如何按访问级别和环境分离组织用户权限？

【以下的问题经过翻译处理】 你好

我们有这样的情况：

• 我们有几个组（dev，qa，admins等）
• 我们有几个环境（dev，stgae，prod）
• 我们只有一个AWS组织账户

问题是：如何通过env和permissions来分离所有用户？

我的意思是，例如，开发人员应该在dev和stage上具有所有访问权限，但在prod上不应具有任何权限。 qa的情况也是如此。 但管理员应该随处有访问权限。

我们打算使用switch role，但是我们所有的资源都混合在一起，如果我没有错的话，即使我们将此角色映射为只读权限，开发人员仍然可以访问prod资源，因此我们没有任何标记可以区分dev stage和prod。我想知道如何最佳实践如何做到这一点。我看到了一些文章，要分离环境，我们需要不同的AWS账户，但在我们的情况下，这是不可能的，因为我们需要对prod进行迁移，这不是一个好的方案。还有其他变体吗？

因此，请指导如何在一个单一的组织中分离这些环境，并为不同的组授予这些环境不同的权限？

谢谢。