Блог

Я учусь использовать aws-nuke для удаления всех ресурсов из учетной записи AWS моей организации. Я смог успешно удалить свой личный ресурс в своей собственной организации, чтобы управлять сбросом ядерных зарядов. Интересно, будет ли это работать в разных организациях? Допустим, у нас есть 2 разные организации. Смотрите Скриншот выше.

Возможно ли, чтобы aws-nuke работал в 2 разных организациях, когда у нас есть опытный пользователь или системный администратор из организации B для управления учебной учетной записью в организации. Вот упрощенная версия схемы.

Я использовал aws-nuke для управления своими учетными записями организации AWS. Вы определенно можете использовать роли разных учетных записей для этой задачи, предполагая, что вы уже можете запускать aws-nuke на своих ресурсах в своей учетной записи AWS. То, что вы можете делать в своей учетной записи AWS, вы можете делать с ролями разных учетных записей, за исключением нескольких действий AWS. Единственная проблема будет заключаться в том, что у роли AWS в разных организациях должно быть слишком много разрешений, а это рискованно. В документации AWS-nuke говорится, что такой инструмент для AWS-nuke очень рискованный и разрушительный!

Связывание учетных записей AWS через AWS Organization позволяет консолидировать выставление счетов, использовать политики управления службами и т. Д. На самом деле это не дает больше возможностей, чем то, что вы можете сделать с ролями разных учетных записей. Вам все равно придется использовать их, поскольку SCP фактически не дает вам разрешения, которое не дает вам IAM. Итак, чтобы ответить на ваш вопрос, сможете ли вы сделать это с организациями AWS?

Да, если вы используете роль AWS для разных учетных записей.

Сможете ли вы сделать это и с другими пользователями, не являющимися участниками?

Да, с ролями разных учетных записей. Здесь я подчеркиваю роли разных учетных записей и повторяю: все, что вы можете делать в своей учетной записи AWS, вы можете делать с ролями разных учетных записей, за исключением нескольких действий. Это мои 2 цента были бы просто за использование ролей между учетными записями.

Я смог связаться с автором aws-nuke и открыть страницу обсуждения здесь

Вам необходимо настроить доступ к нескольким учетным записям и запустить aws-nuke для каждой учетной записи с присвоением роли.

Возможно, что aws-nuke будет работать в 2 разных организациях, если у нас есть системный администратор из организации B для управления учебной учетной записью в другой организации (организации A).