Désignation du compte administrateur Detective pour une organisation - Amazon Detective

Le contenu de l'Amazon Detective Administration Guide est désormais consolidé dans le Amazon Detective User Guide. Le support standard d'Amazon Detective Administration Guide arrivera à expiration le 8 mai 2024.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Désignation du compte administrateur Detective pour une organisation

Dans le graphique de comportement de l’organisation, le compte administrateur Detective gère l’appartenance au graphique de comportement pour tous les comptes de l’organisation.

Gestion du compte administrateur Detective

Le compte de gestion de l’organisation désigne le compte administrateur Detective de l’organisation dans chaque Région AWS.

Configuration du compte administrateur Detective en tant que compte administrateur délégué

Le compte administrateur délégué Detective devient également le compte administrateur délégué Detective dans AWS Organizations. Il y a exception si le compte de gestion de l’organisation s’auto-désigne comme compte administrateur Detective. Le compte de gestion de l’organisation ne peut pas être un administrateur délégué dans Organizations.

Une fois le compte administrateur délégué défini dans Organizations, le compte de gestion de l’organisation ne peut choisir que le compte administrateur délégué ou son propre compte comme compte administrateur Detective. Nous vous recommandons de désigner le même administrateur délégué dans toutes les régions.

Création et gestion du graphique du comportement de l’organisation

Lorsque le compte de gestion de l’organisation choisit un compte administrateur Detective, Detective crée un nouveau graphique de comportement pour ce compte. Ce graphique de comportement est celui de l’organisation.

Si le compte administrateur Detective est un compte administrateur pour un graphique de comportement existant, ce graphique de comportement devient alors le graphique de comportement de l’organisation.

Le compte administrateur Detective choisit les comptes d’organisation à activer comme comptes membres dans le graphique de comportement de l’organisation.

Ce schéma montre comment le compte de gestion de l’organisation choisit le compte administrateur Detective. Le compte administrateur Detective est le compte administrateur du graphique de comportement de l’organisation et le compte administrateur délégué dans Organizations. Le compte administrateur Detective a accès à tous les comptes de l’organisation.

Le compte administrateur Detective peut également envoyer des invitations à des comptes n’appartenant pas à l’organisation. Pour plus d’informations, consultez Gestion des comptes de l’organisation en tant que comptes membres et Gestion des comptes membres.

Suppression du compte administrateur Detective

Le compte de gestion de l’organisation peut supprimer le compte administrateur Detective actuel dans une région. Lorsque vous supprimez le compte administrateur Detective, Detective le supprime uniquement de la région actuelle. Cela ne modifie pas le compte administrateur délégué dans Organizations.

Lorsque le compte de gestion de l’organisation supprime le compte administrateur Detective dans une région, Detective supprime le graphique de comportement de l’organisation. Detective est désactivé pour le compte administrateur Detective supprimé.

Pour supprimer le compte administrateur délégué actuel pour Detective, vous devez utiliser l’API Organizations. Lorsque vous supprimez le compte administrateur délégué pour Detective dans Organizations, Detective supprime tous les graphiques de comportement de l’organisation dans lesquels le compte administrateur délégué est le compte administrateur Detective. Les graphiques de comportement de l’organisation dont le compte de gestion de l’organisation est le compte administrateur Detective ne sont pas affectés.

Autorisations requises pour configurer le compte administrateur Detective

Pour vous assurer que le compte de gestion de l’organisation est en mesure de configurer le compte administrateur Detective, vous pouvez associer la politique gérée par AmazonDetectiveOrganizationsAccess à vos AWS Identity and Access Management entités (IAM).

Désignation d’un compte administrateur Detective (console)

Le compte de gestion de l’organisation peut utiliser la console Detective pour désigner le compte administrateur Detective.

Il n’est pas nécessaire d’activer Detective pour gérer le compte administrateur Detective. Vous pouvez gérer le compte administrateur Detective depuis la page Activation Detective.

Pour désigner un compte administrateur Detective (page Activation Detective)
  1. Ouvrez la console Amazon Detective à l’adresse https://console.aws.amazon.com/detective/.

  2. Choisissez Get started (Démarrer).

  3. Dans le volet Autorisations requises pour les comptes administrateurs, accordez les autorisations nécessaires au compte de votre choix afin qu’il puisse fonctionner en tant qu’administrateur Detective avec un accès complet à toutes les actions de Detective. Pour opérer en tant qu’administrateur, nous vous recommandons d’associer la politique AmazonDetectiveFullAccess au principal.

  4. Choisissez Associer la politique d’IAM pour afficher la politique recommandée directement dans la console IAM.

  5. Selon que vous disposez ou non d’autorisations dans la console IAM, procédez comme suit :

    • Si vous êtes autorisé à opérer dans la console IAM, associez la politique recommandée au principal que vous utilisez pour Detective.

    • Si vous n’avez pas l’autorisation d’opérer dans la console IAM, copiez l’Amazon Resource Name (ARN) de la politique et communiquez-le à votre administrateur IAM. Il peut ensuite associer la police en votre nom.

  6. Sous Administrateur délégué, choisissez le compte administrateur Detective.

    Les options disponibles varient selon que vous disposez ou non d’un compte administrateur délégué pour Detective dans Organizations.

    • Si vous ne possédez pas de compte administrateur délégué pour Detective dans Organizations, entrez l’identifiant du compte pour le désigner comme compte administrateur Detective.

      Il se peut que vous disposiez déjà d’un compte administrateur et d’un graphique de comportement issus du processus d’invitation manuel. Dans ce cas, nous vous recommandons de désigner ce compte comme compte administrateur Detective.

      Si vous disposez d’un compte administrateur délégué dans Organizations for Amazon GuardDuty, AWS Security Hub, ou Amazon Macie, Detective vous invite à sélectionner l’un de ces comptes. Vous pouvez également saisir un autre compte.

    • Si vous disposez d’un compte administrateur délégué pour Detective in Organizations, vous êtes invité à choisir ce compte ou le vôtre. Nous vous recommandons de choisir le compte administrateur délégué dans toutes les régions.

  7. Choisisssez Delegate (Déléguer).

Si Detective est activé ou si vous êtes membre d’un graphique de comportement existant, vous pouvez désigner le compte administrateur Detective sur la page General.

Pour désigner un compte administrateur Detective (page General)
  1. Ouvrez la console Amazon Detective à l’adresse https://console.aws.amazon.com/detective/.

  2. Dans le volet de navigation, sous Paramètres, choisissez General.

  3. Dans le volet des politiques gérées, vous pouvez en savoir plus sur toutes les politiques gérées prises en charge par Detective. Vous pouvez accorder les autorisations nécessaires à un compte en fonction des actions que vous souhaitez que les utilisateurs effectuent dans Detective. Pour opérer en tant qu’administrateur, nous vous recommandons d’associer la politique AmazonDetectiveFullAccess au principal.

  4. Selon que vous disposez ou non d’autorisations dans la console IAM, procédez comme suit :

    • Si vous êtes autorisé à opérer dans la console IAM, associez la politique recommandée au principal que vous utilisez pour Detective.

    • Si vous n’avez pas l’autorisation d’opérer dans la console IAM, copiez l’Amazon Resource Name (ARN) de la politique et communiquez-le à votre administrateur IAM. Il peut ensuite associer la police en votre nom.

    Les options disponibles varient selon que vous disposez ou non d’un compte administrateur délégué pour Detective in Organizations.

    • Si vous ne possédez pas de compte administrateur délégué pour Detective in Organizations, entrez l’identifiant du compte pour le désigner comme compte administrateur Detective.

      Il se peut que vous disposiez déjà d’un compte administrateur et d’un graphique de comportement issus du processus d’invitation manuel. Dans ce cas, nous vous recommandons de désigner ce compte comme compte administrateur Detective.

      Si vous disposez d’un compte administrateur délégué dans Organizations for Amazon GuardDuty ou Amazon MacieAWS Security Hub, Detective vous invite à sélectionner l’un de ces comptes. Vous pouvez également saisir un autre compte.

    • Si vous disposez d’un compte administrateur délégué pour Detective in Organizations, vous êtes invité à choisir ce compte ou le vôtre. Nous vous recommandons de choisir le compte administrateur délégué dans toutes les régions.

  5. Choisisssez Delegate (Déléguer).

Désignation d’un compte administrateur Detective (API Detective, AWS CLI)

Pour désigner le compte administrateur Detective, vous pouvez utiliser un appel d’API ou le AWS Command Line Interface. Vous devez utiliser les informations d’identification du compte de gestion de l’organisation.

Si vous possédez déjà un compte administrateur délégué pour Detective dans les organisations, vous devez choisir ce compte ou le vôtre. Nous vous recommandons de choisir le compte administrateur délégué.

Pour désigner le compte administrateur Detective (API Detective, AWS CLI)
  • API Detective : utilisez l’opération EnableOrganizationAdminAccount. Vous devez fournir l’identifiant du compte AWS administrateur Detective. Pour obtenir l’identifiant du compte, utilisez l’opération ListOrganizationAdminAccounts.

  • AWS CLI : À l’invite de commande, exécutez la commande enable-organization-admin-account.

    aws detective enable-organization-admin-account --account-id <admin account ID>

    Exemple

    aws detective enable-organization-admin-account --account-id 777788889999

Supprimer un compte administrateur Detective (console)

Depuis la console Detective, vous pouvez supprimer le compte administrateur Detective.

Lorsque vous supprimez le compte administrateur Detective, Detective est désactivé pour le compte et le graphique du comportement de l’organisation est supprimé. Le compte administrateur Detective est supprimé uniquement dans la région actuelle.

Important

La suppression d’un compte administrateur Detective n’affecte pas le compte administrateur délégué dans Organizations.

Pour supprimer le compte administrateur Detective (page Activation Detective)
  1. Ouvrez la console Amazon Detective à l’adresse https://console.aws.amazon.com/detective/.

  2. Choisissez Get started (Démarrer).

  3. Sous Administrateur délégué, choisissez Désactiver Amazon Detective.

  4. Dans la boîte de dialogue de confirmation, saisissez disable, puis choisissez Désactiver Amazon Detective.

Pour supprimer un compte administrateur Detective (page General)
  1. Ouvrez la console Amazon Detective à l’adresse https://console.aws.amazon.com/detective/.

  2. Dans le volet de navigation Detective, sous Paramètres, choisissez General.

  3. Sous Administrateur délégué, choisissez Désactiver Amazon Detective.

  4. Dans la boîte de dialogue de confirmation, saisissez disable, puis choisissez Désactiver Amazon Detective.

Suppression du compte administrateur Detective (API Detective, AWS CLI)

Pour supprimer le compte administrateur Detective, vous pouvez utiliser un appel d’API ou le AWS CLI. Vous devez utiliser les informations d’identification du compte de gestion de l’organisation.

Lorsque vous supprimez le compte administrateur Detective, Detective est désactivé pour le compte et le graphique du comportement de l’organisation est supprimé.

Important

La suppression d’un compte administrateur Detective n’affecte pas le compte administrateur délégué dans Organizations.

Pour supprimer le compte administrateur Detective (API Detective ,AWS CLI)
  • API Detective : utilisez l’opération DisableOrganizationAdminAccount.

    Lorsque vous utilisez l’API Detective pour supprimer le compte administrateur Detective, celui-ci est supprimé uniquement dans la région d’émission de l’appel ou de la commande d’API

  • AWS CLI : À l’invite de commande, exécutez la commande disable-organization-admin-account.

    aws detective disable-organization-admin-account

Suppression du compte administrateur délégué (Organizations API, AWS CLI)

La suppression du compte administrateur Detective ne supprime pas automatiquement le compte administrateur délégué dans Organizations. Pour supprimer le compte administrateur Detective délégué, vous pouvez utiliser les Organizations API.

Lorsque vous supprimez le compte administrateur délégué, cela supprime tous les graphiques de comportement de l’organisation dans lesquels le compte administrateur délégué est le compte administrateur Detective. Cela désactive également Detective pour le compte dans ces régions.

Pour supprimer le compte administrateur délégué (Organizations API, AWS CLI)
  • Organizations API : utilisez l’opération DeregisterDelegatedAdministrator. Vous devez fournir l’identifiant du compte administrateur Detective et le principal du service Detective, qui est detective.amazonaws.com.

  • AWS CLI : À l’invite de commande, exécutez la commande deregister-delegated-administrator.

    aws organizations deregister-delegated-administrator --account-id <Detective administrator account ID> --service-principal <Detective service principal>

    Exemple

    aws organizations deregister-delegated-administrator --account-id 777788889999 --service-principal detective.amazonaws.com