本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 AWS Network Security Manager

使用 AWS Network Security Manager，您可以在兩個組織模型中工作。直接在單一帳戶中使用它，或搭配 AWS Organizations 使用它來管理多個帳戶的保護。設定步驟取決於您選擇的模型。

選擇您的組織模型

從下列組織模型中選擇：

設定 供單一帳戶使用

若要在單一帳戶中使用 AWS Network Security Manager，請建立具有適當許可的 IAM 身分，並直接開始使用服務。您不需要建立管理員帳戶。 AWS Network Security Manager 會在背景的帳戶中自動建立服務連結角色。跳至 使用 AWS Network Security Manager 許可建立 IAM 身分。

設定 以搭配 AWS Organizations 使用多帳戶

若要管理多個帳戶的保護，請建立所需的 AWS Organizations 成員資格和組態。

建立 AWS Network Security Manager 管理員帳戶

此步驟僅適用於多帳戶模式。只有組織的管理帳戶可以建立 AWS Network Security Manager 管理員帳戶。

完成 Organizations 設定後，請將您的帳戶註冊為 AWS Network Security Manager 管理員。您可以從主控台或 AWS 命令列界面 (AWS CLI) 執行此操作。

當您建立管理員帳戶時， AWS Network Security Manager 會自動在您組織的所有帳戶中建立服務連結角色。透過此角色， AWS Network Security Manager 會探索資源並管理成員帳戶中的保護。

使用 AWS Network Security Manager，您可以有多個管理員來管理組織的防火牆資源。如果您想要在組織中使用多個管理員，您可以將管理範圍條件套用至每個管理員，以定義他們可以管理的資源。這可讓您彈性地在組織內擁有不同的管理員角色，並協助您維持最低權限存取的原則。例如，一個管理員可以管理一組組織單位 OUs)。另一個管理員只能管理特定的政策類型。

如需每個組織可擁有的管理員數量上限，請參閱 AWS Network Security Manager 配額。

使用主控台建立管理員帳戶

使用 CLI AWS 建立管理員帳戶

呼叫 PutAdminAccount 操作。您必須提供優先順序值 (1 到 10)。

下列 AWS CLI 範例會將 帳戶註冊為優先順序為 1 的 AWS Network Security Manager 管理員：

aws network-security-manager put-admin-account \
    --account-id 123456789012 \
    --priority 1

您可以指定多個管理員帳戶，每個帳戶具有不同的優先順序。或者，您也可以提供 adminScope 參數，將每個管理員限制在特定帳戶、OUs 或防火牆類型。

使用主控台移除管理員帳戶

使用 AWS Network Security Manager 許可建立 IAM 身分

若要使用 AWS Network Security Manager，您需要具有呼叫 AWS Network Security Manager 操作許可的 IAM 身分 （使用者或角色）。IAM 動作使用字首 network-security-manager。

下列範例 IAM 政策包含三個陳述式。第一個陳述式授予所有 AWS Network Security Manager 操作的完整存取權。第二個陳述式會授予 AWS Network Security Manager 所需的其他 AWS Organizations 和 AWS WAF 許可。 AWS Network Security Manager 會使用這些許可來識別組織中的帳戶和組織單位 (OUs)，並列出可用的 WAF 規則群組和受管產品。這些許可也可讓 AWS Network Security Manager 啟用受信任存取，並在 Organizations 中 AWS 註冊委派管理員。第三個陳述式會授予 AWS Network Security Manager 建立其服務連結角色所需的iam:CreateServiceLinkedRole許可，該角色需要用於單一帳戶和多帳戶。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "network-security-manager:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAccounts",
                "organizations:ListRoots",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListAccountsForParent",
                "organizations:EnableAWSServiceAccess",
                "organizations:RegisterDelegatedAdministrator",
                "wafv2:ListRuleGroups",
                "wafv2:ListAvailableManagedRuleGroups",
                "wafv2:DescribeAllManagedProducts"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*"
        }
    ]
}

針對生產用途，建議您僅授予所需的最低許可。如需詳細資訊，請參閱AWS Network Security Manager 的身分和存取管理。

註冊 AWS 帳戶

若要開始使用 AWS，您需要 AWS 帳戶。如需建立 的相關資訊 AWS 帳戶，請參閱《 AWS 帳戶管理 參考指南》中的 入門 AWS 帳戶。

在預設停用的區域中使用 AWS Network Security Manager

若要在預設停用的區域中使用 AWS Network Security Manager，您必須為組織的管理帳戶和 AWS Network Security Manager 管理員帳戶啟用 區域。如需預設停用的區域及其啟用方式的相關資訊，請參閱《 AWS 一般參考》中的管理 AWS 區域。

啟用已停用的區域

對於 Organizations 管理帳戶和 AWS Network Security Manager 管理員帳戶，請遵循 AWS 一般參考中啟用區域的指導。