取消組態與其目標的關聯

從委派的 AWS Security Hub 管理員帳戶，您可以取消組態政策或自我管理組態與帳戶、OU 或根的關聯。取消關聯會保留政策以供日後使用，但會從特定帳戶、OUs 或根目錄移除現有的關聯。您只能取消直接套用的組態，而不是繼承的組態。若要變更繼承的組態，您可以將組態政策或自我管理行為套用至受影響的帳戶或 OU。您也可以將包含所需修改的新組態政策套用至最近的父系。

取消關聯不會刪除組態政策。政策會保留在您的帳戶中，因此您可以將其與組織中的其他目標建立關聯。如需刪除組態政策的指示，請參閱 刪除組態政策。當取消關聯完成時，受影響的目標會繼承最接近父項的組態政策或自我管理行為。如果沒有可繼承的組態，目標會保留取消關聯之前擁有的設定，但會成為自我管理。

選擇您偏好的方法，並依照步驟取消帳戶、OU 或根與目前組態的關聯。

Console

取消帳戶或 OU 與其目前組態的關聯

1. 在 https：//https://console.aws.amazon.com/securityhub/ 開啟 AWS Security Hub 主控台。

   使用主要區域中委派 Security Hub 管理員帳戶的登入資料登入。

2. 在導覽窗格中，選擇設定和組態。

3. 在組織索引標籤上，選取您要與其目前組態取消關聯的帳戶、OU 或根目錄。選擇編輯。

4. 在定義組態頁面上，針對管理，如果您希望委派管理員能夠將政策直接套用至目標，請選擇套用的政策。如果您想要目標繼承其最近父系的組態，請選擇繼承。在這些情況下，委派的管理員會控制目標的設定。如果您希望帳戶或 OU 控制自己的設定，請選擇自我管理。

5. 檢閱您的變更後，選擇下一步並套用。如果這些組態與您目前的選擇衝突，此動作會覆寫範圍內任何帳戶或 OUs 的現有組態。

API

取消帳戶或 OU 與其目前組態的關聯

1. 從主區域中的 Security Hub 委派管理員帳戶叫用 StartConfigurationPolicyDisassociation API。

2. 對於 ConfigurationPolicyIdentifier，請提供您要取消關聯的組態政策的 Amazon Resource Name (ARN) 或 ID。SELF_MANAGED_SECURITY_HUB 提供此欄位以取消自我管理行為的關聯。

3. 針對 Target，提供您要與此組態政策取消關聯的帳戶、OUs 或根目錄。

取消關聯組態政策的 API 請求範例：

{
    "ConfigurationPolicyIdentifier": "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Target": {"RootId": "r-f6g7h8i9j0example"}
}
                    

AWS CLI

取消帳戶或 OU 與其目前組態的關聯

1. 從主區域中的 Security Hub 委派管理員帳戶執行 start-configuration-policy-disassociation命令。

2. 對於 configuration-policy-identifier，請提供您要取消關聯的組態政策的 Amazon Resource Name (ARN) 或 ID。SELF_MANAGED_SECURITY_HUB 提供此欄位以取消自我管理行為的關聯。

3. 針對 target，提供您要與此組態政策取消關聯的帳戶、OUs 或根目錄。

取消關聯組態政策的範例命令：

aws securityhub --region us-east-1 start-configuration-policy-disassociation \
--configuration-policy-identifier "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111" \
--target '{"RootId": "r-f6g7h8i9j0example"}'