本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
管理账户的最佳实践
请遵循以下建议，来帮助保护 AWS Organizations中管理账户的安全。这些建议假定您还遵守仅将根用户用于真正需要它的任务的最佳实践。
主题
限制谁有权访问管理账户
管理账户是所有上述管理任务的关键，例如账户管理、政策、与其他 AWS 服务的集成、整合账单等。因此，您应限定和限制管理账户的访问权限，仅允许那些需要相关权限以对组织进行更改的管理员用户使用。
检查并跟踪谁有访问权限
为确保您保持对管理账户的访问权限，请定期检查您企业中有权访问与管理账户关联的电子邮件地址、密码、MFA 和电话号码的人员。使您的审查与现有业务流程保持一致。每月或每季度对这些信息进行一次审查，以确认只有正确的人才能访问。确保恢复或重置对根用户凭证的访问权限的过程不依赖于任何特定个人来完成。所有流程都应能解决人员不可用的可能情况。
仅将管理账户用于以下任务 require 管理账户
我们建议您将管理账户及其用户和角色仅用于必须由该账户执行的任务。将所有 AWS 资源存储在组织 AWS 账户 中的其他资源中，并防止它们进入管理账户。将资源保留在其他账户中的一个重要原因是，Organizations 服务控制策略（SCP）无法限制管理账户中的任何用户或角色。将资源与管理账户分离还有助于您了解发票上的费用。
有关必须从管理账户调用的任务列表，请参阅只能从组织的管理账户调用的操作。
避免将工作负载部署到组织的管理账户中
组织的管理账户中可以执行特权操作，SCP 不适用于管理账户。因此，管理账户中包含的云资源和数据应仅限必须在管理账户中管理的云资源和数据。
使用 SCP 防止账户无意中注销和关闭
成员账户可能会离开您的组织或自行关闭，这可能会中断治理、计费和安全控制。我们建议您在组织的根目录中附上拒绝organizations:LeaveOrganization和account:CloseAccount操作的 SCP，以防止成员账户在未经管理账户或授权管理员批准的情况下执行这些操作。
AWS Organizations 2026 年 7 月 10 日之后通过 AWS 管理控制台创建的组织将在根目录下自动收到此 SCP。如果您使用 AWS 命令行界面 (AWS CLI)、 AWS SDK 或 CloudFormation，或者您的组织是在此日期之前创建的，则必须手动创建并附加此 SCP。有关策略示例和有关这些控制的更多信息，请参阅中的默认安全控件 AWS Organizations。有关配置 SCP 的说明，请参阅启用策略类型使用创建组织政策 AWS Organizations、和。将组织策略附加到 AWS Organizations
将责任委托给非管理账户以实现去中心化
我们建议尽可能将责任和服务委托给非管理账户。为团队自己的账户提供无需访问管理账户，即可满足组织需求所需的权限。此外，您可以为支持此功能的服务（例如 AWS Service Catalog 在组织内共享软件或 CloudFormation StackSets 创作和部署堆栈）注册多个委派管理员。
有关更多信息，请参阅安全参考架构、使用多个账户组织您的 AWS 环境，以及AWS 服务 你可以和它一起使用 AWS Organizations有关将成员账户注册为各种 AWS 服务的委托管理员的建议。
有关设置委托管理员的更多信息，请参阅 为 AWS 账户管理启用委托管理员账户 和 的委派管理员 AWS Organizations。
