息，请参阅《Amazon KMS Developer Guide》中的 Retiring and revoking grants。