Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Integration und Konfiguration einer Organisation in Amazon Macie
Um mit der Nutzung von Amazon Macie zu beginnen AWS Organizations, legt das AWS Organizations Verwaltungskonto für die Organisation ein Konto als delegiertes Macie-Administratorkonto für die Organisation fest. Dadurch wird Macie als vertrauenswürdiger Service in aktiviert. AWS Organizations Es aktiviert Macie auch im aktuellen Konto AWS-Region für das angegebene Administratorkonto, und es ermöglicht dem designierten Administratorkonto, Macie für andere Konten in der Organisation in dieser Region zu aktivieren und zu verwalten. Informationen dazu, wie diese Berechtigungen gewährt werden, finden Sie AWS -Services im AWS Organizations Benutzerhandbuch unter AWS Organizations Zusammen mit anderen Benutzern verwenden.
Der delegierte Macie-Administrator konfiguriert dann die Organisation in Macie, hauptsächlich indem er die Konten der Organisation als Macie-Mitgliedskonten in der Region hinzufügt. Der Administrator kann dann auf bestimmte Macie-Einstellungen, Daten und Ressourcen für diese Konten in dieser Region zugreifen. Sie können auch die automatische Erkennung sensibler Daten durchführen und Aufgaben zur Erkennung sensibler Daten ausführen, um sensible Daten in Amazon Simple Storage Service (Amazon S3) -Buckets zu erkennen, die den Konten gehören.
In diesem Thema wird erklärt, wie Sie einen delegierten Macie-Administrator für eine Organisation benennen und die Konten der Organisation als Macie-Mitgliedskonten hinzufügen. Bevor Sie diese Aufgaben ausführen, sollten Sie sicherstellen, dass Sie die Beziehung zwischen Administrator - und Mitgliedskonten verstehen. Es ist auch eine gute Idee, die Überlegungen und Empfehlungen zur Verwendung von Macie mit AWS Organizations zu lesen.
Aufgaben
Um die Organisation in mehreren Regionen zu integrieren und zu konfigurieren, wiederholen das AWS Organizations Verwaltungskonto und der delegierte Macie-Administrator diese Schritte in jeder weiteren Region.
Schritt 1: Überprüfen Sie Ihre Berechtigungen
Bevor Sie das delegierte Macie-Administratorkonto für Ihre Organisation festlegen, stellen Sie sicher, dass Sie (als Benutzer des AWS Organizations Verwaltungskontos) die folgende Macie-Aktion ausführen dürfen:. macie2:EnableOrganizationAdminAccount
Mit dieser Aktion können Sie mithilfe von Macie das delegierte Macie-Administratorkonto für Ihre Organisation festlegen.
Stellen Sie außerdem sicher, dass Sie die folgenden Aktionen ausführen dürfen: AWS Organizations
-
organizations:DescribeOrganization
-
organizations:EnableAWSServiceAccess
-
organizations:ListAWSServiceAccessForOrganization
-
organizations:RegisterDelegatedAdministrator
Mit diesen Aktionen können Sie: Informationen über Ihre Organisation abrufen, Macie in Ihr Unternehmen integrieren AWS Organizations, Informationen darüber abrufen, in welche AWS -Services Sie sich integriert haben AWS Organizations, und ein delegiertes Macie-Administratorkonto für Ihre Organisation festlegen.
Um diese Berechtigungen zu gewähren, fügen Sie die folgende Erklärung in eine AWS Identity and Access Management (IAM-) Richtlinie für Ihr Konto ein:
{ "Sid": "Grant permissions to designate a delegated Macie administrator", "Effect": "Allow", "Action": [ "macie2:EnableOrganizationAdminAccount", "organizations:DescribeOrganization", "organizations:EnableAWSServiceAccess", "organizations:ListAWSServiceAccessForOrganization", "organizations:RegisterDelegatedAdministrator" ], "Resource": "*" }
Wenn Sie Ihr AWS Organizations Verwaltungskonto als delegiertes Macie-Administratorkonto für die Organisation festlegen möchten, benötigt Ihr Konto außerdem die Erlaubnis, die folgende IAM-Aktion auszuführen:. CreateServiceLinkedRole
Mit dieser Aktion können Sie Macie für das Verwaltungskonto aktivieren. Aufgrund bewährter AWS Sicherheitsverfahren und des Prinzips der geringsten Rechte empfehlen wir Ihnen jedoch, dies nicht zu tun.
Wenn Sie sich entscheiden, diese Berechtigung zu erteilen, fügen Sie der IAM-Richtlinie für Ihr AWS Organizations Verwaltungskonto die folgende Erklärung hinzu:
{ "Sid": "Grant permissions to enable Macie", "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie", "Condition": { "StringLike": { "iam:AWSServiceName": "macie.amazonaws.com" } } }
Ersetzen Sie in der Erklärung 111122223333
durch die Konto-ID für das Verwaltungskonto.
Wenn Sie Macie in einem Opt-In verwalten möchten AWS-Region (Region, die standardmäßig deaktiviert ist), aktualisieren Sie auch den Wert für den Macie-Dienstprinzipal im Element und in der Bedingung. Resource
iam:AWSServiceName
Der Wert muss den Regionalcode für die Region angeben. Gehen Sie beispielsweise wie folgt vor, um Macie in der Region Naher Osten (Bahrain) mit dem Regionalcode me-south-1 zu verwalten:
-
Ersetzen Sie im Element
Resource
arn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMaciemit
arn:aws:iam::
111122223333
:role/aws-service-role/macie.me-south-1
.amazonaws.com/AWSServiceRoleForAmazonMacieWobei
111122223333
die Konto-ID für das Verwaltungskonto undme-south-1
den Regionalcode für die Region angibt. -
Ersetzen Sie in der
iam:AWSServiceName
Bedingung durchmacie.
,me-south-1
.amazonaws.commacie.amazonaws.com
wobeime-south-1
den Regionalcode für die Region angibt.
Eine Liste der Regionen, in denen Macie derzeit verfügbar ist, sowie den Regionalcode für jede Region finden Sie unter Amazon Macie Macie-Endpunkte und Kontingente in der. Allgemeine AWS-Referenz Informationen zu Regionen, für die Sie sich anmelden können, finden Sie im Referenzhandbuch unter Spezifizieren, welche Regionen AWS-Regionen Ihr Konto verwenden kann.AWS Account Management
Schritt 2: Bestimmen Sie das delegierte Macie-Administratorkonto für die Organisation
Nachdem Sie Ihre Berechtigungen überprüft haben, können Sie (als Benutzer des AWS Organizations Verwaltungskontos) das delegierte Macie-Administratorkonto für Ihre Organisation festlegen.
Um das delegierte Macie-Administratorkonto für eine Organisation zu bestimmen
Um das delegierte Macie-Administratorkonto für Ihre Organisation festzulegen, können Sie die Amazon Macie Macie-Konsole oder die Amazon Macie Macie-API verwenden. Nur ein Benutzer des AWS Organizations Verwaltungskontos kann diese Aufgabe ausführen.
Nachdem Sie das Macie-Administratorkonto für Ihre Organisation festgelegt haben, kann der Macie-Administrator mit der Konfiguration der Organisation in Macie beginnen.
Schritt 3: Automatisches Aktivieren und Hinzufügen neuer Organisationskonten als Macie-Mitgliedskonten
Standardmäßig ist Macie nicht automatisch für neue Konten aktiviert, wenn die Konten zu Ihrer Organisation in AWS Organizations hinzugefügt werden. Darüber hinaus werden die Konten nicht automatisch als Macie-Mitgliedskonten hinzugefügt. Die Konten werden im Kontoinventar des Macie-Administrators angezeigt. Macie ist jedoch nicht unbedingt für die Konten aktiviert, und der Macie-Administrator kann nicht unbedingt auf die Macie-Einstellungen, Daten und Ressourcen für die Konten zugreifen.
Wenn Sie der delegierte Macie-Administrator für die Organisation sind, können Sie diese Konfigurationseinstellung ändern. Sie können die automatische Aktivierung für Ihre Organisation aktivieren. Wenn Sie dies tun, wird Macie automatisch für neue Konten aktiviert, wenn die Konten Ihrer Organisation in hinzugefügt werden AWS Organizations, und die Konten werden automatisch Ihrem Macie-Administratorkonto als Mitgliedskonten zugeordnet. Das Aktivieren dieser Einstellung hat keine Auswirkungen auf bestehende Konten in Ihrer Organisation. Um Macie für bestehende Konten zu aktivieren und zu verwalten, müssen Sie die Konten manuell als Macie-Mitgliedskonten hinzufügen. Im nächsten Schritt wird erklärt, wie das geht.
Hinweise
Beachten Sie die folgenden Ausnahmen, wenn Sie die automatische Aktivierung aktivieren:
-
Wenn ein neues Konto bereits mit einem anderen Macie-Administratorkonto verknüpft ist, fügt Macie das Konto nicht automatisch als Mitgliedskonto in Ihrer Organisation hinzu.
Das Konto muss von seinem aktuellen Macie-Administratorkonto getrennt werden, bevor es Teil Ihrer Organisation in Macie werden kann. Sie können das Konto dann manuell hinzufügen. Um Konten zu identifizieren, bei denen dies der Fall ist, können Sie den Kontobestand für Ihre Organisation überprüfen.
-
Wenn Ihre Organisation das Kontingent von 10.000 Macie-Mitgliedskonten in einem erreicht AWS-Region, deaktiviert Macie diese Einstellung automatisch in der Region.
In diesem Fall benachrichtigen wir Sie, indem AWS Health wir CloudWatch Amazon-Ereignisse für Ihr Macie-Administratorkonto erstellen. Wir senden auch E-Mails an die Adresse, die mit diesem Konto verknüpft ist. Wenn die Gesamtzahl der Konten anschließend auf weniger als 10.000 Konten sinkt, aktiviert Macie die Einstellung automatisch wieder.
Um automatisch neue Organisationskonten als Macie-Mitgliedskonten zu aktivieren und hinzuzufügen
Um automatisch neue Konten als Macie-Mitgliedskonten zu aktivieren und hinzuzufügen, können Sie die Amazon Macie Macie-Konsole oder die Amazon Macie Macie-API verwenden. Nur der delegierte Macie-Administrator für die Organisation kann diese Aufgabe ausführen.
Schritt 4: Aktivieren und fügen Sie vorhandene Organisationskonten als Macie-Mitgliedskonten hinzu
Wenn Sie Macie mit integrieren AWS Organizations, wird Macie nicht automatisch für alle vorhandenen Konten in Ihrer Organisation aktiviert. Darüber hinaus werden die Konten nicht automatisch als Macie-Mitgliedskonten mit dem delegierten Macie-Administratorkonto verknüpft. Daher besteht der letzte Schritt bei der Integration und Konfiguration Ihrer Organisation in Macie darin, bestehende Organisationskonten als Macie-Mitgliedskonten hinzuzufügen. Wenn Sie ein vorhandenes Konto als Macie-Mitgliedskonto hinzufügen, wird Macie automatisch für das Konto aktiviert und Sie (als delegierter Macie-Administrator) erhalten Zugriff auf bestimmte Macie-Einstellungen, Daten und Ressourcen für das Konto.
Beachten Sie, dass Sie kein Konto hinzufügen können, das derzeit mit einem anderen Macie-Administratorkonto verknüpft ist. Um das Konto hinzuzufügen, arbeiten Sie mit dem Kontoinhaber zusammen, um das Konto zunächst von seinem aktuellen Administratorkonto zu trennen. Außerdem können Sie kein vorhandenes Konto hinzufügen, wenn Macie derzeit für das Konto gesperrt ist. Der Kontoinhaber muss Macie zunächst für das Konto erneut aktivieren. Wenn Sie das AWS Organizations Verwaltungskonto als Mitgliedskonto hinzufügen möchten, muss ein Benutzer dieses Kontos schließlich zuerst Macie für das Konto aktivieren.
Um bestehende Organisationskonten als Macie-Mitgliedskonten zu aktivieren und hinzuzufügen
Um bestehende Organisationskonten als Macie-Mitgliedskonten zu aktivieren und hinzuzufügen, können Sie die Amazon Macie Macie-Konsole oder die Amazon Macie Macie-API verwenden. Nur der delegierte Macie-Administrator für die Organisation kann diese Aufgabe ausführen.