本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
查看配置策略状态和详细信息
授权的 Amazon Security Hub 管理员可以查看组织的配置策略及其详细信息。这包括策略与哪些账户和组织单位 (OUs) 相关联。
有关中心配置的好处及其工作原理的背景信息，请参阅了解 Security Hub 中的中心配置。
选择首选方法，然后按照步骤查看配置策略。
查看配置策略的关联状态
以下中央配置API操作会返回一个名为的字段AssociationStatus：
BatchGetConfigurationPolicyAssociationsGetConfigurationPolicyAssociationListConfigurationPolicyAssociationsStartConfigurationPolicyAssociation
当基础配置为配置策略，并且是自行管理行为时，都将返回此字段。
的值AssociationStatus告诉您特定账户的策略关联是处于待处理状态还是处于成功或失败状态。状态从 PENDING 变为 SUCCESS 或 FAILED 可能需要长达 24 小时的时间。状态为SUCCESS表示配置策略中指定的所有设置都与该账户相关联。状态为FAILED表示配置策略中指定的一个或多个设置未能与账户关联。尽管有FAILED状态，但可以根据策略对账户进行部分配置。例如，您可以尝试将账户与启用 Security Hub、启用 Amazon Foundational Security 最佳实践 v1.0.0 和禁用 .1 的配置策略相关联。 CloudTrail最初的两个设置可能会成功，但是 CloudTrail .1 设置可能会失败。在此示例中，FAILED即使某些设置配置正确，关联状态仍为。
父 OU 或根的关联状态取决于其子级的状态。如果所有子级的关联状态均为 SUCCESS，则父级的关联状态为 SUCCESS。如果一个或多个子级的关联状态均为 FAILED，则父级的关联状态为 FAILED。
的值AssociationStatus取决于所有相关区域中该策略的关联状态。如果关联在主区域和所有关联区域成功，则 AssociationStatus 的值为 SUCCESS。如果关联在一个或多个区域失败，则 AssociationStatus 的值为 FAILED。
以下行为也会影响 AssociationStatus 的值：
如果目标是父 OU 或根，则只有当所有子级的状态为
SUCCESS或FAILED时，AssociationStatus才具有SUCCESS或FAILED状态。在您首次将父账户或 OU 与配置关联后，如果子账户或 OU 的关联状态发生变化（例如，添加或删除关联区域时），则除非您StartConfigurationPolicyAssociationAPI再次调用，否则更改不会更新父账户或 OU 的关联状态。如果目标是账户，则只有当主区域和所有关联区域的关联结果为
SUCCESS或FAILED时，AssociationStatus才具有SUCCESS或FAILED状态。在首次将目标账户与配置关联后，如果目标账户的关联状态变更（例如，添加或删除了关联区域时），则配置的关联状态也会随之更新。但是，除非您StartConfigurationPolicyAssociationAPI再次调用，否则更改不会更新父级的关联状态。
如果您添加新的关联区域，Security Hub 会复制新区域中处于 PENDING、SUCCESS 或 FAILED 状态的现有关联。
关联失败问题排查
在中 Amazon Security Hub，配置策略关联可能由于以下常见原因而失败。
Organizations 管理账户不是成员 — 如果要将配置策略与 Organizations 管理账户关联，则该账户必须已 Amazon Security Hub 启用。这将使管理账户成为组织的成员账户。
Amazon Config 未启用或未正确配置-要在配置策略中启用标准， Amazon Config 必须启用并配置为记录相关资源。
必须从委托管理员账户进行关联 — 只有在登录委派的 Security Hub 管理员账户OUs时，您才能将策略与目标账户相关联。
必须从本地区进行关联 — 您只能将保单与目标账户相关联，也只能在您登录所在地区OUs时进行关联。
未启用选择加入区域：如果关联区域是委托管理员尚未启用的选择加入区域，则该区域中的成员账户或 OU 的策略关联将会失败。您可以在从委托管理员账户启用区域后重试。
成员账户已暂停：如果尝试将策略与暂停的成员账户关联，则策略关联将失败。