本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 管理账户的最佳实践
<a name="orgs_best-practices_mgmt-acct"></a>

请遵循以下建议，来帮助保护 Amazon Organizations中管理账户的安全。这些建议假定您还遵守[仅将根用户用于真正需要它的任务的最佳实践](https://docs.amazonaws.cn/IAM/latest/UserGuide/root-user-best-practices.html)。

**Topics**
+ [限制谁有权访问管理账户](#bp_mgmt-acct_limit-access)
+ [检查并跟踪谁有访问权限](#bp_mgmt-acct_review-access)
+ [仅将管理账户用于***需要***管理账户的任务](#bp_mgmt-acct_use-mgmt)
+ [避免将工作负载部署到组织的管理账户中](#bp_mgmt-acct_avoid-deploying)
+ [将责任委托给非管理账户以实现去中心化](#bp_mgmt-acct_)

## 限制谁有权访问管理账户
<a name="bp_mgmt-acct_limit-access"></a>

管理账户是所有上述管理任务的关键，例如账户管理、政策、与其他 Amazon 服务的集成、整合账单等。因此，您应限定和限制管理账户的访问权限，仅允许那些需要相关权限以对组织进行更改的管理员用户使用。

## 检查并跟踪谁有访问权限
<a name="bp_mgmt-acct_review-access"></a>

为确保您保持对管理账户的访问权限，请定期检查您企业中有权访问与管理账户关联的电子邮件地址、密码、MFA 和电话号码的人员。使您的审查与现有业务流程保持一致。每月或每季度对这些信息进行一次审查，以确认只有正确的人才能访问。确保恢复或重置对根用户凭证的访问权限的过程不依赖于任何特定个人来完成。所有流程都应能解决人员不可用的可能情况。

## 仅将管理账户用于***需要***管理账户的任务
<a name="bp_mgmt-acct_use-mgmt"></a>

我们建议您将管理账户及其用户和角色仅用于必须由该账户执行的任务。将所有 Amazon 资源存储在组织 Amazon Web Services 账户 中的其他资源中，并防止它们进入管理账户。将资源保留在其他账户中的一个重要原因是，Organizations 服务控制策略 (SCPs) 无法限制管理账户中的任何用户或角色。将资源与管理账户分离还有助于您了解发票上的费用。

有关必须从管理账户调用的任务列表，请参阅[只能从组织的管理账户调用的操作](https://docs.amazonaws.cn/organizations/latest/APIReference/action-reference.html#actions-management-account)。

## 避免将工作负载部署到组织的管理账户中
<a name="bp_mgmt-acct_avoid-deploying"></a>

特权操作可以在组织的管理账户中执行，但 SCPs 不适用于管理账户。因此，管理账户中包含的云资源和数据应仅限必须在管理账户中管理的云资源和数据。

## 将责任委托给非管理账户以实现去中心化
<a name="bp_mgmt-acct_"></a>

我们建议尽可能将责任和服务委托给非管理账户。为团队自己的账户提供无需访问管理账户，即可满足组织需求所需的权限。此外，您可以为支持此功能的服务（例如 Amazon Service Catalog 在组织内共享软件或 Amazon CloudFormation StackSets 创作和部署堆栈）注册多个委派管理员。

有关更多信息，请参阅[安全参考架构](https://docs.amazonaws.cn/prescriptive-guidance/latest/security-reference-architecture/security-tooling.html)、[使用多个账户组织您的 Amazon 环境](https://docs.amazonaws.cn/whitepapers/latest/organizing-your-aws-environment/organizing-your-aws-environment.html)，以及[Amazon Web Services 服务 你可以和它一起使用 Amazon Organizations](orgs_integrate_services_list.md)有关将成员账户注册为各种 Amazon 服务的委托管理员的建议。

有关设置委托管理员的更多信息，请参阅 [为 Amazon 账户管理启用委托管理员账户](https://docs.amazonaws.cn/accounts/latest/reference/using-orgs-delegated-admin.html) 和 [的委派管理员 Amazon Organizations](orgs_delegate_policies.md)。