amazon-web-services - AWS IAM 是否支持允许 AWS 组织内的所有账户的策略？

Question

我有一个希望启用跨帐户访问的帐户。为此，我需要一个 IAM 策略，将我想授予访问权限的所有账户指定为委托(delegate)人列表，例如:

"Principal": { "AWS": ["arn:aws:iam::123456789012:root", ...more accounts here... ] }

我希望授予访问权限的所有账户都在一个 AWS 组织内，账户经常添加到该组织中。有没有一种方法可以在策略中指定组织内的所有帐户，而无需在创建新帐户时重新部署我的策略？

如果能够将帐户添加到组织并自动将此帐户添加到策略中而无需显式添加它，那就太好了。

Answer 1

aws:PrincipalOrgID条件可以在这里提供帮助吗？:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowGetObject",
            "Action": "s3:GetObject",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": [
                        "o-yyyyyyyyyy"
                    ]
                }
            },
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "*"
                ]
            },
            "Resource": "arn:aws:s3:::2018-Financial-Data/*"
        }
    ]
}

See the AWS docs here for more