本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 组织政策如何运作
<a name="guardduty-organization-policies-how-it-works"></a>

 GuardDuty 组织政策决定启用哪些 GuardDuty 功能、哪些区域以及为哪些账户启用。以下各节介绍如何跨地区应用政策、如何通过您的组织继承政策、有效政策如何改变您管理 GuardDuty 账户的方式以及使用策略的常见方式。

**Topics**
+ [区域配置](#guardduty-organization-policies-regional)
+ [策略继承和优先级](#guardduty-organization-policies-inheritance)
+ [政策如何影响 GuardDuty 账户管理](#guardduty-organization-policies-effects)
+ [使用案例示例](#guardduty-organization-policies-use-cases)

## 区域配置
<a name="guardduty-organization-policies-regional"></a>

 GuardDuty 组织策略按区域设置启用。默认配置适用于每个可 GuardDuty 用的区域。您可以添加区域覆盖，为特定区域提供不同的配置。默认配置是可选的。如果省略该字段，则仅管理您指定的区域，而其他所有区域都将处于非托管状态。

当一项策略 GuardDuty 广泛启用时，例如涵盖每个区域的默认配置，则会在启用该策略的每个区域 GuardDuty 处理 Amazon CloudTrail 全球服务事件，包括您没有资源或工作负载的区域。有关更多信息，请参阅 [如何 GuardDuty 处理 Amazon CloudTrail 全球活动](guardduty_data-sources.md#cloudtrail_global)。

策略和保护计划仅在可用的地区进行管理 GuardDuty 。如果您的策略已启用， GuardDuty 或者保护计划在某个地区不可用，则该策略将在该区域跳过该保护计划而不会出现错误。在配置策略之前，请查看每个保护计划的可用位置 GuardDuty 和可用性。有关更多信息，请参阅 [Region-specific 功能可用性](guardduty_regions.md#gd-regional-feature-availability)。

区域覆盖完全取代了该区域的默认配置。它不与默认计划合并，因此您必须指定要在该区域管理的所有保护计划。您在覆盖范围之外遗漏的任何保护计划都不会在该区域进行管理，即使默认配置对其进行管理也是如此。因此，策略管理的保护计划可能因地区而异。

有关完整的政策结构以及如何解析区域，请参阅 Amazon Organizations 用户指南中的[GuardDuty 政策](https://docs.amazonaws.cn/organizations/latest/userguide/orgs_manage_policies_guardduty.html)。

## 策略继承和优先级
<a name="guardduty-organization-policies-inheritance"></a>

GuardDuty 组织策略遵循 Amazon Organizations 继承模型。组织根目录下附加的政策适用于组织中的每个账户。账户还会继承与父 OU 关联的所有政策。当多个策略适用于一个账户时，会将它们 Amazon Organizations 合并为一个有效的策略，而与该账户距离较近的策略将优先于层次结构中较高附加的策略。

启用`GUARDDUTY_POLICY`策略类型后，该策略将优先于区域 GuardDuty 自动启用设置。无论是否附加策略，自动启用设置都不再适用。

有关完整的继承规则以及如何解决有效策略，请参阅《 Amazon Organizations 用户指南》中的 “[了解管理策略继承](https://docs.amazonaws.cn/organizations/latest/userguide/orgs_manage_policies_inheritance_mgmt.html)”。

## 政策如何影响 GuardDuty 账户管理
<a name="guardduty-organization-policies-effects"></a>

当 GuardDuty 组织政策处于活动状态时，以下更改将适用于您的 GuardDuty 账户管理方式：
+ 启用`GUARDDUTY_POLICY`策略类型后，无论是否附加策略，区域 GuardDuty 自动启用设置都将不再适用。
+ 当保单管理保护计划时，无法再通过 GuardDuty 控制台或 API 为受保账户更改该保护计划。在 “**帐户**” 页面上，它显示为 “**策略管理**”。要更改托管保护计划，请更新策略。策略未管理的保护计划仍可通过控制台和 API 进行编辑。
+ 只有委派的管理员账号才能创建和管理 GuardDuty策略。 GuardDuty控制台中的**组织策略**页面仅供授权的管理员使用。

**注意**  
附加 GuardDuty 政策可以将新账户注册为 GuardDuty 会员，并在整个组织中开启保护计划。启用计划 GuardDuty 及其保护计划会产生费用。有关更多信息，请参阅 [定价在 GuardDuty](guardduty-pricing.md)。

## 使用案例示例
<a name="guardduty-organization-policies-use-cases"></a>

以下示例显示了使用 GuardDuty 组织策略的常用方法。有关实现每种模式的策略 JSON，请参阅 Amazon Organizations 用户指南中的[GuardDuty 策略](https://docs.amazonaws.cn/organizations/latest/userguide/orgs_manage_policies_guardduty.html)。
+ **在整个组织中启用保护基准。**在组织根目录处附加带有默认配置的策略，以启用基础探测器和所需的保护计划。每个账户，包括稍后加入的账户，都会自动启用这些功能。
+ **不同组织单位的保护措施各不相同。**在根部使用广泛的策略作为基准，并将更具体的策略附加到各个 OU，以调整针对具有不同合规性或工作负载要求的账户的保护计划。
+ **随着组织的发展，保持覆盖范围。**由于加入组织或进入受保组织单位的账户会继承有效的策略，因此策略无需手动启用即可使新创建的账户与您的保护基准保持一致。