새 멤버 계정 생성 & OU 배치
DevOps가 계정을 하나 늘릴 때 무엇이 자동으로 따라오는지.
DevOps 관리자
CreateAccount
PlatformAdmin 세션에서 이메일과 이름으로 계정 생성. 새 계정엔 OrganizationAccountAccessRole이 만들어지고 관리 계정이 이를 assume할 수 있다.
단계단계를 누르면 위 관계도가 그 단계로 바뀐다
-
PlatformAdmin 세션에서 이메일과 이름으로 계정 생성. 새 계정엔 OrganizationAccountAccessRole이 만들어지고 관리 계정이 이를 assume할 수 있다.
aws organizations create-account \ --email me+dev@example.com --account-name dev aws organizations move-account --account-id 222222222222 \ --source-parent-id r-ab12 --destination-parent-id ou-ab12-workload -
Root → OU: Workloads → dev. Root와 OU에 붙은 SCP · RCP · 선언적 정책이 자동으로 상속된다.
-
중앙 루트 관리가 켜져 있으면 새 계정은 루트 비밀번호·키 없이 생성된다. 루트 작업이 필요하면 관리 계정에서 AssumeRoot로 짧은 세션.
aws sts assume-root \ --target-principal 222222222222 \ --task-policy-arn arn=arn:aws:iam::aws:policy/root-task/S3UnlockBucketPolicy -
새 계정이 Identity Center 계정 목록에 자동으로 나타난다. 그룹에 Permission Set을 할당하면 Role이 생긴다.
-
이 Role은 AdministratorAccess다. Identity Center로 접근이 되면 Trust를 좁히거나 SCP로 사용을 제한하는 걸 검토.