描述成员 AWS 账户的 SCP 而不假设 AWS 管理账户

Question

我正在搞乱我的 AWS Organizations，我正在尝试找到一种方法来查看我的身份受到哪些服务控制策略的约束。

例如，我有一个管理帐户，我在其中创建了一个 SCP 到 Deny bugbust:*，并将该 SCP 附加到成员帐户 A。政策文档：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": "bugbust:*",
      "Resource": "*"
    }
  ]
}

当我在会员账户 A 中测试 bugbust 操作时，我被拒绝（如预期的那样），它说我被我的组织拒绝。

我的问题：有没有什么方法可以让会员账户 A 中的委托人看到 SCP 的政策文件不承担管理账户的责任？

理想情况下，我想让成员账户 A 中的用户了解他们的 SCP 边界，而不给他们任何组织访问主账户的权限。我担心这是不可能的，但我只是想确认一下。

Answer 1

SCP 仅对主账户可见。成员帐户可以查看他们所在的组织并离开该组织。他们看不到他们帐户的政策或他们所在的 OU 结构。