本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
基准的类型
AWS Control Tower 中的基准是您可以应用于目标的一组资源和特定配置。最常见的基准目标可能是组织单位（OU）。例如，您可以启用一个基准，选择一个 OU 作为目标，将该 OU 注册到 AWS Control Tower。
在着陆区域设置期间，某些基准可能会在共享帐户上自动启用。根据您的登录区设置和配置，可能会启用和更新某些基准。AWS Control Tower 按照基准指定的方式创建资源并将其部署到目标。
当您在目标上启用基准时，该基准将表示为 AWS 资源，称为EnabledBaseline资源。
AWS Control Tower 一般包括以下两种基准：
-
可以在 OU 上启用的基准。
-
在着陆区设置期间，可以在共享账户上启用的基准。
适用于 OU 级别的基准类型
注意
只有适用于 OU 级别的基准才能通过 API 直接启用。EnableBaseline
-
名称：
AWSControlTowerBaseline描述：该基准为目标 OU 中的成员帐户设置了资源和控制，这是合规性监控、审计、安全监控以及访问管理（可选）所必需的。当您在 AWS 控制塔中注册 OU 时，此基准将启用。
先决条件：必须在 AWS 控制塔着陆区启用 AWS Config 集成。
注意事项：此基准保留了登录区区域拒绝控件的设置。换句话说，如果在登录区级别不允许使用某个区域，则在调用
EnableBaselineAPI 注册一个 OU 时，该 OU 不允许使用该区域。注意
OU-level 区域拒绝控制无法允许着陆区拒绝控制区域不允许的区域。
有关更多信息，请参阅 AWS Organizations 文档中的 SCP 如何使用拒绝。
建议：建议您在调用 OU 的
EnableBaselineAPI 之前，先确认目标 OU 可能运行工作负载的区域，并根据登录区区域拒绝控件检查结果，否则您可能会无法访问某些区域的资源。 -
名称：
ConfigBaseline描述：该基准为启用侦探控制所需的目标 OU 中的成员账户设置了 AWS Config 相关资源。设置的资源是资源的 AWSControlTowerBaseline子集。
先决条件：必须在 AWS 控制塔着陆区启用 AWS Config 集成。
注意事项：该基线不保留着陆区的设置区域拒绝控制。区域拒绝控制不会作为启用的一部分启用 ConfigBaseline。
限制： AWSControlTowerBaseline 并且 ConfigBaseline 不能在同一 OU 上启用。OU 上只允许使用其中一个。
ConfigBaseline “未启用” 状态
如果您的 OU 已
AWSControlTowerBaseline启用，则ConfigBaseline状态显示为 “未启用”。这是预期的行为。AWSControlTowerBaseline包括 AWS Config 功能。您无需在已有的 OConfigBaselineU 上单独启用AWSControlTowerBaseline。 -
名称：
BackupBaseline描述：此基准为目标 OU 中的成员账户设置资源和控件。这些是必需的，以便与的集成 AWS Backup 可以自动备份数据 AWS 服务，并集中管理您的备份策略。
先决条件：
必须在 AWS 控制塔着陆区启用 AWS 备份集成。
必须在 AWS 控制塔着陆区启用 AWS 配置集成。
AWSControlTowerBaseline必须在目标 OU 上启用。
注意事项：在目标 OU 上启用
BackupBaseline之前，请确保已在目标 OU 上启用AWSControlTowerBaseline。也就是说，必须在 AWS Control Tower 中注册目标 OU。-
您可以选择在创建 AWS 控制塔着陆区的 AWS Backup 过程中激活，也可以在着陆区更新过程中激活。
-
BackupBaseline与登录区 3.1 及更高版本兼容。 -
BackupBaseline不应用于管理账户。
在设置着陆区期间可能应用于共享账户的基准类型
作为着陆区设置和更新过程的一部分，AWS Control Tower 在共享账户上启用某些基准。当您更改登录区设置时，登录区的基准可能会发生变化。例如，如果您选择启用 IAM Identity Center，AWS Control Tower 可以在您的登录区启用最新版本的 IdentityCenterBaseline 基准。
您可以通过 ListEnabledBaselines API 调用查看您的登录区已启用的基准。
注意
从着陆区版本 4.0 开始，取而代之 AuditBaseline 的是两个不同的基线：CentralSecurityRolesBaseline和。CentralConfigBaseline
-
名称：
CentralConfigBaseline描述：使用 AWS Config 为组织内部的合规性监控和审计设置中央资源。
-
名称：
CentralSecurityRolesBaseline描述：为组织内的安全监控设置中央资源。
-
名称：
AuditBaseline描述：设置资源以监控组织中账户的安全性和合规性。
-
名称：
LogArchiveBaseline描述：设置一个中央存储库，用于存储组织中账户的 API 活动和资源配置日志。
-
名称：
IdentityCenterBaseline描述：为 IAM Identity Center 设置共享资源，从而为
AWSControlTowerBaseline设置账户的 Identity Center 访问权限做好准备。注意事项：只有当您在最初设置登录区时选择 IAM Identity Center 作为身份提供者，或者随后更改登录区设置为登录区启用 IAM Identity Center 时，此基准才有效。如果您使用的是其他身份提供者，则将无法启用此基准。
-
名称：
BackupCentralVaultBaseline描述：在组织中设置中央 AWS Backup 保管库。
-
名称：
BackupAdminBaseline描述：设置委托管理员和 AWS Backup 审计经理。
已启用的基准和成员账户
当您在一个 OU 上启用基准时，该 OU 的成员账户便会继承该配置。由于这种继承关系，我们会在提及账户时将其称为启用子项的基准。应用于 OU 的基准称为启用父项的基准。启用父项的基准控制其启用子项的基准的配置。这类似于在 OU 上启用控件后，将控件应用于 OU 中的每个账户。
查看账户的基准状态
AWS Control Tower 不允许您直接将基准应用于目标账户。但是，您可以通过每个成员账户继承的启用子项的基准，来跟踪这些账户的启用和偏移状态。要查看您的账户状态，可以调用带 includeChildren 功能标志的 ListEnabledBaselines API。
禁用账户的基准
AWS Control Tower 不允许您禁用与家长启用基准关联的启用子项的基准。如果启用子项的基准处于继承偏移状态且不再链接到已启用父项的基线，则可以将其禁用。
基准和版本控制默认设置
如果您的 AWS Control Tower 登录区已经设置完毕，然后您选择启用登录区基准，那么 AWS Control Tower 会启用与您的登录区版本兼容的最新版本的基准。如果您选择为尚未在 AWS Control Tower 中注册的 OU 启用基准，AWS Control Tower 会自动为该 OU 提供最新兼容版本的基准。
