组织，管理账户和成员账户
最后更新于
最后更新于
AWS Organizations 是一项云服务，它允许您以集中的方式管理和治理您的多个AWS账户。通过AWS Organizations，您可以创建、管理和自动化账户组，以及设置策略来控制这些账户可以访问的AWS资源。它支持按照业务需求，如成本中心、应用程序或环境（例如生产、开发和测试）来组织账户，从而简化账户管理、成本追踪和安全性控制。
AWS Organizations 提供的主要功能包括：
账户管理：轻松创建新的AWS账户，并将其与现有账户组织到一起。
策略管理：利用服务控制策略（SCP）在组织中强制实施访问策略，增强安全性。
成本管理和优化：通过集中的视图监控整个组织的AWS成本和用量，识别优化机会。
自动化和API集成：使用API管理和自动化AWS Organizations的功能，集成到您的现有的IT管理流程。
使用AWS Organizations，企业可以更有效地管理其在云中的资源，确保这些资源符合公司政策和合规要求，同时也能优化成本。
每个 AWS 账户都会关联一个 账户 ID（12 位数字）。您可以在 AWS 管理控制台的右上角找到 ID，那里有您的账户详细信息。如果您找不到，请转到 AWS IAM，选择任何角色并查看该角色的 ARN。您可以按照下面的说明找到 12 位账户 ID。（下图中屏蔽的部分）
在AWS Organizations中，管理账户（Management Account）是负责创建和管理组织的主要账户。这个账户拥有最高权限，可以访问组织中的所有AWS账户和资源。它负责添加新账户到组织中、配置服务控制策略（SCP），以及管理整个组织的成员账户。
管理成员账户：从管理账户，您可以邀请其他AWS账户加入组织，或者直接创建新的账户作为组织的成员。
服务控制策略：管理账户可以创建并应用SCP来限制或允许成员账户在AWS中可以执行的操作。
账户设置和信息：仅管理账户可以修改组织的设置，包括名称和描述，以及访问账户的集中式支付设置和其他重要信息。
集中式监控和报告：管理账户可用于访问和管理整个组织的云账单以及使用和成本报告。
管理账号是组织中最重要的账号，因此建议采取适当的安全措施，如启用多因素认证（MFA）、限制对管理账号的访问等，以保障组织的安全。
成员账户（Member Account）是指那些被加入到AWS组织中的账户，它们不同于管理账户，没有权限创建或管理组织的其他账户或资源。成员账户可以是任何已有的AWS账户，也可以是新创建的账户，一旦加入组织，它们就受到管理账户设置的策略和控制。
功能和权限
受限访问：成员账户的权限受到所属组织和管理账户的策略限制，包括服务控制策略（SCP）的应用。
定制化服务使用：在管理账户的权限和策略下，成员账号可以访问AWS的各种服务和资源，但具体可访问哪些服务则取决于SCP的设置。
账户操作：成员账号可以独立进行账户级别的操作，如管理其AWS资源，但是某些操作可能需要管理账号的授权或解除限制。
计费和成本管理：虽然账单汇总到管理账户，成员账户仍然可以访问自己账户的详细计费信息和使用情况，以便于自我管理和优化成本。
加入组织的成员账户能够从集中管理和安全性方面受益，同时也保持一定程度的自治和灵活性。
