在 Amazon RAM 中更新资源共享

要更新资源共享，请执行以下操作：

1. 导航到 Amazon RAM 控制台中的由我共享：资源共享页面。

2. 由于 Amazon RAM 资源共享存在于特定 Amazon Web Services 区域，因此，请从控制台右上角的下拉列表中选择相应的 Amazon Web Services 区域。要查看包含全球资源的资源共享，您必须将 Amazon Web Services 区域设置为美国东部（弗吉尼亚州北部）(us-east-1)。有关共享全球资源的更多信息，请参阅共享区域资源（相较于全球资源）。

3. 选择资源共享，然后选择修改。

4. 在步骤 1：指定资源共享详细信息中，查看资源共享详细信息，并在需要时更新以下任意内容：

   1. （可选）要更改资源共享的名称，请编辑名称。

   2. （可选）要将资源添加到资源共享，请在资源下，选择资源的类型，然后选中要将其添加到资源共享的资源旁边的复选框。仅当您在 Amazon Web Services Management Console 中将区域设置为美国东部（弗吉尼亚州北部）(us-east-1) 时，全球资源才会显示。

   3. （可选）要从资源共享中移除资源，请在选定资源下找到该资源，然后选择资源 ID 旁边的 X。

   4. （可选）要向资源共享添加标签，请在标签下方的空白文本框中，输入标签键和值。要添加多个标签键和值对，请选择添加新标签。您最多可以添加 50 个标签。

   5. 要从资源共享中移除标签，请在标签下，找到该标签并选择其旁边的移除。

5. 选择 Next（下一步）。

6. （可选）在步骤 2：将托管权限与每种资源类型关联中，您可以选择将 Amazon 创建的托管权限与资源类型相关联，选择现有的客户托管权限，也可以创建自己的客户托管权限。有关更多信息，请参阅托管权限的类型。

   您也可以选择创建客户托管权限，以构建符合共享使用案例要求的客户托管权限。有关更多信息，请参阅创建客户托管权限。完成该过程后，选择 ，然后您可以从托管权限下拉列表中选择新的客户托管权限。

   要显示托管权限允许的操作，请展开查看该托管权限的策略模板。

7. 如果当前分配给资源共享的托管权限版本不是当前默认版本，则您可以通过选择更新到默认版本，更新到默认版本。

   注意

   在完成最后一步之后保存对资源共享所做的更改之前，您可以通过选择还原到以前的版本，取消版本更新。但是，对于 Amazon 托管权限，保存资源共享后，更改即为最终更改，您无法再返回到以前的版本。

8. 选择 Next（下一步）。

9. 在步骤 3：选择允许访问的主体中，查看选定的主体，并在需要时更新以下任一内容：

   1. （可选）要更改是否启用与组织内部或外部的主体共享，请选择以下选项之一：

      • 要与组织外部的 Amazon Web Services 账户或者单个 IAM 角色或用户共享资源，请选择允许与外部主体共享。

      • 要将资源共享限制为仅 Amazon Organizations 中组织的主体，请选择仅允许与组织内的主体共享。

   2. 对于主体，请执行以下操作：

      • （可选）要在组织内部添加组织、组织单位 (OU) 或成员 Amazon Web Services 账户，请打开显示组织结构以显示组织的树视图。然后，选中要添加的每个主体旁边的复选框。

        重要

        当您与组织或 OU 共享，并且该范围包括拥有资源共享的账户时，共享账户中的所有主体都会自动获得对共享中资源的访问权限。授予的访问权限由与共享关联的托管权限定义。这是因为 Amazon RAM 附加到共享中每个资源的基于资源的策略使用 "Principal": "*"。有关更多信息，请参阅在基于资源的策略中使用 "Principal": "*" 的影响。

        其他所使用账户中的主体无法立即访问共享的资源。其他账户的管理员必须首先将基于身份的权限策略附加到相应的主体。这些策略必须授予对资源共享中各个资源 ARN 的 Allow 访问权限。这些策略中的权限不能超过与资源共享关联的托管权限中指定的权限。

        注意

        仅当启用与 Amazon Organizations 的共享功能并且您以组织管理账户的主体身份登录时，才会显示显示组织结构切换开关。

        您不能使用此方法来指定组织外部的 Amazon Web Services 账户、IAM 角色或用户。相反，您必须通过输入其标识符来添加这些主体，这些标识符显示在显示组织结构切换开关下方的文本框中。请参见下一个要点。

      • （可选）要按标识符添加主体，请从下拉列表中选择主体类型，然后输入主体的 ID 或 ARN。最后，选择添加。

        如果您选择单个 Amazon Web Services 账户，则只有该账户才能访问资源共享。您可以选择以下任一选项。

        • 其他 Amazon Web Services 账户（资源所有者除外）- 使资源可供其他账户使用。该账户的管理员必须使用基于身份的权限策略向个人角色和用户授予对共享资源的访问权限，以完成该过程。这些权限不能超过附加到资源共享的托管权限中定义的权限。

        • 该 Amazon Web Services 账户（资源所有者）- 资源拥有账户中的所有角色和用户都将自动获得由附加到资源共享的托管权限所定义的访问权限。

      • 添加的内容会立即显示在选定的主体列表中。

        然后，您可以重复此步骤，添加其他账户、OU 或您的组织。

      • （可选）要删除主体，请在选定的主体下找到主体，选中其复选框，然后选择取消选择。

10. 选择 Next（下一步）。

11. 在步骤 4：查看和更新中，查看资源共享的配置详细信息。

12. 要更改任何步骤的配置，请选择与要返回的步骤对应的链接，然后进行所需的更改。

    如果任何托管权限仍在使用默认版本以外的版本，则您可以选择更新到默认版本来解决这个问题。

13. 完成更改后，选择更新资源共享。