Organizations
여러 계정을 한 조직으로 묶어 통제와 결제를 중앙화
이게 뭔가요? / What is this?
Organizations는 계정 하나가 아니라, 여러 개의 AWS 계정을 하나의 조직 아래로 묶어 함께 관리하는 추상적인 관리 구조입니다. 여러 자회사를 거느린 본사가 각 자회사의 예산과 규정을 한곳에서 총괄하는 것과 같아서, 계정별 결제를 합치고 공통 규칙(SCP)을 한 번에 적용할 수 있습니다.
개요 / Overview
Organizations는 계정을 OU로 묶고 서비스 제어 정책(SCP)으로 허용 범위를 제한하며 통합 결제를 제공합니다. 다중 계정 거버넌스 문제의 핵심입니다.
동작 원리 / How it works
Organizations는 관리 계정 아래 멤버 계정을 OU 트리로 묶습니다. SCP를 OU나 계정에 붙이면 그 하위에서 사용 가능한 API의 최대 범위가 정해지는데, SCP는 권한을 주지 않고 상한만 정합니다 — 관리 계정 자신에게는 적용되지 않는다는 점도 시험에 나옵니다.
통합 결제는 조직 전체 사용량을 합산해 볼륨 할인 구간에 빨리 도달하게 하고, RI·Savings Plans 혜택을 계정 간에 공유합니다. 그리고 aws:PrincipalOrgID 조건 키로 "우리 조직 구성원만"이라는 정책을 계정 목록 관리 없이 표현할 수 있습니다.
시험은 무엇을 보는가 / What the exam is testing
시험 신호는 다중 계정 거버넌스입니다 — 부서별 계정 분리, 특정 리전 사용 금지, 조직 내부만 S3 접근 허용, 계정 전체 CloudTrail 강제. SCP가 상한이라는 성질을 이해하는지가 반복해서 나옵니다.
시험 포인트 / Exam points
SCP는 권한을 주지 않고 최대 허용 범위만 정합니다. 실제 권한은 여전히 IAM 정책이 부여하며, 둘의 교집합만 허용됩니다.
조직 전체 사용량이 합산되어 볼륨 할인이 적용되고, RI·Savings Plans 혜택이 계정 간에 공유됩니다.
S3 버킷 정책에 aws:PrincipalOrgID 조건 키를 쓰면 계정 목록을 일일이 관리하지 않고 조직 구성원만 허용할 수 있습니다.
계정이 수십 개로 늘어나면 계정마다 IAM 사용자를 만드는 선택지는 오답입니다. IAM Identity Center(구 AWS SSO)를 조직에 붙여 사내 디렉터리나 외부 IdP로 한 번 로그인하고, 권한 세트를 계정과 그룹에 할당합니다. "하나의 자격 증명으로 여러 계정에 접근"과 "운영 부담 최소"가 함께 나오면 이것입니다.
자주 틀리는 함정 / Common traps
S3 버킷 정책에 계정 ID를 하나씩 나열하는 선택지 — 계정이 늘 때마다 수정해야 합니다. aws:PrincipalOrgID가 정답입니다.
SCP로 권한을 부여하려는 선택지 — 실제 부여는 여전히 IAM 정책이 해야 합니다.
AWS Organizations
Groups accounts into one organization for central control and billing
이게 뭔가요? / What is this?
Organizations is not a single account — it is an abstract management structure that groups multiple AWS accounts under one organization. It works like a headquarters overseeing several subsidiaries budgets and rules from a single place, consolidating billing across accounts and applying common rules (SCPs) all at once.
개요 / Overview
Organizations groups accounts into OUs, constrains them with service control policies, and consolidates billing — the core of multi-account governance.
동작 원리 / How it works
Organizations groups member accounts into an OU tree under a management account. Attaching an SCP to an OU or account caps which APIs are usable beneath it — SCPs grant nothing, only limit, and notably do not apply to the management account itself.
Consolidated billing aggregates usage to reach volume-discount tiers sooner and shares RI and Savings Plans benefits across accounts. And the aws:PrincipalOrgID condition key expresses "only members of our organization" without maintaining an account list.
시험은 무엇을 보는가 / What the exam is testing
The signals are multi-account governance: separate accounts per department, forbidding certain Regions, admitting only organization members to a bucket, enforcing CloudTrail account-wide. Understanding that an SCP is a ceiling recurs throughout.
시험 포인트 / Exam points
An SCP grants nothing; it caps what IAM policies may allow. Effective permission is the intersection of both.
Usage aggregates for volume discounts, and RI or Savings Plans benefits are shared across accounts.
The aws:PrincipalOrgID condition key in a bucket policy admits only organization members without maintaining an account list.
Once accounts number in the dozens, creating IAM users per account is the wrong option. Attach IAM Identity Center (formerly AWS SSO) to the organization so users sign in once through a corporate directory or external IdP, then assign permission sets to accounts and groups. "One set of credentials across many accounts" plus "least operational overhead" points here.
자주 틀리는 함정 / Common traps
Listing account IDs one by one in a bucket policy — it needs editing whenever an account is added. aws:PrincipalOrgID is the answer.
Trying to grant permissions with an SCP — IAM policies must still do the granting.
AWS SAA Hub Pro는 독립 학습 자료이며 Amazon Web Services, Inc.의 공식 서비스가 아닙니다. 시험 정책과 서비스 사양은 AWS 공식 문서를 기준으로 확인하세요.