本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

决定在哪里部署每个堆栈

这三个模板将使用以下名称进行引用，并包含以下资源：

管理员堆栈必须在单个账户和单个区域中部署一次。必须将其部署到您已配置为组织中 Security Hub 调查结果的聚合目标的账户和区域。如果您希望使用操作日志功能监控管理事件，则必须在组织的管理账户或委派管理员账户中部署管理员堆栈。

该解决方案根据 Security Hub 的调查结果运行，因此，如果未将该账户或区域配置为汇总安全中心管理员账户和区域中的调查结果，则它将无法对来自特定账户和地区的调查结果进行操作。

例如，一个组织拥有在区域内运营的账户us-west-2，us-east-1而该组织的账户在区域中111111111111作为 Security Hub 的委托管理员us-east-1。帐户222222222222，并且333333333333必须是委派管理员帐户的 Security Hub 成员帐户111111111111。必须将所有三个帐户配置为从us-west-2到汇总调查结果us-east-1。必须将管理员堆栈部署到帐号111111111111中us-east-1。

有关查找聚合的更多详细信息，请参阅 Security Hub 委托管理员账户和跨区域聚合的文档。

管理员堆栈必须先完成部署，然后才能部署成员堆栈，这样才能建立从成员账户到中心账户的信任关系。

成员堆栈必须部署到您希望修复调查结果的每个账户和区域。这可能包括您之前在其中部署 ASR 管理员堆栈的 Security Hub 委托管理员帐户。自动化文档必须在成员帐户中执行，才能使用免费套餐进行 SSM Automation。

使用前面的示例，如果要修复所有账户和区域的调查结果，则必须将成员堆栈部署到所有三个账户（111111111111222222222222、和333333333333）以及两个区域（us-east-1和us-west-2）。

成员角色堆栈必须部署到每个账户，但它包含只能为每个账户部署一次的全球资源（IAM 角色）。在哪个区域部署成员角色堆栈并不重要，因此为简单起见，将成员角色堆栈部署到部署管理堆栈的同一区域。

使用前面的示例，将成员角色堆栈部署到中的所有三个账户（111111111111222222222222、和333333333333）us-east-1。

决定如何部署每个堆栈

部署堆栈的选项有

StackSets 使用服务管理权限是最方便的，因为它们不需要部署您自己的角色，并且可以自动部署到组织中的新帐户。不幸的是，此方法不支持嵌套堆栈，在管理堆栈和成员堆栈中均使用。唯一可以通过这种方式部署的堆栈是成员角色堆栈。

请注意，部署到整个组织时，不包括组织管理帐户，因此，如果您想修复组织管理帐户中的调查结果，则必须单独部署到该帐户。

成员堆栈必须部署到每个账户和区域，但不能使用 StackSets 具有服务管理权限的成员堆栈进行部署，因为它包含嵌套堆栈。使用 StackSets 自管理权限部署此堆栈。

管理员堆栈仅部署一次，因此可以将其部署为普通 CloudFormation 堆栈或 StackSet 具有自管理权限的单个账户和区域中。

整合的控件调查发现

可以配置组织中的帐户，启用或关闭 Security Hub 的合并控制结果功能。请参阅 AWS 安全中心用户指南中的综合控制结果。

中国部署

该解决方案确实支持在中国区域进行部署，但是您必须使用以下启动按钮才能在中国区域进行一键部署，而不是使用本指南其他部分中提供的启动按钮。如果您在中国区域进行部署，则使用本指南后续章节中提供的 “启动解决方案” 按钮将不起作用。您仍然可以从任何 S3 存储桶链接下载模板，并通过上传模板文件来部署堆栈。

GovCloud （美国）部署

该解决方案确实支持在 GovCloud （美国）地区部署，但是您必须使用以下启动按钮才能在 GovCloud （美国）地区进行一键部署，而不是本指南其他部分中提供的启动按钮。如果您在 GovCloud （美国）地区进行部署，则使用本指南后续章节中提供的 “启动解决方案” 按钮将不起作用。您仍然可以从任何 S3 存储桶链接下载模板，并通过上传模板文件来部署堆栈。