组织、OU 和 SCP 策略

AWS Organizations 可以将多个 AWS 账户作为一个整体集中管理。在其中，Service Control Policies (SCPs) 用于设置权限上限，Organizational Units (OUs) 用于对账户分组，以便确定策略的应用对象。合理设计这一层级结构，是 SCS-C02 考试治理领域的核心技能。

组织的顶层是管理账户（以前称为主账户），下面是一个根容器，以及可以嵌套、用于对成员账户分组的 OUs。附加在任意层级的策略都会向下应用到其下方的所有对象。借助这棵树，您只需附加一次策略，就能广泛或精细地应用控制措施。

Organizational Unit (OU) 用于将具有相同治理需求的账户分组，例如“Production”OU、“Sandbox”OU 和“Security”OU。将 SCP 附加到 OU 后，该策略会应用于其中的每个账户，因此您应按照账户需要继承的策略来组织账户。

SCP 会沿树形结构向下继承：账户受根、其父级 OU 以及自身附加的 SCP 共同管理。某项操作要获得允许，必须在每一层都得到许可。链条中任何位置的拒绝都会阻止该操作。这种累积效果是设计 SCP 的核心。

有两种策略。拒绝列表以默认的 FullAWSAccess 为基础，对您永远不希望发生的操作添加显式拒绝，例如停止 CloudTrail。允许列表会移除 FullAWSAccess，只明确列出允许使用的服务，安全限制更严格。大多数组织会先采用拒绝列表，以保留灵活性。

此 SCP 禁止任何人停止 CloudTrail logging。这是一种常见的组织范围防护措施，可确保任何成员账户都无法让审计记录失明。

一条至关重要的规则：SCP 绝不会授予权限；它们只会设置权限上限。某项操作必须同时获得 SCP 和账户中的 IAM 策略允许。允许列表 SCP 只是让服务可以被授予；仍然必须由 IAM 授予这些服务的权限。

SCP 不适用于管理账户，也不会影响服务相关角色。在某些情况下，它们也不会影响组织外部基于资源的策略所授予的权限。了解这些例外情况，可以避免在题目要求 SCP 阻止其实际上无法阻止的操作时作出错误判断。

两项经典的保护性 SCP 会拒绝离开组织（组织:LeaveOrganization），并拒绝成员账户停用安全服务，例如 GuardDuty、Security Hub、Config 和 CloudTrail。将它们应用于根节点后，可以确保任何成员账户都无法脱离治理，也无法让组织的检测能力失效，这是强烈推荐的基线配置。

一种典型的设计是：在根节点使用基线拒绝列表 SCP（保护 CloudTrail、拒绝离开组织、限制区域），在生产 OU 上使用更严格的 SCP，在沙盒 OU 上使用更宽松的 SCP。按照风险特征将账户分组到 OU 中，可以用最少的策略扩散实现精细的治理调整。

组织会在根节点和管理账户下，将账户组织到OU中。SCP 会沿树向下继承，某项操作必须在每一层都获得允许。请选择拒绝列表（灵活）或允许列表（严格）策略，并记住 SCP 只会设置上限，绝不会授予权限，且不适用于管理账户或服务相关角色。

测试您的 SCP 策略。

AWS 组织会在根节点和管理账户下，将账户分组到OU中。SCP会沿树向下继承，并要求在每一层都获得允许；任何拒绝都会阻止操作。请使用拒绝列表（灵活）或允许列表（严格）策略。SCP 只会设置上限，绝不会授予权限，且不适用于管理账户或服务相关角色。