本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 準備您的 AWS 環境
<a name="prepare-environment"></a>

在實作任何漏洞管理工具之前，請確定您的 AWS 環境已架構成支援可擴展的漏洞管理計劃。您 AWS 帳戶 和組織標記政策的結構可以簡化建置可擴展性漏洞管理計畫的程序。

## 開發 AWS 帳戶 結構
<a name="account-structure"></a>

[AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html) 隨著您的業務成長和擴展其 AWS 資源， 有助於集中管理 AWS 環境。中的 AWS Organizations *組織*會將您的 合併 AWS 帳戶 為邏輯群組或*組織單位*，以便您以單一單位管理它們。您可以從 AWS Organizations 稱為管理帳戶的專用*帳戶進行管理*。如需詳細資訊，請參閱 [AWS Organizations 術語與概念](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html)。

建議您在 中管理 AWS 多帳戶環境 AWS Organizations。這有助於建立公司帳戶和資源的完整清查。這個完整的資產庫存是漏洞管理的關鍵層面。應用程式團隊不應使用組織外部的帳戶。

[AWS Control Tower](https://docs.aws.amazon.com/controltower/latest/userguide/what-is-control-tower.html) 可協助您設定和管理 AWS 多帳戶環境，並遵循規範最佳實務。如果您尚未建立多帳戶環境， AWS Control Tower 是很好的起點。

我們建議您使用[AWS 安全參考架構 (AWS SRA)](https://docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/) 中所述的[專用帳戶結構](https://docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/dedicated-accounts.html)和最佳實務。[安全工具帳戶](https://docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/security-tooling.html)應做為安全服務的委派管理員。本指南稍後將提供有關在此帳戶中設定漏洞管理工具的詳細資訊。在[工作負載組織單位 (OU) ](https://docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/application.html)的專用帳戶中託管應用程式。這會為每個應用程式建立強大的工作負載層級隔離和明確的安全界限。如需使用多帳戶方法之設計原則和優點的相關資訊，請參閱[使用多個帳戶組織您的 AWS 環境](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/benefits-of-using-multiple-aws-accounts.html) (AWS 白皮書）。

擁有刻意的帳戶結構，並從專用帳戶集中管理安全服務，是可擴展漏洞管理計畫的關鍵層面。

## 定義、實作和強制執行標籤
<a name="define-implement-and-enforce-tags"></a>

*標籤*是鍵值組，可做為中繼資料來組織您的 AWS 資源。如需詳細資訊，請參閱[標記您的 AWS 資源](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html)。您可以使用標籤來提供業務內容，例如業務單位、應用程式擁有者、環境和成本中心。下表顯示一組範例標籤。


****  

| 金鑰 | 值 | 
| --- | --- | 
| BusinessUnit | HumanResources | 
| CostCenter | CC101 | 
| ApplicationTeam | HumanResourcesTechnology | 
| Environment | 生產 | 

標籤可協助您排定問題清單的優先順序。例如，它可以協助您：
+ 識別負責修補漏洞的資源擁有者
+ 追蹤哪些應用程式或業務單位有大量的調查結果
+ 針對特定資料分類呈報問題清單的嚴重性，例如個人身分識別資訊 (PII) 或支付卡產業 (PCI) 資料
+ 識別環境中的資料類型，例如在較低層級的開發環境中測試資料或生產資料

為了協助您大規模實現有效的標記，請遵循*標記 AWS 資源最佳實務* (AWS 白皮書） 中的[建立標記策略](https://docs.aws.amazon.com/whitepapers/latest/tagging-best-practices/building-your-tagging-strategy.html)中的指示。