https://docs.aws.amazon.com/organizations/latest/userguide/orgs_delegate_policies.html
Это могло стать одной из самых крутых новостей ещё не начавшегося (или вот-вот) re:Invent 2022. Но нет. Кто, как и я, бросился включать AWS Organizations Delegated administrator в консоли, тоже гарантированно сначала получат:
❌
Failed to create delegation policy. ▼
API responseThis resource-based policy contains an unsupported action.С энной попытки таки решат, наконец, почитать примеры полиси в документации и получат уже синтаксические ошибки (пропущены запятые в JSON), чем часто грешат свежевыпущенные тексты.
Но даже исправив все ошибки, так нахрапом создать
delegated policy не получится. Если коротко, то звёздочка в Actions не прокатит. Вот максимальный набор правил, что можно передать в AWS Organizations Delegated Administrator account:{ "Version": "2012-10-17", "Statement": [ { "Sid": "MaximumPolicy", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::121212121212:root" }, "Action": [ "organizations:List*", "organizations:Describe*", "organizations:CreatePolicy", "organizations:UpdatePolicy", "organizations:DeletePolicy", "organizations:AttachPolicy", "organizations:DetachPolicy", "organizations:EnablePolicyType", "organizations:DisablePolicyType", "organizations:TagResource", "organizations:UntagResource" ], "Resource": "*" } ]}Ответ в самом начале документа. Это "ненастоящий админ", это policy admin. Права у него чуть больше, нежели были раньше доступны для Delegated админов:
https://docs.aws.amazon.com/organizations/latest/APIReference/action-reference.html#actions-management-or-delegated-admin
Добавились тэги и, собственно, управление Policy. Но это всё. Управлять (CRUD и т.п.) непосредственно AWS аккаунтами, OU — нельзя, только из Management account.
Что ж, пока не всё, что хотелось, но уже хоть что-то. И важно — заложен Resource-Based принцип для работы с AWS Organizations в целом и её частями в частности.
А это значит, что «Лёд тронулся, господа присяжные заседатели!» © 😀
#Organizations