AWS Organizations

Qué es: AWS Organizations agrupa muchas cuentas de AWS bajo una sola organización para administrarlas, aplicarles políticas y pagarlas juntas.

• Por qué varias cuentas: cada cuenta es un límite natural de permisos, seguridad y costos. Si producción y pruebas viven en cuentas distintas, un error en pruebas no toca producción. Es la pregunta 1 del inicio.
• Cuenta de administración (management account): la que crea la organización, invita o crea las demás y paga toda la factura. Las otras son cuentas miembro; cada cuenta pertenece a una sola organización a la vez.
• Unidades organizativas (OU, organizational units): carpetas que agrupan cuentas, como Producción o Desarrollo. Pueden anidarse; arriba de todo está la raíz (root).
• Una sola factura para todas las cuentas. Organizations no tiene costo adicional; pagas lo que usan las cuentas.

La pieza clave son las SCP (service control policies, políticas de control de servicios). Se escriben en JSON, como las políticas de la Sesión 5, y se adjuntan a la raíz, a una OU o a una cuenta. Pero nunca dan permisos: fijan el máximo que pueden tener los usuarios y roles de las cuentas miembro, incluido su usuario raíz. Una acción solo se puede hacer si la permiten la SCP y la política de IAM. Por defecto, cada nivel lleva la SCP FullAWSAccess, que no recorta nada.

Esta SCP, adjunta a la OU Producción, niega todo lo que se pida fuera de dos Regiones. NotAction exime a servicios globales como IAM, que no viven en una Región:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "NotAction": ["iam:*", "organizations:*", "support:*"],
    "Resource": "*",
    "Condition": {"StringNotEquals":
      {"aws:RequestedRegion": ["us-east-1", "sa-east-1"]}}
  }]
}

Analogía: el reglamento de un edificio de oficinas. Cada empresa inquilina da llaves a su personal, pero el reglamento prohíbe ciertas cosas a todos, tengan la llave que tengan. Dónde falla la analogía: el dueño del edificio también cumple el reglamento. En AWS, las SCP no afectan a la cuenta de administración; por eso no se usa para cargas de trabajo.

Ejemplo real: Seguros Atalaya, la empresa de cinco cuentas de la Sesión 5, crea su organización. Pone las cuentas en tres OU: Seguridad, Producción y Desarrollo. A Producción le adjunta la SCP de Regiones; ni un administrador de esa cuenta puede crear recursos fuera de ellas. Ahora entiendes por qué IAM Identity Center pedía Organizations: asigna permisos en las cuentas de la organización.

Úsalo cuando: tengas más de una cuenta y quieras gobernarlas desde un punto, con límites que nadie en las cuentas miembro pueda saltarse. No lo uses cuando: quieras dar permisos a una persona: eso es IAM.