View a markdown version of this page

在应用政策之前对其进行审查 - Amazon GuardDuty
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在应用政策之前对其进行审查

在保存禁用保护计划的政策更改之前，请查看哪些账户和地区当前启用了该保护计划，以便了解更改将关闭的内容。由于 GuardDuty 政策适用于每个区域，因此请检查每个账户和每个地区的当前启用状态。

警告

禁用策略 GuardDuty 或保护计划会在当前启用该功能的每个受保账户中将其关闭，并阻止这些账户通过控制台或 API 将其重新开启。您可能会无意中禁用帐户所依赖的保护。在创建或更新政策之前，请确定变更所影响的账户和区域（如本节所述），并确认影响是预期的。

作为委托管理员，您可以使用 GuardDuty 控制台的 “帐户” 页面（切换区域以查看每个区域的覆盖范围），也可以通过以下步骤以编程方式查看整个组织的当前 GuardDuty 启用情况。在您要查看的每个区域中执行 API 步骤。

确定政策影响的账户和区域

  1. 枚举组织中的账户。使用 Amazon Organizations ListAccounts API 操作列出组织中的每个账户，包括尚未成为 GuardDuty 成员的账户。

  2. 列举您的 GuardDuty 成员账户。使用 GuardDuty ListMembers API 操作列出已经是 GuardDuty 成员账户的账户。

  3. 查看每个成员账户已启用的保护计划。使用 GuardDuty GetMemberDetectors API 操作查看每个成员账户的检测器启用了哪些功能。

  4. 将当前启用与您的政策变更将禁用的保护计划进行比较，以确定变更影响的账户和区域。

属于您的组织但还不是 GuardDuty 成员的账户不会出现在中ListMembers，在将其添加为成员之前，您也无法看到其检测器状态。当 GuardDuty 政策适用于尚未成为成员的账户时，该账户会自动添加为会员。

创建并附加策略后，请确认适用于特定账户的最终策略。有效的策略是汇总账户从其上级实体继承的每项政策，以及直接关联到该账户的任何策略。要查看它，请使用 Amazon Organizations DescribeEffectivePolicy API 操作或其 Amazon CLI 或 Amazon SDK 等效操作以及 GuardDuty 策略类型。任何有权调用此接口的账号都可以使用它，包括委派的管理员账号。有关更多信息，请参阅《 Amazon Organizations 用户指南》中的查看有效的声明式策略。