本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
在 Amazon Macie 中整合和設定組織
若要開始使用 Amazon Macie AWS Organizations,組織的 AWS Organizations 管理帳戶會將帳戶指定為該組織的委派 Macie 管理員帳戶。這使 Macie 成為中 AWS Organizations的受信任服務。它也會為指定的管理員帳戶啟 AWS 區域 用目前的 Macie,並允許指定的管理員帳戶啟用和管理該區域中組織中其他帳戶的 Macie。如需有關如何授與這些權限的資訊,請參閱《使用指南》 AWS 服務中的「 AWS Organizations 與其他權限搭配AWS Organizations 使用
委派的 Macie 管理員接著會在 Macie 中設定組織,主要是將組織的帳戶新增為「區域」中的 Macie 成員帳戶。然後,管理員可以存取該區域中這些帳戶的特定 Macie 設定、資料和資源。他們還可以執行自動化敏感資料探索和執行敏感資料探索任務,以在帳戶擁有的 Amazon Simple Storage Service (Amazon S3) 儲存貯體中偵測敏感資料。
本主題說明如何為組織指定委派的 Macie 管理員,以及如何將組織的帳戶新增為 Macie 成員帳戶。執行這些工作之前,請確定您瞭解管理員帳戶與成員帳戶之間的關係。檢閱搭 AWS Organizations配使用 Macie 的注意事項和建議也是個好主意。
若要整合和設定多個區域中的組織, AWS Organizations 管理帳戶和委派的 Macie 管理員會在每個額外的區域中重複這些步驟。
步驟 1:驗證您的權限
在您為組織指定委派的 Macie 管理員帳戶之前,請確認您 (身為 AWS Organizations 管理帳戶的使用者) 可以執行下列 Macie 動作:macie2:EnableOrganizationAdminAccount
此動作可讓您使用 Macie 指定組織的委派 Macie 管理員帳戶。
此外,請確認您是否被允許執行下列 AWS Organizations 動作:
-
organizations:DescribeOrganization
-
organizations:EnableAWSServiceAccess
-
organizations:ListAWSServiceAccessForOrganization
-
organizations:RegisterDelegatedAdministrator
這些動作可讓您:擷取組織的相關資訊、與 Macie 整合、擷取與 AWS Organizations之整合的 AWS 服務 相關資訊 AWS Organizations;以及為您的組織指定委派的 Macie 管理員帳戶。
若要授予這些權限,請在帳戶的 AWS Identity and Access Management (IAM) 政策中包含下列陳述式:
{ "Sid": "Grant permissions to designate a delegated Macie administrator", "Effect": "Allow", "Action": [ "macie2:EnableOrganizationAdminAccount", "organizations:DescribeOrganization", "organizations:EnableAWSServiceAccess", "organizations:ListAWSServiceAccessForOrganization", "organizations:RegisterDelegatedAdministrator" ], "Resource": "*" }
如果您想要將 AWS Organizations 管理帳戶指定為組織委派的 Macie 管理員帳戶,您的帳戶還需要執行下列 IAM 動作的權限:CreateServiceLinkedRole
此動作可讓您為管理帳戶啟用 Macie。不過,根據 AWS 安全性最佳做法和最低權限原則,我們不建議您這麼做。
如果您決定授予此權限,請在 AWS Organizations 管理帳戶的 IAM 政策中新增下列陳述式:
{ "Sid": "Grant permissions to enable Macie", "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie", "Condition": { "StringLike": { "iam:AWSServiceName": "macie.amazonaws.com" } } }
在對帳單中,將 111122223333
取代為管理帳戶的帳戶識別碼。
如果您想要在選擇加入 AWS 區域 (預設為停用的區域) 中管理 Macie,請同時更新Resource
元素和條件中 Macie 服務主體的值。iam:AWSServiceName
此值必須指定「區域」的「地區」代碼。例如,若要管理中東 (巴林) 區域的 Macie,該區域的區域代碼為 me-south-1,請執行以下操作:
-
在
Resource
元素中,替換arn:aws:iam::
111122223333
:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie取代為
arn:aws:iam::
111122223333
:role/aws-service-role/macie.me-south-1
.amazonaws.com/AWSServiceRoleForAmazonMacie其中
111122223333
會指定管理帳戶的帳戶識別碼,而me-south-1
會指定區域的地區代碼。 -
在
iam:AWSServiceName
條件下,取代macie.amazonaws.com
為macie.
,其中me-south-1
.amazonaws.comme-south-1
指定「區域」的「區域」代碼。
如需目前可使用 Macie 的區域清單以及每個區域的 Amazon Macie 域代碼,請參閱. AWS 一般參考 如需選擇加入區域的相關資訊,請參閱AWS Account Management 參考指南中的指定 AWS 區域 您的帳戶可以使用的項目。
步驟 2:指定組織的委派 Macie 管理員帳戶
驗證權限後,您 (身為 AWS Organizations 管理帳戶的使用者) 可以為組織指定委派的 Macie 管理員帳戶。
若要指定組織的委派 Macie 管理員帳戶
若要為您的組織指定委派的 Macie 管理員帳戶,您可以使用 Amazon Macie 主控台或 Amazon Macie API。只有 AWS Organizations 管理帳戶的使用者可以執行此工作。
指定組織的 Macie 管理員帳戶後,Macie 管理員即可開始在 Macie 中配置組織。
步驟 3:自動啟用並新增組織帳戶作為 Macie 成員帳戶
根據預設,當帳戶新增至您的組織時,新帳戶不會自動啟用 Macie。 AWS Organizations此外,帳戶不會自動添加為 Macie 成員帳戶。這些帳號會顯示在 Macie 管理員的帳戶清單中。不過,Macie 不一定會為帳戶啟用,而 Macie 管理員也不一定會存取帳戶的 Macie 設定、資料和資源。
如果您是組織的委派 Macie 管理員,您可以變更此組態設定。您可以為組織開啟自動啟用。如果您這麼做,當帳戶新增至您的組織中時,Macie 會自動為新帳戶啟用 AWS Organizations,而這些帳戶會自動與您的 Macie 管理員帳戶關聯為成員帳戶。開啟此設定不會影響組織中的現有帳戶。若要啟用和管理現有帳戶的 Macie,您必須手動將帳戶新增為 Macie 成員帳戶。下一步說明如何執行此操作。
備註
如果您開啟自動啟用,請注意下列例外狀況:
-
如果新帳戶已與不同的 Macie 管理員帳戶相關聯,Macie 不會自動將該帳戶新增為組織中的成員帳戶。
該帳戶必須先取消與其目前 Macie 管理員帳戶的關聯,才能成為您在 Macie 中組織的一部分。然後,您可以手動添加帳戶。若要識別發生這種情況的科目,您可以複查組織的科目存貨。
-
如果您的組織達到 10,000 Macie 成員帳戶的配額 AWS 區域,Macie 會自動關閉「地區」中的此設定。
如果發生這種情況,我們會通過為您的 Macie 管理員帳戶創建 AWS Health 和 Amazon CloudWatch 事件通知您。我們也會傳送電子郵件至與該帳戶相關聯的電子郵件地址。如果帳戶總數隨後減少到 10,000 個以下,Macie 會自動再次開啟設定。
自動啟用並新增組織帳戶作為 Macie 成員帳戶
要自動啟用並將新帳戶添加為 Macie 會員帳戶,您可以使用 Amazon Macie 控制台或 Amazon Macie API。只有委派的組織 Macie 管理員可以執行此任務。
步驟 4:啟用並新增現有組織帳戶作為 Macie 成員帳戶
當您與 Macie 整合時 AWS Organizations,不會為組織中的所有現有帳戶自動啟用 Macie。此外,這些帳戶不會自動與委派的 Macie 管理員帳戶作為 Macie 成員帳戶關聯。因此,在 Macie 中整合和設定組織的最後一個步驟是將現有的組織帳戶新增為 Macie 成員帳戶。當您將現有帳戶添加為 Macie 成員帳戶時,Macie 會自動為該帳戶啟用,並且您(作為委託的 Macie 管理員)可以訪問該帳戶的某些 Macie 設置,數據和資源。
請注意,您無法新增目前與另一個 Macie 管理員帳戶關聯的帳戶。若要新增帳戶,請與帳戶擁有者合作,先取消帳戶與其目前管理員帳戶的關聯。此外,如果該帳戶目前已暫停 Macie,則無法新增現有帳戶。帳戶擁有者必須先重新啟用該帳戶的 Macie。最後,如果您想要將 AWS Organizations 管理帳戶新增為成員帳戶,該帳戶的使用者必須先為該帳戶啟用 Macie。
啟用並新增現有組織帳戶作為 Macie 成員帳戶
若要啟用並將現有的組織帳戶新增為 Macie 成員帳戶,您可以使用 Amazon Macie 主控台或 Amazon Macie API。只有委派的組織 Macie 管理員可以執行此任務。