【スイッチロールを可能とするユーザーを OU 配下に限定する方法】

aws:PrincipalOrgID 条件キーや、aws:PrincipalOrgPaths 条件キーを使用することで、スイッチロールを可能とする IAM ユーザーを OU 配下のアカウントに限定することができます。

https://dev.classmethod.jp/articles/tsnote-switchrole-ou-only-001/