Restricciones de cuentas y recomendaciones en Detective

Tenga en cuenta las siguientes restricciones y recomendaciones cuando administre cuentas en Amazon Detective.

Número máximo de cuentas miembro

Detective permite hasta 1200 cuentas de miembros en cada gráfico de comportamiento.

Si lo usas AWS Organizations para administrar cuentas, Detective muestra de forma predeterminada hasta 5000 cuentas de miembros en la página de administración de cuentas. Si desea ver todas las cuentas, seleccione Cargar todas las cuentas. Es posible que se tarden varios minutos en devolver todos los resultados.

Cuentas y regiones

Si se usa AWS Organizations para administrar cuentas, la cuenta de administración de la organización designa una cuenta de administrador de Detective para la organización. La cuenta de administrador de Detective se convierte en la cuenta de administrador del gráfico de comportamiento de la organización.

La cuenta de administrador de Detective debe ser la misma en todas las regiones. La cuenta de administración de la organización designa la cuenta de administrador de Detective de cada región por separado. Esto quiere decir que la cuenta de administrador de Detective también administra los gráficos de comportamiento de la organización y las cuentas de miembros de cada región por separado.

En el caso de las cuentas de miembros creadas mediante invitación, la asociación entre administrador y miembros se crea únicamente en la región desde la que se envía la invitación. La cuenta de administrador debe habilitar Detective en cada región, cada una con su correspondiente gráfico de comportamiento. A continuación, la cuenta de administrador invita a cada cuenta a asociarse como cuenta miembro en esa región.

Una cuenta puede ser cuenta de miembro en varios gráficos de comportamiento de la misma región. Una cuenta solo puede ser la cuenta de administrador de un gráfico de comportamiento por región. Una cuenta puede ser cuenta de administrador en distintas regiones.

Alineación de las cuentas de administrador con Security Hub y GuardDuty

Para garantizar que las integraciones con Amazon AWS Security Hub y Amazon GuardDuty funcionen sin problemas, recomendamos que la misma cuenta sea la cuenta de administrador en todos estos servicios.

Consulte Alineación recomendada con GuardDuty y AWS Security Hub.

Concesión de los permisos necesarios para cuentas de administrador

Para asegurarte de que una cuenta de administrador tiene los permisos necesarios para gestionar su gráfico de comportamiento, adjunta la política AmazonDetectiveFullAccess gestionada a la cuenta IAM principal.

Reflejo de las actualizaciones en una organización en Detective

Los cambios que se efectúan en una organización no se reflejan de inmediato en Detective.

Para la mayoría de los cambios, como la inclusión y eliminación de cuentas de la organización, Detective tarda hasta una hora en recibir la notificación.

Los cambios que se producen en la cuenta de administrador de Detective designada en Organizations tardan menos tiempo en reflejarse.