使用创建组织政策 Amazon Organizations

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在 Service control policies (服务控制策略) 页面上，选择 Create policy (创建策略)。

在 CCreate new service control policy (创建新的服务控制策略) 页面上，输入策略的 Policy name (策略名称) 和可选 Policy description (策略说明)。

（可选）添加一个或多个标签，方法是选择 Add tag (添加标签)，然后输入一个键和可选的值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关更多信息，请参阅 标记资源 Amazon Organizations。

为了构建策略，您的后续步骤因您是否要添加拒绝或允许访问的语句而异。有关更多信息，请参阅 SCP 评估。如果您使用Deny语句，则可以获得额外的控制权，因为您可以限制对特定资源的访问权限，定义 SCPs 何时生效的条件以及使用该NotAction元素。有关语法的详细信息，请参阅SCP 语法。

要添加拒绝 访问的语句，请执行以下操作：

1. 在编辑器右侧的 “编辑语句” 窗格中，在 “添加操作” 下，选择一项 Amazon 服务。

   当您选择右侧的选项时，JSON 编辑器会更新，以在左侧显示相应的 JSON 策略。

2. 选择服务后，将打开一个列表，其中包含该服务的可用操作。您可以选择 All actions (所有操作)，或选择要拒绝的一个或多个单独操作。

   左侧的 JSON 将更新，以包含您选择的操作。

   注意

   如果您选择一个单独的操作，然后返回并选择 All actions (所有操作)，那么 servicename:* 的预期条目会添加到 JSON 中，但您之前选择的单个操作将保留在 JSON 中，而不会被删除。

3. 如果要添加来自其他服务的操作，您可以选择 Statement (语句) 框顶部的 All services (所有服务)，然后根据需要重复前面两个步骤。

4. 指定要包含在语句中的资源。

   • 在添加资源旁边，选择添加。

   • 在 Add resource (添加资源) 对话框中，从列表中选择要控制其资源的服务。您只能从上一步骤选择的服务中进行选择。

   • 在 Resource type (资源类型) 下，选择要控制的资源的类型。

   • 最后，在 Resource ARN 中填写 Amazon Resource Name（ARN），以标识您要控制访问权限的特定资源。必须替换由大括号 {} 包围的所有占位符。您可以在资源类型的 ARN 语法允许的地方指定通配符（*）。有关可在何处使用通配符的信息，请参阅特定资源类型的文档。

   • 保存您对策略添加的内容，方法是选择 Add resource (添加资源)。JSON 中的 Resource 元素反映了您的添加或更改。需要 Resource (资源) 元素。

   提示

   如果要指定选定服务的所有资源，请选择列表中的 All resources (所有资源) 选项，或者直接在 JSON 中编辑 Resource 语句以读取 "Resource":"*"。

5. （可选）要指定限制策略语句生效时间的条件，请在添加条件旁边选择添加。

   • 条件密钥-从列表中，您可以选择适用于所有 Amazon 服务的任何条件密钥（例如aws:SourceIp），或者仅为在本语句中选择的一项服务选择特定于服务的密钥。

   • 限定符-（可选）当请求具有多个多值上下文键值的值时，您可以指定一个限定符来根据这些值测试请求。有关更多信息，请参阅 IAM 用户指南中的单值与多值上下文密钥。要检查请求是否可以有多个值，请参阅《服务授权参考》 Amazon Web Services 服务中的操作、资源和条件键。

     • 默认值 – 根据策略中的条件键值测试请求中的单个值。如果请求中的值均与策略中的值匹配，则条件返回 true。如果策略指定了多个值，则它们将被视为“or”测试，如果请求值与任何策略值匹配，则条件返回 true。

     • 对于请求中的任何值 – 当请求可以具有多个值时，此选项测试是否有至少一个请求值与策略中的至少一个条件键值匹配。如果请求中的任何一个键值与策略中的任何一个条件值匹配，则条件返回 true。对于没有匹配的键或空数据集，条件返回 false。

     • 对于请求中的所有值 – 当请求可以具有多个值时，此选项测试是否每个请求值都与策略中的条件键值匹配。如果请求中的每个键值均与策略中的至少一个值匹配，则条件返回 true。如果请求中没有键或者键值解析为空数据集（如空字符串），则也会返回 true。

   • 运算符 – 运算符指定要进行比较的类型。显示的选项取决于条件键的数据类型。例如，aws:CurrentTime 全局条件键允许您从任何日期比较运算符（或 Null）中选择，您可以使用它来测试请求中是否存在该值。

     对于除Null检验之外的任何条件运算符，您可以选择该IfExists选项。

   • 值 –（可选）指定要测试请求的一个或多个值。

   选择 添加条件。

   有关条件键的更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：条件。

要添加允许 访问的语句，请执行以下操作：

1. 在左侧的 JSON 编辑器中，将行 "Effect": "Deny" 改为 "Effect": "Allow"。

   当您选择右侧的选项时，JSON 编辑器会更新，以在左侧显示相应的 JSON 策略。

2. 选择服务后，将打开一个列表，其中包含该服务的可用操作。您可以选择 All actions (所有操作)，或选择要允许的一个或多个单独操作。

   左侧的 JSON 将更新，以包含您选择的操作。

   注意

   如果您选择一个单独的操作，然后返回并选择 All actions (所有操作)，那么 servicename:* 的预期条目会添加到 JSON 中，但您之前选择的单个操作将保留在 JSON 中，而不会被删除。

3. 如果要添加来自其他服务的操作，您可以选择 Statement (语句) 框顶部的 All services (所有服务)，然后根据需要重复前面两个步骤。

（可选）要向策略添加另一个语句，请选择 Add statement (添加语句) 并使用可视化编辑器构建下一条语句。

添加完语句后，选择 Create policy (创建策略) 以保存已完成的 SCP。

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在资源控制策略页面上，选择创建策略。

在创建新的资源控制策略页面上，输入策略名称和可选的策略描述。

（可选）添加一个或多个标签，方法是选择 Add tag (添加标签)，然后输入一个键和可选的值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关更多信息，请参阅 标记资源 Amazon Organizations。

要添加语句，请执行以下操作：

1. 在编辑器右侧的 “编辑语句” 窗格中，在 “添加操作” 下，选择一项 Amazon 服务。

   当您选择右侧的选项时，JSON 编辑器会更新，以在左侧显示相应的 JSON 策略。

2. 选择服务后，将打开一个列表，其中包含该服务的可用操作。您可以选择 All actions (所有操作)，或选择要拒绝的一个或多个单独操作。

   左侧的 JSON 将更新，以包含您选择的操作。

   注意

   如果您选择一个单独的操作，然后返回并选择 All actions (所有操作)，那么 servicename:* 的预期条目会添加到 JSON 中，但您之前选择的单个操作将保留在 JSON 中，而不会被删除。

3. 如果要添加来自其他服务的操作，您可以选择 Statement (语句) 框顶部的 All services (所有服务)，然后根据需要重复前面两个步骤。

4. 指定要包含在语句中的资源。

   • 在添加资源旁边，选择添加。

   • 在 Add resource (添加资源) 对话框中，从列表中选择要控制其资源的服务。您只能从上一步骤选择的服务中进行选择。

   • 在 Resource type (资源类型) 下，选择要控制的资源的类型。

   • 填写资源 ARN 中的 Amazon 资源名称 (ARN)，以确定您要控制访问权限的特定资源。必须替换由大括号 {} 包围的所有占位符。您可以在资源类型的 ARN 语法允许的地方指定通配符（*）。有关可以在何处使用通配符的信息，请参阅特定资源类型的文档。

   • 保存您对策略添加的内容，方法是选择 Add resource (添加资源)。JSON 中的 Resource 元素反映了您的添加或更改。需要 Resource (资源) 元素。

   提示

   如果要指定选定服务的所有资源，请选择列表中的 All resources (所有资源) 选项，或者直接在 JSON 中编辑 Resource 语句以读取 "Resource":"*"。

5. （可选）要指定限制策略语句生效时间的条件，请在添加条件旁边选择添加。

   • 条件密钥-从列表中，您可以选择适用于所有 Amazon 服务的任何条件密钥（例如aws:SourceIp），或者仅为在本语句中选择的一项服务选择特定于服务的密钥。

   • 限定符-（可选）当请求具有多个多值上下文键值的值时，您可以指定一个限定符来根据这些值测试请求。有关更多信息，请参阅 IAM 用户指南中的单值与多值上下文密钥。要检查请求是否可以有多个值，请参阅《服务授权参考》 Amazon Web Services 服务中的操作、资源和条件键。

     • 默认值 – 根据策略中的条件键值测试请求中的单个值。如果请求中的值均与策略中的值匹配，则条件返回 true。如果策略指定了多个值，则它们将被视为“or”测试，如果请求值与任何策略值匹配，则条件返回 true。

     • 对于请求中的任何值 – 当请求可以具有多个值时，此选项测试是否有至少一个请求值与策略中的至少一个条件键值匹配。如果请求中的任何一个键值与策略中的任何一个条件值匹配，则条件返回 true。对于没有匹配的键或空数据集，条件返回 false。

     • 对于请求中的所有值 – 当请求可以具有多个值时，此选项测试是否每个请求值都与策略中的条件键值匹配。如果请求中的每个键值均与策略中的至少一个值匹配，则条件返回 true。如果请求中没有键或者键值解析为空数据集（如空字符串），则也会返回 true。

   • 运算符 – 运算符指定要进行比较的类型。显示的选项取决于条件键的数据类型。例如，aws:CurrentTime 全局条件键允许您从任何日期比较运算符（或 Null）中选择，您可以使用它来测试请求中是否存在该值。

     对于除Null检验之外的任何条件运算符，您可以选择该IfExists选项。

   • 值 –（可选）指定要测试请求的一个或多个值。

   选择 添加条件。

   有关条件键的更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：条件。

6. （可选）要使用 NotAction 元素来拒绝对所有操作（指定操作除外）的访问权限，请将左窗格中的 Action 替换为 NotAction（位于 "Effect": "Deny", 元素后）。有关更多信息，请参阅 IAM 用户指南 NotAction中的 IAM JSON 策略元素：。

（可选）要向策略添加另一个语句，请选择 Add statement (添加语句) 并使用可视化编辑器构建下一条语句。

添加完对账单后，选择创建策略以保存已完成的 RCP。

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在声明性策略页面上，选择创建策略。

在 “为其创建新的声明性策略 EC2” 页面上，输入策略名称和可选的策略描述。

（可选）您可以向策略添加一个或多个标签，方法是选择 Add tag (添加标签)，然后输入一个键和可选的值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关更多信息，请参阅 标记资源 Amazon Organizations。

您可以使用可视化编辑器构建策略，如此过程中所述。您也可以在 JSON 选项卡中输入或粘贴策略文本。有关声明式策略语法的信息，请参见声明式策略语法和示例。

如果您选择使用可视化编辑器，请选择要包含在声明式策略中的服务属性。有关更多信息，请参阅 支持 Amazon Web Services 服务 和属性。

选择添加服务属性，然后根据您的规格配置该属性。有关每种效果的更多详细信息，请参阅声明式策略语法和示例。

编辑完策略后，选择位于页面右下角的 Create policy (创建策略)。

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在 Backup policies (备份策略) 页面上，选择 Create policy (创建策略)。

在 Create policy (创建策略) 页面上，输入策略的 Policy name (策略名称) 和可选 Policy description (策略说明)。

（可选）您可以向策略添加一个或多个标签，方法是选择 Add tag (添加标签)，然后输入一个键和可选的值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关标记的更多信息，请参阅标记资源 Amazon Organizations。

您可以使用可视化编辑器构建策略，如此过程中所述。您也可以在 JSON 选项卡中输入或粘贴策略文本。有关备份策略语法的信息，请参阅备份策略语法和示例。

如果选择使用可视化编辑器，请选择适合您的场景的备份选项。备份计划由三部分组成。有关这些备份计划元素的更多信息，请参阅《Amazon Backup 开发人员指南》中的创建备份计划和分配资源。

创建完策略后，选择 Create policy (创建策略)。该策略将显示在可用备份策略的列表中。

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在 Tag policies (标签策略) 页面上，选择 Create policy (创建策略)。

在 Create policy (创建策略) 页面上，输入策略的 Policy name (策略名称) 和可选 Policy description (策略说明)。

（可选）您可以向策略对象本身添加一个或多个标签。这些标签不是策略的一部分。为此，请选择 Add tag (添加标签)，然后输入键和可选值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关更多信息，请参阅 标记资源 Amazon Organizations。

您可以使用可视化编辑器构建标签策略，如此过程中所述。您也可以在 JSON 选项卡中键入或粘贴标签策略。有关标签策略语法的信息，请参阅标签策略语法。

如果您选择使用可视化编辑器，请指定以下内容：

对于 New tag key (新标签键 1)，指定要添加的标签键的名称。

对于合规性选项，您可以选择以下选项：

对于要强制执行的资源类型，您可以选择为此标签阻止不合规操作。

我们建议您务必清楚此选项（默认设置），除非您有丰富的使用标签策略的经验。请确保您已查看了解强制执行中的建议并测试技术。否则，您可能会阻止组织账户中的用户标记他们所需的资源。

如果要强制实施此标签键的合规性，请选中该复选框，然后选择 Specify resource types (指定资源类型)。出现提示后，选择要包含在策略中的资源类型。然后选择 Save changes （保存更改)。

（可选）要向此标签策略添加另一个标签键，请选择 Add tag key (添加标签键)。然后执行步骤 6–9 来定义标签键。

完成标签策略构建后，选择 Save changes (保存更改)。

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在聊天机器人策略页面上，选择创建策略。

在创建新的聊天应用程序策略页面上，输入策略名称和可选的策略描述。

（可选）您可以向策略添加一个或多个标签，方法是选择 Add tag (添加标签)，然后输入一个键和可选的值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关更多信息，请参阅 标记资源 Amazon Organizations。

您可以使用可视化编辑器构建策略，如此过程中所述。您也可以在 JSON 选项卡中输入或粘贴策略文本。有关聊天应用程序策略语法的信息，请参阅聊天应用程序策略语法和示例。

如果您选择使用可视化编辑器，请通过为聊天客户端指定访问控制来配置聊天应用程序策略。

创建完策略后，选择 Create policy (创建策略)。该策略将在聊天机器人备份策略列表中显示。

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在 AI services opt-out policies (AI 服务选择退出策略) 页面上，选择 Create policy (创建策略)。

在 Create new AI services opt-out policy（创建新的 AI 服务选择退出策略）页面上，输入 Policy name（策略名称）和可选 Policy description（策略说明）。

（可选）您可以向策略添加一个或多个标签，方法是选择 Add tag (添加标签)，然后输入一个键和可选的值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关更多信息，请参阅 标记资源 Amazon Organizations。

输入策略文本或将其粘贴到 JSON 选项卡。有关 AI 服务选择退出策略语法的信息，请参阅AI 服务选择退出策略语法和示例。有关可用作起始点的策略的示例，请参阅AI 服务选择退出策略示例。

编辑完策略后，选择位于页面右下角的 Create policy (创建策略)。

登录 Amazon Organizations 控制台。您必须以 IAM 用户的身份登录，担任 IAM 角色；或在组织的管理账户中以根用户的身份登录（不推荐）。

在 S ecurity Hub 策略页面上，选择创建策略。

在创建新 Security Hub 策略页面上，输入策略名称和可选的策略描述。

（可选）您可以向策略添加一个或多个标签，方法是选择 Add tag (添加标签)，然后输入一个键和可选的值。将值留空，设置为空字符串；它并非 null。您最多可以向策略附加 50 个标签。有关更多信息，请参阅 标记资源 Amazon Organizations。

在 JSON 代码框中输入或粘贴策略文本。有关 Security Hub 策略语法的信息，请参阅Security Hub 策略语法和示例。有关可用作起始点的策略的示例，请参阅Security Hub 策略示例。

编辑完策略后，选择位于页面右下角的 Create policy (创建策略)。