本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
使用管理 GuardDuty 账户Amazon Organizations
当你将 GuardDuty 与Amazon Organizations您可以将组织内的任意账户指定为 GuardDuty 委派管理员。只有组织管理账户才可以指定 GuardDuty 委派管理员。
指定为委派管理员的账户将成为 GuardDuty 管理员账户，在指定的区域中自动启用 GuardDuty，并且该主账户会被授予权限，以便针对该区域内的组织中的所有账户启用和管理。您可以将组织中的其他账户作为与委派管理员账户关联的 GuardDuty 成员账户来查看和添加。
如果您已经通过邀请设置具有关联成员账户的 GuardDuty 管理员，并且成员账户是同一组织的一部分，则其类型从变为通过邀请到通过 Organizations当您为组织设置 GuardDuty 委派管理员时。如果新委派管理员先前通过邀请所添加的成员不属于同一个组织，则其类型为通过邀请. 在这两种情况下，这些先前添加的账户是组织的 GuardDuty 委派管理员的成员账户。
您可以继续将账户添加为成员，即使账户位于组织之外也是如此。要了解更多信息，请参阅通过邀请（控制台）指定管理员和成员帐户和通过邀请指定 GuardDuty 管理员和会员帐户 (API)。
委派管理员的 GuardDuty 要注意事项
请注意以下决定了在 GuardDuty 中委派管理员如何运作的因素：
- 委派管理员最多可以管理 5000 个成员。
-
每个 GuardDuty 委派管理员限制为 5000 个成员账户。不过，您组织中的账户数量可能超过 5000 个。的数量全部组织中的账户将显示在账户查看 GuardDuty 控制台的页面。
如果您的成员账户超过 5000 个，您将通过 CloudWatch 收到通知，Amazon Personal Health Dashboard，并在发送给委派管理员账户的电子邮件中。
- 委托管理员是区域性的。
-
不像Amazon Organizations，GuardDuty 是一项区域服务。这意味着 GuardDuty 委派管理员及其成员账户必须在每个所需的区域中添加以进行账户管理，方法是：Amazon Organizations在每个区域中保持活跃状态。换句话说，如果组织管理帐户仅在美国东部（弗吉尼亚北部）指定 GuardDuty 的委托管理员，那么委派管理员将只管理在该区域添加的成员账户。有关 GuardDuty 中区域的更多信息，请参阅区域和终端节点.
- 一个组织只能有一个委派管理员。
-
每个账户只能有一个委派管理员。如果您已将某个账户指定为一个区域中的委派管理员，则该账户必须是所有其他区域的委派管理员。要在设置委派管理员之后更改委派管理员，请参阅取消注册委派管理员的过程。
- 不建议将组织管理帐户设置为委派管理员。
-
组织管理账户可以是委派管理员，但不建议根据Amazon遵循最小权限原则的安全最佳做法。
- 更改委派管理员不会为成员账户禁用 GuardDuty。
-
如果您删除委派管理员，则取消所有关联的成员账户作为 GuardDuty 成员，但不会在这些账户中禁用 GuardDuty。
指定委派管理员所需的权限
委派 GuardDuty 委派管理员时，您必须拥有启用 GuardDuty 的权限以及某些权限Amazon Organizations以下策略声明中列出 API 操作。
您可以将以下语句添加到 IAM 策略的末尾来授予这些权限：
{ "Sid": "PermissionsForGuardDutyAdmin", "Effect": "Allow", "Action": [ "guardduty:EnableOrganizationAdminAccount", "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" }
此外，如果你想指定你的Amazon Organizations管理帐户作为该实体将需要的 GuardDuty 委托管理员CreateServiceLinkedRole初始化 GuardDuty 的权限。可以使用以下语句将其添加到 IAM 策略，并将账户 ID 替换为您的组织管理账户的 ID：
{ 'Sid": "PermissionsToEnableGuardDuty" "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty", "Condition": { "StringLike": { "iam:AWSServiceName": "guardduty.amazonaws.com" } } }
如果您在手动启用的区域中使用 GuardDuty，请将 “服务” 的值替换为该区域的区域终端节点。例如，如果您在中东（巴林）(me-south-1) 区域中使用 GuardDuty，请将"Service":
"guardduty.amazonaws.com"替换为"Service":
"guardduty.me-south-1.amazonaws.com".
指定 GuardDuty 委托管理员
以下过程介绍如何为您的Amazon组织和添加成员账户。选择控制台或 API，然后按照提供的步骤操作。
将 GuardDuty 管理员帐户合并到单个组织委派管理员
GuardDuty 建议通过Amazon Organizations以管理委派管理员账户下的成员账户。您可以使用下面概述的示例流程将组织中通过邀请关联的管理员和成员账户合并到单个 GuardDuty 管理员下。
-
确保您要为管理 GuardDuty 的所有账户都是您组织的一部分。有关向组织添加账户的信息，请参阅邀请Amazon加入组织的账户.
-
取消所有成员账户与先前存在的管理员账户的关联，但要指定为组织的 GuardDuty 管理员的账户下的账户除外。
注意 已由 GuardDuty 委派管理员管理的帐户或具有活跃成员的委派管理员帐户无法添加到其他 GuardDuty 委派管理员帐户。每个组织在每个区域中只能有一个 GuardDuty 委派管理员账户，每个成员账户只能有一个委派管理员。
-
从中为组织指定 GuardDuty 委派管理员设置页.
-
登录到指定的委派管理员账户。
-
继续添加组织中的成员。
重要 请记住，GuardDuty 是一个区域性服务。建议您指定委派管理员账户并添加每个区域中的所有成员，以最大限度地提高 GuardDuty 的效率。
取消注册 GuardDuty 委派管理员
只有 Organizations 管理账户才可以取消注册委派管理员。
选择控制台或 API，然后按照提供的步骤取消注册委派管理员。注销完成后，您可以指定新的委托管理员。