AWS组织-我希望所有组织用户都可以查看和共享所有资源

Question

我的AWS IAM用例非常基本：

我们正在构建应用程序的快速MVP，因此我们正在快速完善其中的服务。现在只有我们两个人，所以好像我们没有一个庞大的组织要管理。我们需要能够快速合作，我所希望的是导致以下情况的情况：

• 我创建了主帐户。我创建了一个组织，并通过他的电子邮件（他的电子邮件和我的电子邮件以及根帐户电子邮件）都将我的朋友邀请了到该组织。
• 我登录我的帐户-我的ORG帐户
• 他登录了他的帐户-他的ORG帐户
• 他在lambda中创建函数。
• 我转到lambda仪表板，可以看到和管理他创建的功能
• 我在Elastic Beanstalk中创建了一些东西
• 他转到EB仪表板，查看并可以管理我创建的资源

这似乎并不应该那么困难，但我能告诉的最近一点是，某个地方的某人必须在两者之间创建IAM角色，并且必须被赋予切换角色权限。

什么的。

由于本教程开始可互换地使用“帐户”，因此我不知道该教程是什么。

https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_accounts_access.html#orgs_manage_accounts_create-cross-account-role

我也尝试过： https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_cross-account-with-roles.html

那似乎不是我想要的。如果我想切换角色，我只是给我的朋友用户名和密码作为admin角色，这很糟。似乎更正确的是，我们有一个共享角色，可以让我们看到其他人创建的资源。

有人可以阐明什么是一件非常简单的事情，我对此非常感激...

我100％愿意接受我的假设是错误的。我从没做过。

Answer 1

在AWS控制台中无法对所要查找的内容进行理解。您可以在多个帐户之间授予权限，也可以使用API​​在多个帐户之间获取数据，但是控制台只会向您显示一个帐户的数据。即使要使用各种“列表”类型的API，也必须在单个帐户的上下文中。您也许可以访问另一个帐户中的资源，但是无法一起查看这些资源。

最重要的是，我不认为您使用的组织应该以预期的方式使用。如果您只希望多个开发人员可以访问相同的信息，则您在一个帐户中应该只拥有多个用户，或者更好的是，让SSO中的用户通过假定角色登录到该帐户。如果您使用AWS Control Tower创建帐户，它将为您创建一个SSO，您可以将用户添加到SSO中，并授予他们对具有不同权限的各种帐户的访问权限。