如何通过API实现AWS组织成员账户自动创建及S3桶部署？

1. 管理账户权限准备 #

在Main-Account中创建一个具备以下核心权限的IAM用户（或角色），全程使用该用户的Access Key完成自动化操作：

• organizations:CreateAccount：用于创建成员账户
• sts:AssumeRole：用于切换到成员账户执行后续操作
• 可选：iam:CreateRole、iam:AttachRolePolicy（若需自定义成员账户内的权限角色）

简化版权限策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "organizations:CreateAccount",
        "sts:AssumeRole",
        "organizations:DescribeCreateAccountStatus"
      ],
      "Resource": "*"
    }
  ]
}

2. 自动化创建成员账户 #

调用AWS Organizations的CreateAccount API，传入以下关键参数：

• Email：成员账户的根邮箱（可使用软件用户标识+固定域名，如user001@your-org-domain.com）
• AccountName：与软件用户对应的成员账户名称（如user001-member-account）
• RoleName：指定成员账户中自动创建的委托角色（默认值为OrganizationAccountAccessRole，该角色默认允许Main-Account的根用户/授权用户Assume）

API调用成功后会返回成员账户的AccountId，同时可通过DescribeCreateAccountStatus API轮询账户初始化状态，确保账户就绪后再执行后续操作。

3. 跨账户创建S3桶 #

1. 使用Main-Account的IAM用户身份，调用STS的AssumeRole API，传入成员账户的AccountId和角色名称（如OrganizationAccountAccessRole），获取成员账户的临时访问凭证。
2. 使用该临时凭证调用S3的CreateBucket API，在成员账户内创建指定的S3桶。

关键注意事项 #

• 成员账户创建后需等待1-5分钟完成初始化，避免过早调用AssumeRole导致失败。
• 若需最小化权限，可在成员账户创建完成后，通过AssumeRole的临时凭证创建仅具备S3桶创建权限的自定义角色，后续操作改用该角色。
• 成员账户的根邮箱需有效（AWS会发送验证邮件，批量场景可配置域名邮箱自动处理）。

内容的提问来源于stack exchange，提问作者SWater