本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Macie 管理員和成員帳戶關係
<a name="accounts-mgmt-relationships"></a>

如果您以組織身分集中管理多個 Amazon Macie 帳戶，Macie 管理員可以存取相關聯成員帳戶的 Amazon Simple Storage Service (Amazon S3) 庫存資料、政策調查結果以及特定 Macie 設定和資源。管理員也可以啟用自動敏感資料探索並執行敏感資料探索任務，以偵測成員帳戶擁有的 S3 儲存貯體中的敏感資料。特定任務的支援會根據 Macie 管理員帳戶是否透過邀請 AWS Organizations 或邀請與成員帳戶相關聯而有所不同。

下表提供有關 Macie 管理員和成員帳戶之間關係的詳細資訊。它指出每種帳戶類型的預設許可。若要進一步限制對 Macie 功能和操作的存取，您可以使用自訂 [AWS Identity and Access Management (IAM) 政策](security-iam.md)。

在 資料表中：
+ **自我**指出帳戶無法為任何相關聯的帳戶執行任務。
+ **任何** 表示帳戶可以為個別關聯帳戶執行任務。
+ **所有** 都表示帳戶可以執行任務，而任務會套用至所有相關聯的帳戶。

破折號 (–) 表示帳戶無法執行任務。


| 
| 
| **任務** | **透過 AWS Organizations** | **依邀請** | 
| --- |--- |--- |
| **管理員** | **成員** | **管理員** | **成員** | 
| --- |--- |--- |--- |
| Enable Macie | Any | – | Self | Self | 
| Review the organization's account inventory [1](#accounts-mgmt-relationships-note-inventory) | All | – | All | – | 
| Add a member account | Any | – | Any | – | 
| Review statistics and metadata for S3 buckets | All | Self | All | Self | 
| Review policy findings | All | Self | All | Self | 
| Suppress (archive) policy findings [2](#accounts-mgmt-relationships-note-suppress-policy) | All | – | All | – | 
| Publish policy findings [3](#accounts-mgmt-relationships-note-publish-policy) | Self | Self | Self | Self | 
| Configure a repository for sensitive data discovery results [4](#accounts-mgmt-relationships-note-sddr) | Self | Self | Self | Self | 
| Create and use allow lists | Self | Self | Self | Self | 
| Create and use custom data identifiers | Self | Self | Self | Self | 
| Configure automated sensitive data discovery settings | All | – | All | – | 
| Enable or disable automated sensitive data discovery | Any | – | Any | – | 
| Review automated sensitive data discovery statistics, data, and results [5](#accounts-mgmt-relationships-note-asdd-sdfs) | All | Self | All | Self | 
| Create and run sensitive data discovery jobs [6](#accounts-mgmt-relationships-note-jobs) | Any | Self | Any | Self | 
| Review the details of sensitive data discovery jobs [7](#accounts-mgmt-relationships-note-job-details) | Self | Self | Self | Self | 
| Review sensitive data findings [8](#accounts-mgmt-relationships-note-jobs-sdfs) | Self | Self | Self | Self | 
| Suppress (archive) sensitive data findings [8](#accounts-mgmt-relationships-note-jobs-sdfs) | Self | Self | Self | Self | 
| Publish sensitive data findings [8](#accounts-mgmt-relationships-note-jobs-sdfs) | Self | Self | Self | Self | 
| Configure Macie to retrieve sensitive data samples for findings | Self | Self | Self | Self | 
| Retrieve sensitive data samples for findings [9](#accounts-mgmt-relationships-note-sdsamples) | Self | Self | Self | Self | 
| Configure publication destinations for findings | Self | Self | Self | Self | 
| Set the publication frequency for findings | All | Self | All | Self | 
| Create sample findings | Self | Self | Self | Self | 
| Review account quotas and estimated usage costs | All | Self | All | Self | 
| Suspend Macie [10](#accounts-mgmt-relationships-note-suspend) | Any | – | Any | Self | 
| Disable Macie [11](#accounts-mgmt-relationships-note-disable) | Self | Self | Self | Self | 
| Remove (disassociate) a member account | Any | – | Any | – | 
| Disassociate from an administrator account | – | – | – | Self | 
| Delete an association with another account [12](#accounts-mgmt-relationships-note-delete) | Any | – | Any | Self | 

1. <a name="accounts-mgmt-relationships-note-inventory"></a>中的組織管理員 AWS Organizations 可以檢閱組織中的所有帳戶，包括尚未啟用 Macie 的帳戶。邀請型組織的管理員只能檢閱他們新增至庫存的帳戶。

1. <a name="accounts-mgmt-relationships-note-suppress-policy"></a>只有管理員可以隱藏政策調查結果。如果管理員建立禁止規則，Macie 會將規則套用至組織中所有帳戶的政策調查結果，除非規則設定為排除特定帳戶。如果成員建立禁止規則，Macie 不會將規則套用至成員帳戶的政策問題清單。

1. <a name="accounts-mgmt-relationships-note-publish-policy"></a>只有擁有受影響資源的帳戶才能發佈資源的政策調查結果 AWS Security Hub CSPM。管理員和成員帳戶都會自動將受影響資源的政策調查結果發佈至 Amazon EventBridge。

1. <a name="accounts-mgmt-relationships-note-sddr"></a>如果管理員啟用自動敏感資料探索或設定任務來分析成員帳戶擁有的 S3 儲存貯體中的物件，Macie 會將敏感資料探索結果存放在管理員帳戶的儲存庫中。

1. <a name="accounts-mgmt-relationships-note-asdd-sdfs"></a>只有管理員可以存取自動化敏感資料探索產生的敏感資料調查結果。管理員和成員都可以檢閱自動化敏感資料探索為成員帳戶產生的其他資料類型。

1. <a name="accounts-mgmt-relationships-note-jobs"></a>成員可以設定任務，僅在其帳戶擁有的 S3 儲存貯體中分析物件。管理員可以設定任務來分析其帳戶擁有或成員帳戶擁有之儲存貯體中的物件。如需如何套用配額和計算多帳戶任務成本的資訊，請參閱 [了解預估用量成本](account-mgmt-costs-calculations.md)。

1. <a name="accounts-mgmt-relationships-note-job-details"></a>只有建立任務的帳戶才能存取任務的詳細資訊。這包括 S3 儲存貯體庫存中的任務相關詳細資訊。

1. <a name="accounts-mgmt-relationships-note-jobs-sdfs"></a>只有建立任務的帳戶可以存取、隱藏或發佈任務產生的敏感資料調查結果。只有管理員可以存取、隱藏或發佈自動化敏感資料探索產生的敏感資料調查結果。

1. <a name="accounts-mgmt-relationships-note-sdsamples"></a>如果敏感資料調查結果適用於成員帳戶擁有的 S3 物件，管理員可能可以擷取調查結果報告的敏感資料範例。這取決於調查結果的來源，以及管理員帳戶和成員帳戶中的組態設定和資源。如需詳細資訊，請參閱[擷取敏感資料範例的組態選項](findings-retrieve-sd-options.md)。

1. <a name="accounts-mgmt-relationships-note-suspend"></a>若要讓管理員暫停 Macie 自己的帳戶，管理員必須先取消其帳戶與所有成員帳戶的關聯。

1. <a name="accounts-mgmt-relationships-note-disable"></a>若要讓管理員為自己的帳戶停用 Macie，管理員必須先取消其帳戶與所有成員帳戶的關聯，並刪除其帳戶與所有這些帳戶之間的關聯。中的組織管理員 AWS Organizations 可以與組織的管理帳戶合作，將不同的帳戶指定為管理員帳戶。

   若要讓 AWS Organizations 組織的成員停用 Macie，管理員必須先取消成員帳戶與其管理員帳戶的關聯。在以邀請為基礎的組織中，成員可以取消其帳戶與其管理員帳戶的關聯，然後停用 Macie。

1. <a name="accounts-mgmt-relationships-note-delete"></a>中的組織管理員 AWS Organizations 可以在取消帳戶與其管理員帳戶的關聯之後，刪除與成員帳戶的關聯。帳戶會繼續出現在管理員的帳戶庫存中，但其狀態表示其不是成員帳戶。在以邀請為基礎的組織中，管理員和成員可以在取消其帳戶與另一個帳戶的關聯之後，刪除與其他帳戶的關聯。然後，另一個帳戶停止出現在其帳戶庫存中。