本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 关键变更
<a name="key-changes-lz-v4"></a>

**注意**  
 随着新版本的 AWS Control Tower，“已注册” 和 “已注册” 的定义发生了变化。当您的上面启用 account/OU 了任何 AWS Control Tower 资源（例如控制或基准）时，它将被视为受管控的资源。该定义将不再受`AWSControlTowerBaseline`基线的存在所驱动。
 Service-Linked 角色将在所有 landing zone 版本中保留，并且在 OU 变为 “未注册” 状态时不再被删除 
 Service-Linked 只有在 landing zone 停用后，客户才能手动删除角色 

**从 3.3 或更早版本升级到 4.0 版**  
 不要在版本升级过程中禁用服务集成 (AWS Config, SecurityRoles)。在 landing zone 版本 3.3 及更早版本 SecurityRoles 中， AWS Config 并且始终隐式启用。4.0 版本首次将这些集成视为可配置选项。成功升级到版本 4.0 后，您可以根据需要禁用服务集成。
+  **Pre-requisite 对于 Landing Zone 4.0：**通过 API 升级到版本 4.0 时，请确保`AWSControlTowerCloudTrailRole`服务角色使用新的托管策略`AWSControlTowerCloudTrailRolePolicy`而不是现有的内联策略。如[文档](https://docs.aws.amazon.com/controltower/latest/userguide/access-control-managing-permissions.html#AWSControlTowerCloudTrailRolePolicy)中所述，分离当前内联策略并附加新的托管策略。
+  land@@ **ing zone API 中的可选 Manifest：**Manifest 字段现在是可选的。客户无需任何服务集成即可创建着陆区。对已经在使用清单字段的现有客户没有影响。
+  **可选组织结构：**AWS Control Tower 不再强制或管理安全 OU 的创建，因此客户可以定义和管理自己的组织结构。但是，AWS Control Tower 将要求为每个 AWS 服务集成配置的所有账户都位于同一个父 OU 下。对于已经设置 AWS Control Tower 并拥有安全 OU 的客户，这不会受到任何影响。AWS Control Tower 会自动部署在安全 OU 中管理服务集成账户所需的资源和控制措施。例如，启用 AWS Config 集成后，将在所有[服务集成账户](special-accounts.md)中启用 AWS Config 记录。AWS Control Tower 基准和 AWS Config 基准不适用于安全 OU 和服务集成账户。要更改服务集成，请更新 landing zone 设置。
**注意**  
 AWS Control Tower 着陆区 4.0 的组织结构设置与之前的着陆区版本相比发生了变化。AWS Control Tower 将不再创建指定的安全 OU。拥有服务集成账户的 OU 将成为指定的安全 OU。
 如果成员账户进入每个集成的账户所在的 OU，则无论自动注册是开启还是关闭，对该 OU 启用的控制都会被移动。

   **安全 OU 的基准状态：**AWS Control Tower AWS Config 基准和基准不能应用于安全 OU。安全 OU 将这些基准的基准状态显示为 “不适用”。这种状态是预料之中的。 BackupBaseline 可以应用于安全 OU。

   AWS Control Tower 通过着陆区而不是通过 OU-level 基准来管理服务集成账户。如果服务集成账户的基准状态显示为 “未启用”，且关联的服务集成被禁用，则 AWS Control Tower 将不再管理该账户。

   安全 OU 中未被指定为服务集成账户的账户不会获得基准资源。要管理这些账户，请将其移至托管 OU 并扩大管控范围。

   **服务集成账户的 IAM 身份中心权限集：**AWS Control Tower 为日志账户和账户配置 IAM 身份中心权限集。 SecurityRoles AWS Control Tower 不为配置账户或备份账户预配置权限集。要通过 IAM 身份中心访问 Config 或 Backup 账户，请使用 AWS Control Tower 部署的 IAM 身份中心资源手动创建权限集。
+  **漂移通知：**AWS Control Tower 将停止向未`AWSControlTowerBaseline`启用该功能的着陆区 4.0 上的所有客户向 SNS 主题发送漂移通知，而是开始向管理账户发送漂移通知。 EventBridge 要查看示例事件和有关如何接收漂移通知的指南 EventBridge，请查看[本指南](https://docs.aws.amazon.com/controltower/latest/userguide/governance-drift.html)。
+  **可选服务集成：**您现在可以进行 enable/disable 所有 AWS Control Tower 集成，包括 AWS Config AWS CloudTrail SecurityRoles、和。 AWS Backup现在，这些集成在 API 中还具有可选的必填`enabled`标志。现在，可能适用于您的 landing zone 或共享账户的基准相互依赖。集成的特定依赖关系是：
  + 启用：
    +  `CentralSecurityRolesBaseline`→ `CentralConfigBaseline` 需要启用 
    +  `IdentityCenterBaseline`→ `CentralSecurityRolesBaseline` 需要启用 
    +  `BackupCentralVaultBaseline`→ `CentralSecurityRolesBaseline` 需要启用 
    +  `BackupAdminBaseline`→ `CentralSecurityRolesBaseline` 需要启用 
    +  `LogArchiveBaseline`→ 独立（无依赖关系） 
    +  `CentralConfigBaseline`→ 独立（无依赖关系） 
  + 禁用：
    +  `CentralConfigBaseline`只有先禁用`CentralSecurityRolesBaseline`、`IdentityCenterBaseline`、`BackupAdminBaseline`和`BackupCentralVaultBaseline`基准时才能禁用。
    +  `CentralSecurityRolesBaseline`只有在先禁用`BackupAdminBaseline`和`BackupCentralVaultBaseline`基准时才能禁用。`IdentityCenterBaseline`
    +  `IdentityCenterBaseline`可以独立禁用。
    +  `BackupAdminBaseline`并且可以`BackupCentralVaultBaseline`独立禁用基线 
    +  `LogArchiveBaseline`可以独立禁用 
**的范围 AWS Config 服务集成支持**  
 在 landing zone 级别启用 AWS Config 服务集成仅会将 Config 录制资源部署到服务集成账户。要将 AWS Config 资源（Config Recorder、Delivery Channel）部署到成员账户，请分别在每个托管 OU 上启用 AWS Config 基准。  
 在着陆区级别启用 Config 集成是在 OU 上启用 Config 基准的先决条件。仅靠着陆区域级别的设置并不能将 Config 资源部署到成员账户。  
 有关更多信息，请参阅 [AWS Config 更新](config-updates-v4.md)。
**CentralizedLogging 4.0 版本中的行为更改**  
 在 lan CentralizedLogging ding zone 3.3 及更早版本中，禁用会 CloudTrail 将组织切换为关闭并保留所有已部署的资源。在版本 4.0 中，禁用 CentralizedLogging 会从日志帐户中删除所有关联的资源。这些资源包括 Config Recorder、交付渠道和 CloudTrail-related 堆栈实例。禁用后，AWS Control Tower 将不再管理该日志账户。  
 要恢复对日志账户的管理，请重新启用该账户 CentralizedLogging 或将该账户移至托管 OU 并延长管控期。