AWS Organizationsで利用できるaws:PrincipalOrgPathsというCondition keyが発表されました。これによりOU単位でのアクセス制御が可能になります。