本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 注意事项和限制
<a name="guardduty-organization-policies-considerations"></a>

在规划和管理 GuardDuty 组织政策时，请记住以下几点：
+ **政策仅适用于中的账户 Amazon Organizations。**组织策略 GuardDuty 只能通过管理属于您的组织的账户 Amazon Organizations。它无法管理不属于您的组织的帐户，例如仅通过旧版邀请方法关联的帐户。 GuardDuty 在这些账户中分别进行管理，与委派 GuardDuty 管理员账户账户或每个账户分开管理。有关这两种关联方法的更多信息，请参见[在 Amazon 中管理多个账户 GuardDuty](guardduty_accounts.md)。
+ **只有在管理账户 GuardDuty 中已存在服务相关角色时，才能在管理账户中启用策略。**除非该账户 GuardDuty 中已存在 GuardDuty与服务相关的角色，否则该策略无法在该组织的管理账户中启用。如果该角色不存在， GuardDuty则即使策略声明该角色已启用，也不会在管理账户中启用。在依赖策略管理该角色之前，先在管理账户中创建该角色，例如在 GuardDuty 那里启用。
+ **按区域分配委派管理员，启用账户与查看账户是分开的。**管理账户指定每个区域的 GuardDuty 委托管理员。分配到一个区域的委托管理员可以创建启用成员账户 GuardDuty 的策略，包括在非授权管理员的区域。但是，除非管理账户也将其指定为该区域的委托管理员，否则授权管理员无法看到这些成员账户在该区域的状态或调查结果。要管理和监控某个区域中的成员账户，管理账户必须指定该区域的委托管理员。由于按区域指定，因此管理账户可以将不同的账户指定为不同区域的委托管理员，并且每个委派管理员只能在指定其所在区域管理和监控成员账户。
+ **授权的管理员需要 Amazon Organizations 授权策略来管理策略。**指定委托管理员可以查看成员账户，但除非委托策略还 Amazon Organizations 授予其管理策略类型的权限，否则它无法创建、更新或附加 GuardDuty 组织`GUARDDUTY_POLICY`政策。如果这些操作被拒绝，请验证委托策略是否向委派的管理员授予了管理策略类型的权限。
+ **托管保护计划在控制台和 API 中是只读的。**当保单管理保护计划时，受保账户无法通过 GuardDuty 控制台或 API 对其进行更改。要更改托管保护计划，请更新策略。策略未管理的保护计划仍可通过控制台和 API 进行编辑。
+ **策略仅管理启用，不管理检测自定义。** GuardDuty 组织策略启用和禁用 GuardDuty 及其保护计划。它不管理诸如实体列表、IP 地址列表或禁止规则之类的检测自定义设置。启用后，通过 GuardDuty 控制台或 API 分别 GuardDuty 进行配置。有关更多信息，请参阅[使用实体列表和 IP 地址列表自定义威胁检测](guardduty_upload-lists.md)和[中的抑制规则 GuardDuty](findings_suppression-rule.md)。
+ **非托管区域保持不变，而不是禁用。**如果策略既不包含在默认配置中，也没有名称包含在区域覆盖中的区域，则该区域处于非托管状态。该政策不会在此处启用或禁用 GuardDuty ，该地区的现有设置保持不变。
+ **GuardDuty 处理每个已启用的区域中的全球事件。** GuardDuty 从 IAM、、Amazon S3 和 Amazon 等服务中复制 Amazon CloudTrail 全球服务事件 CloudFront，并在每个启用的区域 GuardDuty （包括您没有资源或工作负载的区域）处理这些事件。 Amazon STS这可以改善威胁检测，但这意味着当一项策略 GuardDuty广泛启用时，例如涵盖每个区域的默认配置，就会 GuardDuty处理所有这些区域的这些全球事件，这可能会产生额外 GuardDuty 的成本。有关更多信息，请参阅[如何 GuardDuty 处理 Amazon CloudTrail 全球活动](guardduty_data-sources.md#cloudtrail_global)和[定价在 GuardDuty](guardduty-pricing.md)。
+ **禁用保护计划会将其从当前启用的位置关闭。**禁用策略 GuardDuty 或保护计划会在每个启用该功能的受保账户中将其关闭，并阻止这些账户通过控制台或 API 将其重新开启。在创建或更新政策之前，请确定更改所影响的账户和区域，如中所述[在应用政策之前对其进行审查](guardduty-organization-policies-review-impact.md)。
+ **策略更改是异步应用的。**政策变更会在整个组织中传播，并随着时间的推移而进行协调，而不是立即生效。在得出更改未生效的结论之前，请留出时间让更改生效。
+ **分离策略不会禁用 GuardDuty。**当您将 GuardDuty 组织策略与实体分离时，该实体从父实体继承的其他策略仍然可以应用并继续控制该目标。如果在您分离后没有有效的保单， GuardDuty 并且其保护计划保持其当前状态且未被禁用。无论哪种情况，除非继承的政策仍然涵盖这些更改，否则您的组织将来的更改（例如新账户加入或现有账户迁入 OU）将不再 GuardDuty 自动启用。任何进一步的启用都必须手动完成、重新附加策略或通过继承的策略完成。
+ **禁用策略类型将停止所有策略管理并恢复自动启用。**在策略 GuardDuty 中禁用、分离策略和禁用`GUARDDUTY_POLICY`策略类型是三种不同的操作，效果各不相同。当您在组织根目录上禁用`GUARDDUTY_POLICY`策略类型时， GuardDuty组织策略将不再管理任何账户，并且在之前涵盖的账户中 GuardDuty 仍处于启用状态。禁用策略类型还会恢复 GuardDuty 启用该策略类型已禁止的区域自动启用设置，因此自动启用将根据这些设置恢复。