共享您的Amazon资源

在Amazon RAM控制台中打开 “设置” 页面。

选择 “启用共享至”Amazon Organizations，然后选择 “保存设置”。

打开 Amazon RAM 控制台。

由于特定地存在Amazon RAM资源共享Amazon Web Services 区域，请Amazon Web Services 区域从控制台右上角的下拉列表中选择相应的共享。要查看包含全局资源的资源共享，您必须将设置Amazon Web Services 区域为美国东部（弗吉尼亚州北部），(us-east-1)。有关共享全局资源的更多信息，请参阅与全球资源相比，共享区域资源。如果要在资源共享中包括全球资源，则必须选择指定的主区域，即美国东部（弗吉尼亚北部）us-east-1。

如果您是新手Amazon RAM，请从主页选择 “创建资源共享”。否则，请从 “由我共享：资源共享” 页面中选择 “创建资源共享”。

在第 1 步 1: 指定资源共享详细信息中，执行以下操作：

1. 对于 Name (名称)，为资源共享输入一个描述性名称。

2. 在 “资源” 下，选择要添加到资源共享的资源，如下所示：

   • 在选择资源类型中，选择要共享的资源类型。这会将可共享资源列表筛选为仅包含所选类型的资源。

   • 在生成的资源列表中，选中要共享的单个资源旁边的复选框。所选资源移至 “选定资源” 下。

     如果您共享与特定可用区关联的资源，则使用可用区 ID (AZ ID) 可帮助您确定这些资源在不同账户中的相对位置。有关更多信息，请参阅您的可用区 IDAmazon资源：

3. （可选）要将标签附加到资源共享，请在标签下输入标签密钥和值。通过选择添加新标签来添加其他人。根据需要重复上述步骤。这些标签仅适用于资源共享本身，不适用于资源共享中的资源。

选择 Next（下一步）。

在步骤 2：将权限与每种资源类型关联中，如果可用的权限超过默认的Amazon RAM托管权限，则可以选择与该资源类型关联的权限。如果只有默认权限可用，则Amazon RAM会自动将此权限与资源类型关联起来。有关更多信息，请参阅Amazon RAM托管权限的类型：

要显示权限允许的操作，请展开此权限允许的操作。

选择 Next（下一步）。

在第 3 步 3: 选择要授予访问权限的委托人中，执行以下操作：

1. 默认情况下，“允许与任何人共享” 处于选中状态，这意味着，对于支持该功能的资源类型Amazon Web Services 账户，您可以与组织外部的资源共享。这不会影响只能在组织内共享的资源类型，例如 Amazon VPC 子网。您还可以与 IAM 角色和用户共享一些支持的资源类型。

   要将资源共享限制为组织中的帐户和负责人，请选择 “仅允许在组织内共享”。

2. 对于校长，请执行以下操作：

   • 要添加组织、组织单位 (OU) 或组织的一部分Amazon Web Services 账户，请打开 “显示组织结构”。这将显示您组织的树视图。然后，选中要添加的每个校长旁边的复选框。

     重要

     当您与组织或 OU 共享（该范围包括拥有资源共享的账户）时，共享账户中的所有委托人都会自动访问共享中的资源。授予的访问权限由与共享相关的托管权限定义。这是因为Amazon RAM附加到共享中每种资源的基于资源的策略会使用"Principal": "*"。有关更多信息，请参阅在基于资源的策略中使用 “Prinity”：“*” 的含义：

     其他消费账户的委托人无法立即访问该共享的资源。其他账户的管理员必须首先将基于身份的权限策略附加到相应的主人。这些策略必须授予对资源共享中单个资源的 ARN 的Allow访问权限。这些策略中的权限不能超过与资源共享相关的Amazon RAM托管权限中指定的权限。

     • 如果您选择组织（ID 以开头o-），则组织Amazon Web Services 账户中的所有负责人都可以访问资源共享。

     • 如果您选择一个 OU（ID 以开头ou-），则该 OUAmazon Web Services 账户 中的所有主体及其子 OU 都可以访问该资源共享。

     • 如果您选择个人Amazon Web Services 账户，则只有该账户中的委托人才能访问资源共享。

     注意

     仅当启用了共享对象并且您登录了Amazon Organizations组织的管理帐户时，才会显示 “显示组织结构” 开关。

     您不能使用此方法指定组织Amazon Web Services 账户外部，也不能指定 IAM 角色或用户。相反，您必须关闭显示组织结构并使用下拉列表和文本框输入 ID 或 ARN。

   • 要通过 ID 或 ARN 指定委托人，包括组织外部的委托人，请为每个委托人选择委托人类型。接下来，输入 ID（用于Amazon Web Services 账户、组织或 OU）或 ARN（用于 IAM 角色或用户），然后选择添加。可用的主体类型以及 ID 和 ARN 格式如下所示：

     • Amazon Web Services 账户— 要添加Amazon Web Services 账户，请输入 12 位数的账户 ID。例如：

       123456789012

     • 组织-要添加组织Amazon Web Services 账户中的所有组织，请输入组织的 ID。例如：

       o-abcd1234

     • 组织单位 (OU)-要添加 OU，请输入 OU 的 ID。例如：

       ou-abcd-1234efgh

     • IAM 角色 ——要添加 IAM 角色，请输入该角色的 ARN。使用下面的语法：

       arn:partition:iam::account:role/role-name

       例如：

       arn:aws:iam::123456789012:role/MyS3AccessRole

       注意

       要获取 IAM 角色的唯一 ARN，请在 IAM 控制台中查看角色列表，使用 get- roAmazon CLI le 命令或 GetRoleAPI 操作。

     • IAM 用户-要添加 IAM 用户，请输入该用户的 ARN。使用下面的语法：

       arn:partition:iam::account:user/user-name

       例如：

       arn:aws:iam::123456789012:user/bob

       注意

       要获取 IAM 用户的唯一 ARN，请在 IAM 控制台中查看用户列表，使用 get-userAmazon CLI 命令或 GetUserAPI 操作。

3. 对于选定的校长，请验证您指定的校长是否出现在列表中。

选择 Next（下一步）。

在步骤 4：查看和创建中，查看您的资源共享的配置详细信息。要更改任何步骤的配置，请选择与要返回的步骤相对应的链接并进行所需的更改。

查看完资源共享后，选择创建资源共享。

可能需要花几分钟时间，才能完成资源和委托人关联。在尝试使用资源共享之前，请先完成此过程。

您可以随时添加和删除资源和主体，或者将自定义标签应用于您的资源共享。对于支持超出默认权限的类型，您可以更改资源共享中包含的资源类型的权限。当您不想再共享资源共享，则可以删除资源共享。有关更多信息，请参阅共享您拥有的Amazon资源：