Условие AWS CloudFormation для выполнения только при запуске на главной учетной записи org (root)?

Question

All

Я создаю шаблон CloudFormation. Я хотел бы условно добавить политику IAM, только если шаблон запускается в основной учетной записи корневой организации.

Я искал вокруг, но не смог найти пример.

Это то, что я делаю сейчас. Я просто спрашиваю, должен ли шаблон включать политику при создании.

"Parameters": {
    "IncludeOrganizationPolicy": {
        "Description": "Only set to true for the root org",
        "Type": "String",
        "Default": "false",
        "AllowedValues": [
            "true",
            "false"
        ]
    },
}

В идеале я хотел бы сделать это без запроса входного параметра. Нечто подобное показано ниже, но где AWS::AccountId является основной учетной записью root.

"Conditions": {
    "CreateSPOrganizationPolicy": {
        "Fn::Equals": [
            {
                "Ref": "AWS::AccountId"
            },
            "<the root account id>"
        ]
    }
}

Кроме того, я не могу жестко закодировать идентификатор учетной записи root. Эти сценарии будут предоставлены клиентам для запуска в их среде AWS.

Спасибо!

розовый