Risoluzione dei problemi relativi ad amministratori delegati e AWS Organizations

Puoi utilizzare le informazioni presentate in questa pagina per risolvere i problemi più comuni riguardanti gli amministratori delegati in Gestione audit.

Non riesco a configurare Gestione audit con il mio account di amministratore delegato

Sebbene siano supportati più amministratori delegati AWS Organizations, Audit Manager consente un solo amministratore delegato. Se si tenta di designare più amministratori delegati in Gestione audit, viene visualizzato il seguente messaggio di errore:

• Console: You have exceeded the allowed number of delegated administrators for the delegated service

• CLI: An error occurred (ValidationException) when calling the RegisterAccount operation: Cannot change delegated Admin for an active account 11111111111 from 2222222222222 to 333333333333

Scegli l’account individuale che desideri utilizzare come amministratore delegato in Gestione audit. Assicurati di registrare prima l’account di amministratore delegato in Organizations, quindi aggiungi lo stesso account come amministratore delegato in Gestione audit.

Quando creo una valutazione, non riesco a visualizzare gli account della mia organizzazione in Account in ambito

Se desideri che la valutazione di Gestione audit includa più account della tua organizzazione, devi specificare un amministratore delegato.

Assicurati di aver configurato un account di amministratore delegato per Gestione audit. Per istruzioni, consulta Aggiungere un amministratore delegato.

Alcune questioni da tenere a mente:

• Non puoi utilizzare il tuo account di AWS Organizations gestione come amministratore delegato in Audit Manager.

• Se si desidera abilitare Audit Manager in più di una regione Regione AWS, è necessario designare un account amministratore delegato separatamente in ciascuna regione. Nelle impostazioni di Gestione audit, designa lo stesso account di amministratore delegato in tutte le regioni.

• Quando designate un amministratore delegato, assicuratevi che l'account dell'amministratore delegato abbia accesso alla KMS chiave fornita durante la configurazione di Audit Manager. Per informazioni su come rivedere e modificare le impostazioni di crittografia, consulta. Configurazione delle impostazioni di crittografia dei dati

Ricevo un errore di accesso negato quando provo a generare un report di valutazione utilizzando il mio account di amministratore delegato

Riceverai un access denied errore se la valutazione è stata creata da un account amministratore delegato a cui non appartiene la KMS chiave specificata nelle impostazioni di Audit Manager. Per evitare questo errore, quando designate un amministratore delegato per Audit Manager, assicuratevi che l'account dell'amministratore delegato abbia accesso alla KMS chiave che avete fornito durante la configurazione di Audit Manager.

Potresti ricevere un errore access denied anche se non disponi delle autorizzazioni di scrittura per il bucket S3 che stai utilizzando come destinazione del report di valutazione.

Se ricevi un errore access denied accertati di soddisfare i seguenti requisiti:

• La KMS chiave nelle impostazioni di Audit Manager fornisce le autorizzazioni all'amministratore delegato. Puoi configurarlo seguendo le istruzioni in Consentire agli utenti di altri account di utilizzare una KMS chiave nella Guida per gli AWS Key Management Service sviluppatori. Per istruzioni su come rivedere e modificare le impostazioni di crittografia in Audit Manager, vedereConfigurazione delle impostazioni di crittografia dei dati.

• Hai una policy di autorizzazioni che ti garantisce l’accesso in scrittura alla destinazione del report di valutazione. Più specificamente, la politica di autorizzazione contiene un's3:PutObjectazione, specifica il ARN bucket S3 e include la KMS chiave utilizzata per crittografare i report di valutazione. Per un esempio di politica che puoi utilizzare, vedi. Esempio 2 (autorizzazioni di destinazione del rapporto di valutazione)

Nota

Se modifichi le impostazioni di crittografia dei dati di Gestione audit, queste modifiche si applicano a tutte le nuove valutazioni che crei da quel momento in avanti. Ciò include tutti i report di valutazione che crei a partire dalle nuove valutazioni.

Le modifiche non si applicano alle valutazioni esistenti che hai creato prima di modificare le impostazioni di crittografia. Ciò include nuovi report di valutazione creati a partire da valutazioni esistenti, oltre ai report di valutazione esistenti. Le valutazioni esistenti, e tutti i relativi rapporti di valutazione, continuano a utilizzare la vecchia chiave. KMS Se l'IAMidentità che genera il rapporto di valutazione non dispone delle autorizzazioni per utilizzare la vecchia KMS chiave, puoi concedere le autorizzazioni a livello di policy chiave.

Cosa succede in Gestione audit se scollego un account membro dalla mia organizzazione?

Quando si scollega un account membro da un’organizzazione, Gestione audit riceve una notifica relativa a questo evento. Gestione audit rimuove quindi automaticamente tale Account AWS dall’elenco degli account in ambito delle valutazioni esistenti. Quando specifichi l’ambito delle nuove valutazioni, l’account scollegato non appare più nell’elenco degli Account AWS idonei.

Quando Gestione audit rimuove un account membro non collegato dagli elenchi degli account in ambito delle tue valutazioni, non ricevi alcuna notifica di questa modifica. Inoltre, all’account membro non collegato non viene notificato che Gestione audit non è più abilitato sul suo account.

Cosa succede se ricollego un account membro alla mia organizzazione?

Quando ricolleghi un account membro alla tua organizzazione, quell’account non viene aggiunto automaticamente all’ambito delle tue valutazioni esistenti di Gestione audit. Tuttavia, l'account membro ricollegato ora appare idoneo Account AWS quando specifichi gli account nell'ambito delle valutazioni.

• Per le valutazioni esistenti, puoi modificare manualmente l’ambito della valutazione per aggiungere l’account membro ricollegato. Per istruzioni, consulta Fase 2: Modifica Account AWS l'ambito.

• Per nuove valutazioni, puoi aggiungere l’account ricollegato durante l’impostazione della valutazione. Per istruzioni, consulta Fase 2: Specificare l'ambito Account AWS.

Cosa succede se eseguo la migrazione di un account membro da un’organizzazione all’altra?

Se un account membro ha Gestione audit abilitato nell’organizzazione 1 e poi migra all’organizzazione 2, Gestione audit non sarà abilitato per l’organizzazione 2.