能否用AWS主账户根用户/IAM用户跨组织管理资源？

• 先澄清一个概念误区：你说的“为每个项目单独创建组织”不对——每个AWS主账户只能创建一个Organizations，项目应该用**组织单元（OU）**来做分组，而非新建组织。
• 核心问题的答案：不行。因为AWS的所有资源（EC2、S3、Lambda等）必须归属到具体的AWS账户，OU只是用来分组管理账户的逻辑容器，本身不能承载资源。所以你没法直接在OU里创建资源，必须依托具体账户。
• 结合你的CDK/CloudFormation使用场景，正确的做法是：
  • 在Organizations下为每个项目创建独立的成员账户，再把这些账户分配到对应项目的OU中。
  • 主账户的IAM用户/角色可以通过跨账户访问机制管理成员账户资源：比如在主账户创建具备相应权限的IAM角色，让成员账户信任该角色，之后主账户的用户就能切换到这个角色，在成员账户内用CDK或CloudFormation部署、管理资源。
  • 统一账单和成本追踪的需求依然能满足：所有成员账户的费用会统一归集到主账户结算，你可以通过Cost Explorer或成本使用报告，按账户（对应项目）查看详细成本数据。
• 额外提醒：绝对不要用主账户的根用户操作资源，哪怕是测试项目，也应该用IAM用户或角色来做权限管控，避免不必要的安全风险。

内容的提问来源于stack exchange，提问作者fudo