As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Integrando e configurando uma organização no Amazon Macie
Para começar a usar o Amazon Macie com AWS Organizations, a conta AWS Organizations de gerenciamento da organização designa uma conta como a conta de administrador delegada do Macie para a organização. Isso permite que o Macie seja um serviço confiável em AWS Organizations. Também habilita o Macie na conta atual Região da AWS do administrador designado e permite que a conta do administrador designada habilite e gerencie o Macie para outras contas na organização nessa região. Para obter informações sobre como essas permissões são concedidas, consulte Usando AWS Organizations com outras Serviços da AWS pessoas no Guia AWS Organizations do usuário.
O administrador delegado do Macie então configura a organização no Macie, principalmente adicionando as contas da organização como contas de membros do Macie na Região. O administrador pode então acessar determinadas configurações, dados e recursos do Macie para essas contas naquela região. Eles também podem realizar a descoberta automática de dados confidenciais e executar trabalhos de descoberta de dados confidenciais para detectar dados confidenciais nos buckets do Amazon Simple Storage Service (Amazon S3) pertencentes às contas.
Este tópico explica como designar um administrador delegado do Macie para uma organização e como adicionar as contas da organização como contas de membros do Macie. Antes de executar essas tarefas, certifique-se de compreender o relacionamento entre contas de administrador e membros. Também é uma boa ideia revisar as considerações e recomendações para usar o Macie com. AWS Organizations
Tarefas
Para integrar e configurar a organização em várias regiões, a conta AWS Organizations de gerenciamento e o administrador delegado do Macie repetem essas etapas em cada região adicional.
Etapa 1: verifique suas permissões
Antes de designar a conta de administrador delegada do Macie para sua organização, verifique se você (como usuário da conta de AWS Organizations gerenciamento) tem permissão para realizar a seguinte ação do Macie:. macie2:EnableOrganizationAdminAccount
Essa ação permite que você designe a conta de administrador delegada do Macie para sua organização usando o Macie.
Verifique também se você tem permissão para realizar as seguintes AWS Organizations ações:
-
organizations:DescribeOrganization
-
organizations:EnableAWSServiceAccess
-
organizations:ListAWSServiceAccessForOrganization
-
organizations:RegisterDelegatedAdministrator
Essas ações permitem que você: recupere informações sobre sua organização; integre o Macie com AWS Organizations; recupere informações sobre as quais Serviços da AWS você se integrou AWS Organizations; e designe uma conta de administrador delegada do Macie para sua organização.
Para conceder essas permissões, inclua a seguinte declaração em uma política AWS Identity and Access Management (IAM) da sua conta:
{ "Sid": "Grant permissions to designate a delegated Macie administrator", "Effect": "Allow", "Action": [ "macie2:EnableOrganizationAdminAccount", "organizations:DescribeOrganization", "organizations:EnableAWSServiceAccess", "organizations:ListAWSServiceAccessForOrganization", "organizations:RegisterDelegatedAdministrator" ], "Resource": "*" }
Se você quiser designar sua conta AWS Organizations de gerenciamento como a conta delegada de administrador do Macie para a organização, sua conta também precisa de permissão para realizar a seguinte ação do IAM:. CreateServiceLinkedRole
Essa ação permite que você habilite o Macie para a conta de gerenciamento. No entanto, com base nas melhores práticas de AWS segurança e no princípio do menor privilégio, não recomendamos que você faça isso.
Se você decidir conceder essa permissão, adicione a seguinte declaração à política do IAM da sua conta AWS Organizations de gerenciamento:
{ "Sid": "Grant permissions to enable Macie", "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie", "Condition": { "StringLike": { "iam:AWSServiceName": "macie.amazonaws.com" } } }
Na instrução, substitua 111122223333
pelo ID da conta de gerenciamento.
Se você quiser administrar o Macie em um opt-in Região da AWS (região desativada por padrão), atualize também o valor do principal de serviço do Macie no Resource
elemento e na condição. iam:AWSServiceName
O valor deve especificar o código da região. Por exemplo, para administrar o Macie na região do Oriente Médio (Bahrein), que tem o código de região me-south-1, faça o seguinte:
-
Para o elemento
Resource
, substituaarn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMaciewith
arn:aws:iam::
111122223333
:role/aws-service-role/macie.me-south-1
.amazonaws.com/AWSServiceRoleForAmazonMacieOnde
111122223333
especifica o ID da conta de gerenciamento eme-south-1
especifica o código da região para a região. -
Na condição
iam:AWSServiceName
, substituamacie.amazonaws.com
pormacie.
, ondeme-south-1
.amazonaws.comme-south-1
especifica o código da região para a região.
Para obter uma lista de regiões onde o Macie está disponível atualmente e o código de região de cada uma, consulte Endpoints e cotas do Amazon Macie no arquivo Referência geral da AWS. Para obter informações sobre regiões opcionais, consulte Como especificar quais Regiões da AWS sua conta pode usar no Guia de referência do AWS Account Management .
Etapa 2: designar a conta de administrador delegada do Macie para a organização
Depois de verificar suas permissões, você (como usuário da conta de AWS Organizations gerenciamento) pode designar a conta de administrador delegada do Macie para sua organização.
Para designar a conta de administrador delegada do Macie para uma organização
Para designar a conta de administrador delegada do Macie para sua organização, você pode usar o console do Amazon Macie ou a API do Amazon Macie. Somente um usuário da conta AWS Organizations de gerenciamento pode realizar essa tarefa.
Depois de designar a conta de administrador do Macie para sua organização, o administrador do Macie pode começar a configurar a organização no Macie.
Etapa 3: habilitar e adicionar novas contas da organização automaticamente como contas-membro do Macie
Por padrão, o Macie não é habilitado automaticamente para novas contas quando as contas são adicionadas à sua organização no AWS Organizations. Além disso, as contas não são adicionadas automaticamente como contas de membros do Macie. As contas aparecem no inventário de contas do administrador do Macie. No entanto, o Macie não está necessariamente habilitado para as contas e o administrador do Macie não pode necessariamente acessar as configurações, os dados e os recursos do Macie para as contas.
Se você for o administrador delegado do Macie para a organização, poderá alterar essa configuração. Você pode ativar a ativação automática para sua organização. Se você fizer isso, o Macie será habilitado automaticamente para novas contas quando as contas forem adicionadas à sua organização em AWS Organizations, e as contas serão automaticamente associadas à sua conta de administrador do Macie como contas de membros. A habilitação dessa configuração não afeta as contas existentes na sua organização. Para habilitar e gerenciar o Macie para contas existentes, você deve adicionar manualmente as contas como contas de membros do Macie. A próxima etapa explica como fazer isso.
Observações
Se você ativar a ativação automática, observe as seguintes exceções:
-
Se uma nova conta já estiver associada a uma conta de administrador diferente do Macie, o Macie não adicionará automaticamente a conta como conta membro em sua organização.
A conta deve se desassociar de sua conta de administrador atual do Macie antes que possa fazer parte da sua organização no Macie. Em seguida, você pode adicionar manualmente a conta. Para identificar contas em que esse é o caso, você pode revisar o inventário de contas da sua organização.
-
Se sua organização atingir a cota de 10.000 contas de membros do Macie em um Região da AWS, o Macie desativará automaticamente essa configuração na Região.
Se isso acontecer, notificaremos você criando AWS Health CloudWatch eventos da Amazon para sua conta de administrador do Macie. Também enviamos e-mails para o endereço associado a essa conta. Se o número total de contas diminuir posteriormente para menos de 10.000 contas, o Macie ativará automaticamente a configuração novamente.
Para habilitar e adicionar automaticamente novas contas da organização como contas de membros do Macie
Para habilitar e adicionar automaticamente novas contas como contas de membros do Macie, você pode usar o console do Amazon Macie ou a API do Amazon Macie. Somente o administrador delegado do Macie para a organização pode executar esta tarefa.
Etapa 4: habilitar e adicionar contas de organização existentes como contas-membros do Macie
Quando você integra o Macie com AWS Organizations, o Macie não é habilitado automaticamente para todas as contas existentes em sua organização. Além disso, as contas não são associadas automaticamente à conta delegada de administrador do Macie como contas de membros do Macie. Portanto, a etapa final de integrar e configurar sua organização no Macie é adicionar contas existentes da organização como contas de membros do Macie. Quando você adiciona uma conta existente como conta de membro do Macie, o Macie é automaticamente ativado para a conta e você (como administrador delegado do Macie) obtém acesso a determinadas configurações, dados e recursos do Macie para a conta.
Observe que você não pode adicionar uma conta atualmente associada a outra conta de administrador do Macie. Para adicionar a conta, trabalhe com o proprietário da conta para primeiro desassociar a conta da conta de administrador atual. Além disso, você não pode adicionar uma conta existente se o Macie estiver atualmente suspenso da conta. O proprietário da conta deve primeiro rehabilitar o Macie para a conta. Finalmente, se você quiser adicionar a conta de gerenciamento do AWS Organizations como uma conta de membro, um usuário dessa conta deve primeiro habilitar o Macie para a conta.
Para habilitar e adicionar contas de organização existentes como contas-membros do Macie
Para habilitar e adicionar contas organizacionais existentes como contas de membros do Macie, você pode usar o console do Amazon Macie ou a API do Amazon Macie. Somente o administrador delegado do Macie para a organização pode executar esta tarefa.