指定 Amazon Inspector 的委派管理员账户
委派管理员是一个为组织管理服务的账户。本主题介绍了如何指定 Amazon Inspector 的委派管理员。
注意事项
在指定委派管理员之前，请注意以下事项：
- 委派管理员最多可以管理 1 万个成员。
-
如果成员账户超过 1 万个，您将收到 Amazon CloudWatch Personal Health Dashboard 通知，同时系统会向委派管理员账户发送一封电子邮件。
- 委派管理员是区域性的。
-
Amazon Inspector 是一项区域服务。您必须在计划使用 Amazon Inspector 的每个 Amazon Web Services 区域中重复该过程的步骤。
- 一个组织只能有一名委托管理员。
-
如果在一个 Amazon Web Services 区域中将某个账户指定为委派管理员，则该账户必须是所有其他 Amazon Web Services 区域中的委派管理员。
- 更改委托管理员不会停用成员账户的 Amazon Inspector。
-
如果您移除委派管理员，则成员账户将变为独立账户，扫描设置不受影响。
- 您的 Amazon 组织必须激活所有特征。
-
这是 Amazon Organizations 的默认设置。如果未激活所有特征，请参阅激活组织中的所有特征。
指定委派管理员所需的权限
您必须拥有激活 Amazon Inspector 和指定 Amazon Inspector 委托管理员的权限。将以下语句添加到 IAM 策略的末尾以授予这些权限。有关更多信息，请参阅管理 IAM 策略。
{ "Sid": "PermissionsForInspectorAdmin", "Effect": "Allow", "Action": [ "inspector2:EnableDelegatedAdminAccount", "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" }
为您的 Amazon 组织指定委托管理员
以下过程介绍了如何为您的组织指定委派管理员。在完成该过程之前，请确保您与想要委派管理员管理的成员账户均在同一个组织中。
注意
您必须使用 Amazon Organizations 管理账户才能完成此过程。只有 Amazon Organizations 管理账户才能指定委派管理员。可能需要权限才能指定委派管理员。有关更多信息，请参阅指定委派管理员所需的权限。
当您首次激活 Amazon Inspector 时，Amazon Inspector 会为账户创建服务相关角色 AWSServiceRoleForAmazonInspector。有关 Amazon Inspector 如何使用服务相关角色的信息，请参阅对 Amazon Inspector 使用服务相关角色。