本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Cross-account 访问私有 CA 的安全最佳实践
Amazon 私有 CA 管理员可以与另一个 Amazon Web Services 账户管理员中的委托人（用户、角色等）共享 CA。收到并接受股份后，委托人可以使用我们的 Amazon Certificate Manager 资源使用CA颁发最终实体证书。 Amazon 私有 CA 委托人可以使用 CA 颁发从属 CA 证书。 Amazon 私有 CA
重要
与跨账户场景中颁发的证书相关的费用将计入颁发证书的 Amazon 账户。
要共享对 CA 的访问权限， Amazon 私有 CA 管理员可以选择以下任一方法：
-
使用 Amazon Resource Access Manager (RAM) 将 CA 作为资源与另一个账户中的委托人共享，或与之共享 Amazon Organizations。RAM 是跨账户共享 Amazon 资源的标准方法。有关 RAM 的更多信息，请参阅《Amazon RAM 用户指南》https://docs.amazonaws.cn/ram/latest/userguide/。有关 Amazon Organizations的更多信息，请参阅 Amazon Organizations 用户指南。
-
使用 Amazon 私有 CA API 或 CLI 将基于资源的策略附加到 CA，从而向另一个账户中的委托人授予访问权限。有关更多信息，请参阅 Resource-based 政策。
本指南的 控制对私有 CA 的访问权限 部分提供了在单账户和跨账户场景中授予 CA 访问权限的工作流程。