本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
将 Security Hub 与 AWS Organizations
要集成 AWS Security Hub 和 AWS Organizations，您可以在 Organizations 中创建组织，然后使用组织管理帐户指定委托的 Security Hub 管理员帐户。这使 Security Hub 成为组织中的可信服务。它还为委托管理员账户启用当前 AWS 区域 中的 Security Hub，并允许委托管理员为成员账户启用 Security Hub，查看成员账户中的数据，并对成员账户执行其他允许的操作。
如果您使用中心配置，则委托管理员还可以创建 Security Hub 配置策略，指定应如何在组织账户中配置 Security Hub 服务、标准和控件。
创建企业
组织是您为整合组织而创建的实体， AWS 账户 以便您可以将其作为一个单位进行管理。
您可以使用控制台创建组织，也可以使用 AWS Organizations 控制台中的命令 AWS CLI 或其中一个命令来创建组织SDKAPIs。有关详细说明，请参阅《AWS Organizations 用户指南》中的创建组织。
您可以使用集中 AWS Organizations 查看和管理组织内的所有帐户。一个组织有一个管理账户以及零个或多个成员账户。您可以将帐户组织成树状的分层结构，根目录位于顶部，组织单位 (OUs) 嵌套在根目录下。每个账户可以直接位于根目录下，也可以放在层次结构OUs中的一个账户中。OU 是特定账户的容器。例如，您可以创建一个财务 OU，其中包括与财务操作相关的所有账户。
选择委托 Security Hub 管理员的建议
如果您在手动邀请流程中拥有管理员帐户，并且正在过渡到使用进行账户管理 AWS Organizations，我们建议将该帐户指定为委托的 Security Hub 管理员。
尽管 Securit APIs y Hub 和控制台允许组织管理帐户成为委托的 Security Hub 管理员，但我们建议选择两个不同的帐户。这是因为有权访问组织管理账户来管理账单的用户可能与需要访问 Security Hub 进行安全管理的用户不同。
我们建议您在所有区域使用同一个委托管理员。如果您选择使用中心配置，Security Hub 会自动在您的主区域和任何关联区域中指定相同的委托管理员。
验证配置委托管理员的权限
要指定和删除委托 Security Hub 管理员账户，组织管理账户必须具有在 Security Hub 中执行 EnableOrganizationAdminAccount 和 DisableOrganizationAdminAccount 操作的权限。Organizations 管理账户还必须拥有 Organizations 的管理权限。
要授予所有必需权限，请将以下 Security Hub 托管策略附加到组织管理账户的IAM委托人：
指定委托管理员
要指定委派的 Security Hub 管理员帐户，您可以使用 Security Hub 控制台、Security Hub API 或 AWS CLI。Security Hub AWS 区域 仅在当前区域设置委托管理员，您必须在其他区域重复该操作。如果您开始使用中心配置，则 Security Hub 会自动在主区域和关联区域中设置相同的委托管理员。
组织管理账户不必启用 Security Hub 即可指定委托 Security Hub 管理员账户。
我们不建议将组织管理账户作为委托 Security Hub 管理员账户。但是，如果您选择了组织管理账户作为 Security Hub 委托管理员，则该管理账户必须启用 Security Hub。如果管理账户未启用 Security Hub，则必须手动为其启用 Security Hub。无法为组织管理账户自动启用 Security Hub。
必须使用以下方法之一指定委托 Security Hub 管理员。在 Organizations 中指定委派的 Security Hub 管理员APIs并不能反映在 Security Hub 中。
选择您的首选方法，然后按照步骤指定委托 Security Hub 管理员账户。
