Relations entre l'administrateur Macie et le compte membre

L'administrateur d'une organisation AWS Organizations peut consulter tous les comptes de l'organisation, y compris les comptes pour lesquels Macie n'est pas activé. L'administrateur d'une organisation basée sur des invitations ne peut consulter que les comptes qu'il ajoute à son inventaire.

Seul un administrateur peut supprimer les résultats des politiques. Si un administrateur crée une règle de suppression, Macie l'applique aux conclusions des politiques pour tous les comptes de l'organisation, sauf si la règle est configurée pour exclure des comptes spécifiques. Si un membre crée une règle de suppression, Macie ne l'applique pas aux conclusions de politique relatives au compte du membre.

Seul le compte propriétaire d'une ressource affectée peut publier les conclusions des politiques relatives à la ressource AWS Security Hub. Les comptes administrateur et membre publient automatiquement sur Amazon les conclusions des politiques relatives à une ressource affectée EventBridge.

Si un administrateur active la découverte automatique des données sensibles ou configure une tâche pour analyser des objets dans des compartiments S3 détenus par un compte membre, Macie stocke les résultats de la découverte de données sensibles dans le référentiel du compte administrateur.

Seul un administrateur peut accéder aux résultats relatifs aux données sensibles produits par la découverte automatique des données sensibles. Un administrateur et un membre peuvent examiner d'autres types de données produites par la découverte automatique de données sensibles pour le compte du membre.

Un membre peut configurer une tâche pour analyser des objets uniquement dans les compartiments S3 détenus par son compte. Un administrateur peut configurer une tâche pour analyser des objets dans des compartiments appartenant à son compte ou à un compte membre. Pour plus d'informations sur la manière dont les quotas sont appliqués et les coûts calculés pour les tâches impliquant plusieurs comptes, consultez. Comprendre les coûts d'utilisation estimés

Seul le compte qui crée une tâche peut accéder aux détails de la tâche. Cela inclut les détails relatifs aux tâches dans l'inventaire des compartiments S3.

Seul le compte qui crée une tâche peut accéder aux données sensibles issues de la tâche, les supprimer ou les publier. Seul un administrateur peut accéder aux données sensibles issues de la découverte automatique des données sensibles, les supprimer ou les publier.

Si une découverte de données sensibles s'applique à un objet S3 détenu par un compte membre, l'administrateur peut être en mesure de récupérer des échantillons de données sensibles signalées par la découverte. Cela dépend de la source de la recherche, ainsi que des paramètres de configuration et des ressources du compte administrateur et du compte membre. Pour plus d'informations, consultez la section Options de configuration pour récupérer des échantillons de données sensibles.

Pour qu'un administrateur puisse suspendre Macie pour son propre compte, il doit d'abord dissocier son compte de tous les comptes des membres.

Pour qu'un administrateur puisse désactiver Macie pour son propre compte, il doit d'abord dissocier son compte de tous les comptes des membres, puis supprimer les associations entre son compte et tous ces comptes. L'administrateur d'une organisation AWS Organizations peut le faire en utilisant le compte de gestion de l'organisation pour désigner un autre compte en tant que compte administrateur.

Pour qu'un membre d'une AWS Organizations organisation puisse désactiver Macie, l'administrateur doit d'abord dissocier le compte du membre de son compte administrateur. Dans une organisation basée sur une invitation, le membre peut dissocier son compte de son compte administrateur, puis désactiver Macie.

L'administrateur d'une organisation AWS Organizations peut supprimer une association avec un compte membre après avoir dissocié le compte de son compte administrateur. Le compte continue d'apparaître dans l'inventaire des comptes de l'administrateur, mais son statut indique qu'il ne s'agit pas d'un compte de membre. Dans une organisation basée sur une invitation, un administrateur et un membre peuvent supprimer une association avec un autre compte après avoir dissocié leur compte de l'autre compte. L'autre compte cesse alors d'apparaître dans l'inventaire de son compte.