# 组织，管理账户和成员账户

## 什么是AWS Organizations

AWS Organizations 是一项云服务，它允许您以集中的方式管理和治理您的多个AWS账户。通过AWS Organizations，您可以创建、管理和自动化账户组，以及设置策略来控制这些账户可以访问的AWS资源。它支持按照业务需求，如成本中心、应用程序或环境（例如生产、开发和测试）来组织账户，从而简化账户管理、成本追踪和安全性控制。

AWS Organizations 提供的主要功能包括：

* **账户管理**：轻松创建新的AWS账户，并将其与现有账户组织到一起。
* **策略管理**：利用服务控制策略（SCP）在组织中强制实施访问策略，增强安全性。
* **成本管理和优化**：通过集中的视图监控整个组织的AWS成本和用量，识别优化机会。
* **自动化和API集成**：使用API管理和自动化AWS Organizations的功能，集成到您的现有的IT管理流程。

使用AWS Organizations，企业可以更有效地管理其在云中的资源，确保这些资源符合公司政策和合规要求，同时也能优化成本。

## 什么是账户Account？

每个 AWS 账户都会关联一个 **账户 ID（12 位数字）**。您可以在 AWS 管理控制台的右上角找到 ID，那里有您的账户详细信息。如果您找不到，请转到 **AWS IAM**，选择任何角色并查看该角色的 ARN。您可以按照下面的说明找到 12 位账户 ID。（下图中屏蔽的部分）

<figure><img src="https://3752289132-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTfg4e0NhLEbwi6WFJp%2Fuploads%2FGJRlDRGvamI5AiEo5RGB%2Fimage.png?alt=media&#x26;token=a0746067-95de-4e13-a4e2-2ab64be6f3fe" alt=""><figcaption></figcaption></figure>

## 什么是管理账户 Management Account

在AWS Organizations中，*管理账户*（Management Account）是负责创建和管理组织的主要账户。这个账户拥有最高权限，可以访问组织中的所有AWS账户和资源。它负责添加新账户到组织中、配置服务控制策略（SCP），以及管理整个组织的成员账户。

#### 功能和权限

* **管理成员账户**：从管理账户，您可以邀请其他AWS账户加入组织，或者直接创建新的账户作为组织的成员。
* **服务控制策略**：管理账户可以创建并应用SCP来限制或允许成员账户在AWS中可以执行的操作。
* **账户设置和信息**：仅管理账户可以修改组织的设置，包括名称和描述，以及访问账户的集中式支付设置和其他重要信息。
* **集中式监控和报告**：管理账户可用于访问和管理整个组织的云账单以及使用和成本报告。

管理账号是组织中最重要的账号，因此建议采取适当的安全措施，如启用多因素认证（MFA）、限制对管理账号的访问等，以保障组织的安全。

## 什么是成员账户 Member Account

成员账户（Member Account）是指那些被加入到AWS组织中的账户，它们不同于管理账户，没有权限创建或管理组织的其他账户或资源。成员账户可以是任何已有的AWS账户，也可以是新创建的账户，一旦加入组织，它们就受到管理账户设置的策略和控制。

**功能和权限**

* **受限访问**：成员账户的权限受到所属组织和管理账户的策略限制，包括服务控制策略（SCP）的应用。
* **定制化服务使用**：在管理账户的权限和策略下，成员账号可以访问AWS的各种服务和资源，但具体可访问哪些服务则取决于SCP的设置。
* **账户操作**：成员账号可以独立进行账户级别的操作，如管理其AWS资源，但是某些操作可能需要管理账号的授权或解除限制。
* **计费和成本管理**：虽然账单汇总到管理账户，成员账户仍然可以访问自己账户的详细计费信息和使用情况，以便于自我管理和优化成本。

加入组织的成员账户能够从集中管理和安全性方面受益，同时也保持一定程度的自治和灵活性。
