AWS IAM创建可以在其组中创建没有管理员权限的用户的管理员组

Question

我是AWS IAM的新手，我想要实现的是一组“子管理员”，可以用较少的权限创建自己的用户，理想情况下那些用户及其各自的管理员不会看到任何其他组或管理员。

所以我希望有这样的东西：

groupLeaders--> adminA --> user1GroupA
                       --> user2GroupA

            --> adminB --> user1GroupB
                       --> user2GroupB

            --> adminC --> user1GroupC

所以如果可能的话，管理员[A-C]不能看不到对方。

感谢。

Answer 1

您可能希望查看AWS Organization，将管理员A B和C拆分为三个不同的组织单位。

例如＆＃34;人力资源部＆＃34; ，＆＃34;开发人员＆＃34;和＆＃34;帐户部门＆＃34;。

您，组织的根，可以访问各个单位＆＃39;账单等。

然而，这不是唯一的方法。您还可以使用联合来导入用户列表（例如活动目录），甚至可以导入Facebook或Google等社交登录。但是这需要一些设置。您基本上定义了3个角色A，B和C，并允许不同的人群登录并承担不同的角色。

请注意，不建议创建单独的IAM用户，并且应保持最低限度。原因如下：

• 更多用户需要更多维护
• 用户可以更改部门或离开组织
• 授予个人用户的任何访问权限都不会由AWS保持最新状态
• 发布新AWS服务时，您需要手动修改用户