本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

組織管理帳戶

Org Management 帳戶主要用於管理組織中所有帳戶的基礎隱私權控制的資源組態偏離，這些帳戶由 管理 AWS Organizations。此帳戶也是您可以一致地部署新成員帳戶的地方，具有許多相同的安全和隱私權控制。如需此帳戶的詳細資訊，請參閱 AWS 安全參考架構 (AWS SRA)。下圖說明組織管理帳戶中設定 AWS 的安全性和隱私權服務。

AWS Artifact

AWS Artifact 可透過隨需下載 AWS 安全與合規文件，協助您進行稽核。如需如何在安全內容中使用此服務的詳細資訊，請參閱 AWS 安全參考架構。

這 AWS 服務 可協助您了解繼承自 AWS 的控制項，並判斷要在環境中實作哪些控制項。 AWS Artifact 提供 AWS 安全和合規報告的存取權，例如系統和組織控制 (SOC) 報告和支付卡產業 (PCI) 報告。它也提供跨地理位置和合規垂直機構的認證存取權，以驗證 AWS 控制的實作和操作有效性。使用 AWS Artifact，您可以將 AWS 稽核成品提供給稽核人員或監管機構，作為 AWS 安全和隱私權控制的證據。下列報告可能有助於示範 AWS 隱私權控制的有效性：

AWS Control Tower

AWS Control Tower 可協助您設定和管理遵循規範性安全建議實務的 AWS 多帳戶環境。如需如何在安全內容中使用此服務的詳細資訊，請參閱 AWS 安全參考架構。

在 中 AWS Control Tower，您也可以自動化部署許多主動、預防性和偵測性控制項，也稱為護欄，這些控制項符合您的資料隱私權要求，特別是針對資料落地和主權。例如，您可以指定將資料傳輸限制為僅核准 的護欄 AWS 區域。如需更精細的控制，您可以從超過 17 個旨在控制資料駐留的護欄中進行選擇，例如不允許 Amazon Virtual Private Network (VPN) 連線、不允許 Amazon VPC 執行個體的網際網路存取，以及 AWS 根據請求拒絕對 的存取 AWS 區域。這些護欄由多個勾 AWS CloudFormation 點、服務控制政策和 AWS Config 規則組成，可統一部署到整個組織中。如需詳細資訊，請參閱 AWS Control Tower 文件中的增強資料駐留保護的控制項。

對於資料主權， AWS Control Tower 目前提供預防性控制，例如需要將連接的 Amazon EBS 磁碟區設定為加密靜態資料，以及需要 AWS KMS 金鑰政策才能擁有限制 AWS KMS 授予建立的陳述式 AWS 服務。主權控制比資料駐留控制更廣泛。它們有助於防止可能違反資料駐留、精細存取限制、加密和彈性要求的動作。如需詳細資訊，請參閱 AWS Control Tower 文件中的協助數位主權的預防性控制。

如果您需要在資料駐留和主權控制之外部署隱私權護欄， AWS Control Tower 包含許多強制性控制。當您設定登陸區域時，這些控制項預設會跨每個 OU 部署。其中許多都是旨在保護日誌的預防性控制，例如不允許刪除日誌封存和啟用 CloudTrail 日誌檔案的完整性驗證。

AWS Control Tower 也與 整合 AWS Security Hub ，以提供偵測性控制。這些控制項稱為服務受管標準： AWS Control Tower。您可以使用這些控制項來監控隱私權支援控制項的組態偏離，例如 Amazon Relational Database Service (Amazon RDS) 資料庫執行個體的靜態加密。

AWS Organizations

AWS PRA 使用 AWS Organizations 來集中管理架構中的所有帳戶。如需詳細資訊，請參閱本指南中的 AWS Organizations 和專用帳戶結構。在 中 AWS Organizations，您可以使用服務控制政策 SCPs) 和管理政策來協助保護個人資料和隱私權。

服務控制政策 (SCP)

服務控制政策 SCPs) 是一種組織政策，可用來管理組織中的許可。它們可集中控制目標帳戶、組織單位 AWS Identity and Access Management (OU) 或整個組織中 (IAM) 角色和使用者的最大可用許可。您可以從組織管理帳戶建立和套用 SCPs。

您可以使用 AWS Control Tower 在您的 帳戶間統一部署 SCPs。如需可套用之資料駐留控制的詳細資訊 AWS Control Tower，請參閱本指南AWS Control Tower中的 。 AWS Control Tower 包含預防性 SCPs的完整補充。如果您的組織中目前 AWS Control Tower 未使用 ，您也可以手動部署這些控制項。

使用 SCPs來處理資料落地要求

通常透過在特定地理區域內存放和處理資料來管理個人資料駐留要求。為了確認符合司法管轄區的唯一資料落地要求，我們建議您與法規團隊緊密合作，以確認您的要求。確定這些要求後，有一些 AWS 基本的隱私權控制可以協助支援。例如，您可以使用 SCPs 來限制 AWS 區域 可用於處理和存放資料的 SCP。如需範例政策，請參閱本指南限制跨 的資料傳輸 AWS 區域中的 。

使用 SCPs 限制高風險 API 呼叫

請務必了解 AWS 負責哪些安全與隱私權控制，以及您負責哪些安全與隱私權控制。例如，您必須負責對您使用的 進行 API AWS 服務 呼叫的結果。您也必須負責了解哪些呼叫可能會導致安全性或隱私權狀態變更。如果您擔心維護特定安全性和隱私權狀態，您可以啟用拒絕特定 API 呼叫SCPs。這些 API 呼叫可能會有影響，例如意外揭露個人資料或違反特定跨邊界資料傳輸。例如，您可能想要禁止下列 API 呼叫：

管理政策

中的管理政策 AWS Organizations 可協助您集中設定和管理 AWS 服務 及其功能。您選擇的管理政策類型會決定政策如何影響繼承它們OUs 和帳戶。標籤政策是 中與隱私權 AWS Organizations 直接相關的管理政策範例。

使用標籤政策

標籤是關鍵值對，可協助您管理、識別、組織、搜尋和篩選 AWS 資源。套用可區分組織中處理個人資料之資源的標籤會很有用。使用標籤可支援本指南中的許多隱私權解決方案。例如，您可能想要套用標籤，指出正在資源中處理或存放之資料的一般資料分類。您可以撰寫屬性型存取控制 (ABAC) 政策，限制對具有特定標籤或一組標籤的資源的存取。例如，您的政策可能會指定 SysAdmin角色無法存取具有 dataclassification:4標籤的資源。如需詳細資訊和教學課程，請參閱 IAM 文件中的根據標籤定義存取 AWS 資源的許可。此外，如果您的組織使用 AWS Backup 在許多帳戶中的備份之間廣泛套用資料保留政策，您可以套用將資源置於該備份政策範圍內的標籤。

標籤政策可協助您在整個組織中維持一致的標籤。在標籤政策中，您可以指定在資源加上標籤時套用的規則。例如，您可以要求資源加上特定金鑰的標籤，例如 DataClassification或 DataSteward，而且您可以為金鑰指定有效的大小寫處理方式或值。您也可以使用強制執行來防止不合規標記請求完成。

使用標籤做為隱私權控制策略的核心元件時，請考慮下列事項：