ポリシーのCondition要素は次のようになります。}}何ができるようになったかIAMロールへのアクセスを組織のOUのアカウントのみに制限するロールの許可をするのをグループで指定できなかったため、ロールの許可設定にユーザーを都度追加する必要がありました。AWSアカウントIDを一つ一つ管理する必要が無くなります。Learningチームに付与する例を考えてみましょう。Learningチームが所有するすべてのAWSアカウントが、ou-machinelearnというIDを持つ特定のOUの一部になるように組織を設定しました。この例では、組織IDはo-myorganizationです。アクセス許可を付与するには、以下に示すように、トレーニングデータリソースのS3バケットポリシーを作成します。}}今までAWSのアカウントIDをもとに管理する必要があったため、新しいアカウントが追加される度に手動でリストにIDを追加しなければいけなかったS3パケットポリシーを、OUのIDに置き換えることにより都度追加する必要が無くなりました。公式ブログに(まだ日本語対応していませんが)、機能や使い方などが詳しく載っています。