本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

在多帳戶環境中管理自訂偵測規則

在組織中，委派的 GuardDuty 管理員帳戶會使用組織組態集中管理成員帳戶的自訂偵測規則。管理員宣告每個規則的意圖，GuardDuty 會自動將其套用至成員帳戶，包括稍後加入的帳戶。

組織組態

成員帳戶無法自行啟用、停用或變更自訂偵測規則。如果您嘗試從成員帳戶呼叫單一帳戶關聯操作，GuardDuty 會傳回AccessDeniedException錯誤。管理員會代表成員管理規則。如需委派管理員和成員帳戶的詳細資訊，請參閱在 GuardDuty 中管理多個帳戶。

組織組態會將單一規則連結至一組成員帳戶。它會記錄模式，即即時或乾式執行，其中規則會針對這些帳戶運作。GuardDuty 接著會為每個目標成員帳戶中的規則建立個別關聯。您可以使用包含和排除清單，為所有成員或特定帳戶設定規則。

Console

為組織設定自訂偵測規則

1. 前往 https://console.aws.amazon.com/guardduty/ 開啟 GuardDuty 主控台。

2. 在導覽窗格中，選擇自訂偵測規則。

3. 選擇規則名稱以開啟規則詳細資訊，然後選擇帳戶索引標籤。

4. 選擇組織組態旁的設定。

5. 選取 模式 (即時或乾式執行)，然後選擇要包含或排除的帳戶。

API/CLI

建立組織組態

執行 CreateCustomDetectionRuleOrgConfiguration 為成員帳戶建立規則組態。

更新組織組態

執行 UpdateCustomDetectionRuleOrgConfiguration以修改模式或帳戶範圍。

刪除組織組態

執行 DeleteCustomDetectionRuleOrgConfiguration以移除組織組態。由於規則每個模式可以保留一個組態，因此 會mode選取要移除的組態；另一個則保留在原處。

注意

刪除組織組態不會串聯刪除現有的成員帳戶關聯。規則會在 GuardDuty 已套用規則的成員帳戶中保持啟用狀態。

針對相同的規則執行這兩種模式

規則每個模式最多保留一個組織組態，因此規則只能在下列條件下，同時在即時模式和試轉模式下執行：這兩個組態都必須使用明確包含清單來命名其目標帳戶。

宣告整個組織的組態是其規則的單一快照。當組態完全不命名帳戶，或命名要排除的帳戶時，組態會宣告整個組織。其他模式的組態無法與其共存，並且嘗試建立一個會傳回 ConflictException。若要將整個組織組態移至不同的模式，請更新現有的組態，而不是建立第二個組態。

範例：以乾執行模式將規則套用至所有成員帳戶

下列 AWS CLI 命令會建立組織組態，以每個成員帳戶為目標，包括稍後加入的帳戶。同時省略 --include-account-ids和 以整個組織為--exclude-account-ids目標。

aws guardduty create-custom-detection-rule-org-configuration \
    --rule-id "EXAMPLE_RULE_ID" \
    --mode DRY_RUN

若要將規則移至即時偵測，請使用 更新現有的組態UpdateCustomDetectionRuleOrgConfiguration。

將每個規則套用至整個組織

主控台一次設定一個規則。若要將相同模式套用至整個組織的每個可用規則，請使用 AWS CLI 迴圈規則目錄。同時省略 --include-account-ids和 以每個成員帳戶為--exclude-account-ids目標，包括稍後加入的帳戶。

for RULE in $(aws guardduty list-custom-detection-rules \
    --query 'Rules[].RuleId' --output text); do
    aws guardduty create-custom-detection-rule-org-configuration \
        --rule-id "$RULE" \
        --mode DRY_RUN
done

此迴圈使用 --mode DRY_RUN，因此您可以在任何規則產生問題清單之前測量訊號磁碟區。由於迴圈不會命名帳戶，因此每個組態都會宣告整個組織，並且是其規則的單一快照。當您準備好時，請使用 更新現有的組態，將每個規則移至即時偵測UpdateCustomDetectionRuleOrgConfiguration。使用 再次執行迴圈會--mode LIVE傳回 ConflictException，因為整個組織的幹執行組態已存在。