用途
本技能用于管理 AWS 账户、组织、IAM 与账单，适合在搭建 AWS Organizations、管理 IAM 策略、控制成本或实施安全合规时使用。
主要能力
AWS Organizations
- 组织与 OU 结构：根下划分 Production、Development、Security、Sandbox 等 OU，并放置对应成员账户。
- 创建组织、组织单元、成员账户，以及将账户移动到 OU。
- 服务控制策略（SCP）：提供禁止退出组织、强制 IMDSv2、区域限制、禁止 root 用户访问等策略示例，并演示创建与附加 SCP。
IAM Identity Center（AWS SSO）
- 启用 Identity Center、创建权限集、附加托管策略。
- 权限集示例：开发者权限集（允许 ec2、s3、lambda、dynamodb、cloudwatch、logs，拒绝 IAM 用户创建与账单访问）。
IAM 最佳实践
- 最小权限策略示例、跨账户角色信任策略（含 ExternalId 与 MFA 条件）、服务角色（Lambda 执行角色、EC2 实例配置文件）。
- IAM 安全工具：生成凭证报告、列出未使用访问密钥、查询访问密钥最后使用时间、创建 IAM Access Analyzer。
成本管理
- AWS Budgets：创建预算并配置阈值通知。
- Cost Explorer API：通过 boto3 获取成本与用量、成本预测。
- 成本分配标签：激活标签、为资源打标签。
- Savings Plans 与预留实例建议查询。
CloudTrail 与日志
- 创建组织跟踪（多区域、日志文件验证、KMS 加密）并启动日志记录。
- 配置事件选择器，记录管理事件与 S3 数据事件。
Config 与合规
- 启用 Config、部署托管规则、组织级 Config 规则。
- 合规包（conformance pack）YAML 示例，包含 S3 公共读禁止、IAM root 访问密钥检查、IAM 控制台 MFA 检查。
Terraform 多账户
- 多 provider 配置（management、production、development），通过 assume_role 在指定账户创建资源。
- Account Factory（Control Tower 模式）：创建组织账户与 Terraform 角色。
安全最佳实践清单
- 账户安全、组织安全、IAM 安全、成本管理四类检查项。
使用方式
资料以 AWS CLI 命令、JSON 策略、Terraform 配置和 Python（boto3）代码示例为主，可直接参考执行或改编。涉及创建组织、SCP、权限集、预算、跟踪、Config 规则等操作。
适用场景
- 搭建与治理 AWS 多账户组织。
- 统一身份与权限管理（Identity Center、IAM 策略、跨账户角色）。
- 成本监控、预算告警与成本优化。
- 审计日志与合规检查。
- 使用 Terraform 管理多账户基础设施。
限制
资料未提供该技能的安装方式、运行环境要求、收费或价格信息、平台支持范围及具体效果说明，这些内容暂未提供。