什么是隔离/隔离AWS用户的有效方法？

Question

我正在尝试为少数用户（在有限的时间内）临时访问AWS控制台，他们应该无法查看其他用户创建的任何资源。这些是我能找到的可能方法：

1. 为每个用户创建 IAM用户并分配IAM策略：这是一个简单的过程，但是可以定义策略，使每个用户彼此完全隔离？用户应该能够创建任何资源，但只能查看和管理他的资源。使用后，可以删除 IAM用户以撤消用户对AWS控制台的访问权。
2. 在root帐户 Organization 下创建 AWS账户：这可以保证隔离，但删除托管的AWS账户并不简单，因此这种方法似乎不可行。

任何人都可以帮我解决一个可能的解决方案吗？

编辑：我正在尝试按需动态创建帐户/用户。 （感谢你指出@JamesKn）

Answer 1

我会让他们各自注册AWS，然后运行合并结算http://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/consolidated-billing.html

这样他们就会完全孤立，但你会得到一张账单。