本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 搭配 使用 Macie 的考量事項 AWS Organizations
將 Amazon Macie 與 整合 AWS Organizations 並在 Macie 中設定您的組織之前，請考慮下列要求和建議。此外，請確定您了解 [Macie 管理員與成員帳戶之間的關係](accounts-mgmt-relationships.md)。
**Topics**
+ [指定管理員帳戶](#accounts-mgmt-ao-notes-admin-designate)
+ [變更或移除管理員帳戶指定](#accounts-mgmt-ao-notes-admin-remove)
+ [新增和移除成員帳戶](#accounts-mgmt-ao-notes-members-manage)
+ [從以邀請為基礎的組織轉換](#accounts-mgmt-ao-notes-transition-invitations)
## 指定 Macie 管理員帳戶
當您判斷哪個帳戶應該是組織的委派 Macie 管理員帳戶時，請記住下列事項：
+ 組織只能有一個委派的 Macie 管理員帳戶。
+ 帳戶不能同時是 Macie 管理員和成員帳戶。
+ 只有組織的 AWS Organizations 管理帳戶可以指定組織的委派 Macie 管理員帳戶。只有管理帳戶之後才能變更或移除該指定。
+ 組織的 AWS Organizations 管理帳戶也可以是組織的委派 Macie 管理員帳戶。不過，我們不建議根據 AWS 安全最佳實務和最低權限原則進行此組態。基於帳單目的有權存取管理帳戶的使用者，可能與基於資訊安全目的而需要存取 Macie 的使用者不同。
如果您偏好此組態，則必須在至少一個 中為組織的管理帳戶啟用 Macie， AWS 區域 才能將帳戶指定為委派的 Macie 管理員帳戶。否則，帳戶將無法存取和管理成員帳戶的 Macie 設定和資源。
+ 與之不同 AWS Organizations，Macie 是區域性服務。這表示 Macie 管理員帳戶的指定是區域指定。這也表示 Macie 管理員和成員帳戶之間的關聯是區域性的。例如，如果管理帳戶在美國東部 （維吉尼亞北部） 區域指定 Macie 管理員帳戶，則 Macie 管理員只能管理該區域中成員帳戶的 Macie。
若要集中管理多個 Macie 帳戶 AWS 區域，管理帳戶必須登入組織目前使用或將使用 Macie 的每個區域，然後在每個區域中指定 Macie 管理員帳戶。Macie 管理員接著可以在每個區域中設定組織。如需目前可使用 Macie 的區域清單，請參閱《》中的 [Amazon Macie 端點和配額](https://docs.aws.amazon.com/general/latest/gr/macie.html)*AWS 一般參考*。
+ 一個帳戶一次只能與一個 Macie 管理員帳戶建立關聯。如果您的組織在多個區域中使用 Macie，則指定的 Macie 管理員帳戶在所有這些區域中都必須相同。不過，您組織的管理帳戶必須在每個區域中分別指定管理員帳戶。
+ 帳戶一次只能是一個組織的委派 Macie 管理員帳戶。如果您在 中管理多個組織 AWS Organizations，您必須為每個組織指定不同的 Macie 管理員帳戶。這是因為 AWS Organizations 要求 - 帳戶一次只能是一個組織的成員。
如果 Macie 管理員的 AWS 帳戶 被暫停、隔離或關閉，所有相關聯的 Macie 成員帳戶都會自動移除為 Macie 成員帳戶，但 Macie 會繼續為帳戶啟用。如果已啟用一或多個成員帳戶的[自動敏感資料探索](discovery-asdd.md)，則會針對帳戶停用。這也會停用存取統計資料、庫存資料，以及 Macie 在為帳戶執行自動探索時所產生和直接提供的其他資訊。若要還原對此資料的存取，必須在 30 天內執行下列動作：
1. Macie 管理員的 AWS 帳戶 已還原。
1. AWS Organizations 管理帳戶會再次將帳戶指定為 Macie 管理員帳戶。
1. Macie 管理員會設定組織，並再次為適當的帳戶啟用自動探索。
30 天後，Macie 會永久刪除先前產生並直接提供的資料，同時為適用的帳戶執行自動探索。
## 變更或移除 Macie 管理員帳戶的指定
只有組織的 AWS Organizations 管理帳戶可以變更或移除組織的委派 Macie 管理員帳戶的指定。
如果管理帳戶變更或移除指定：
+ 所有相關聯的成員帳戶會移除為 Macie 成員帳戶，但 Macie 會繼續為帳戶啟用。這些帳戶會成為獨立的 Macie 帳戶。若要暫停或停止使用 Macie，成員帳戶的使用者必須暫停 （暫停） 或停用 （停止） Macie。
+ 已為其啟用的每個帳戶停用自動敏感資料探索。這也會停用存取統計資料、庫存資料，以及 Macie 在為每個帳戶執行自動探索時產生和直接提供的其他資訊。若要還原對此資料的存取權，管理帳戶必須在 30 天內再次指定相同的 Macie 管理員帳戶。此外，Macie 管理員必須在 30 天內再次設定組織，並重新啟用每個帳戶的自動探索。30 天後，資料會過期，Macie 會將其永久刪除。
## 新增和移除 Macie 成員帳戶
當您新增、移除和以其他方式管理組織的成員帳戶時，請記住下列事項：
+ Macie 管理員帳戶可以與每個帳戶中不超過 10，000 個 Macie 成員帳戶建立關聯 AWS 區域。如果您的組織超過此配額，Macie 管理員將無法新增成員帳戶，除非他們移除區域中現有成員帳戶的必要數量。當組織符合此配額時，我們會為其帳戶建立 AWS Health 事件來通知 Macie 管理員。我們也傳送電子郵件到與其帳戶相關聯的地址。
如果您是組織的 Macie 管理員，您可以使用 Amazon Macie 主控台上的帳戶頁面或 Amazon Macie API 的 [ListMembers](https://docs.aws.amazon.com/macie/latest/APIReference/members.html) 操作，來判斷目前有多少成員**帳戶**與您的帳戶相關聯。如需詳細資訊，請參閱[檢閱組織的 Macie 帳戶](accounts-mgmt-ao-review.md)。
+ 一個帳戶一次只能與一個 Macie 管理員帳戶建立關聯。這表示如果帳戶已與 中組織的 Macie 管理員帳戶相關聯，則無法接受來自另一個帳戶的 Macie 邀請 AWS Organizations。
同樣地，如果帳戶已接受邀請， 中組織的 Macie 管理員 AWS Organizations 就無法將該帳戶新增為 Macie 成員帳戶。帳戶必須先取消與其目前以邀請為基礎的管理員帳戶的關聯。
+ 若要將 AWS Organizations 管理帳戶新增為 Macie 成員帳戶，管理帳戶的使用者必須先為帳戶啟用 Macie。Macie 管理員不允許為管理帳戶啟用 Macie。
+ 如果 Macie 管理員移除 Macie 成員帳戶：
+ Macie 會繼續為帳戶啟用。帳戶會成為獨立的 Macie 帳戶。若要暫停或停止使用 Macie，帳戶的使用者必須暫停 （暫停） 或停用 （停止） Macie。
+ 如果已啟用，則會停用帳戶的自動敏感資料探索。這也會停用存取統計資料、庫存資料，以及 Macie 在為帳戶執行自動探索時產生和直接提供的其他資訊。
+ 成員帳戶無法與其 Macie 管理員帳戶取消關聯。只有 Macie 管理員可以將帳戶移除為 Macie 成員帳戶。
## 從以邀請為基礎的組織轉換
如果您已使用 Macie 成員資格邀請將 Macie 管理員帳戶與成員帳戶建立關聯，建議您將該帳戶指定為組織的委派 Macie 管理員帳戶 AWS Organizations。這可簡化從以邀請為基礎的組織的轉換。
如果您這樣做，目前所有相關聯的成員帳戶都會繼續成為成員。如果成員帳戶是您組織的一部分 AWS Organizations，帳戶的關聯會自動從**邀請**變更為 Macie 中的 **Via AWS Organizations**。如果成員帳戶不是 中組織的一部分 AWS Organizations，則帳戶的關聯會繼續為**邀請**。在這兩種情況下，帳戶會繼續與委派的 Macie 管理員帳戶建立關聯，做為成員帳戶。對於敏感資料探索，這也表示帳戶可以繼續存取 Macie 產生和直接提供的統計資料和其他資料，同時為帳戶執行自動敏感資料探索。此外，如果 Macie 管理員設定敏感資料探索任務來分析帳戶的資料，後續任務執行將繼續包含帳戶擁有的資源。
我們建議您使用此方法，因為帳戶無法同時與多個 Macie 管理員帳戶建立關聯。如果您指定不同的帳戶做為組織的 Macie 管理員帳戶 AWS Organizations，則指定的管理員將無法透過邀請管理已與其他 Macie 管理員帳戶相關聯的帳戶。每個成員帳戶必須先取消與其目前以邀請為基礎的管理員帳戶的關聯。您組織的 Macie 管理員接著 AWS Organizations 可以將帳戶新增為 Macie 成員帳戶，並開始管理帳戶。
將 Macie 與 整合， AWS Organizations 並在 Macie 中設定組織後，您可以選擇為組織指定不同的 Macie 管理員帳戶。您也可以繼續使用邀請來關聯和管理不屬於您組織的成員帳戶 AWS Organizations。