## 账号组账号组是一组成员的集合。在一个企业组织中，管理账号可以选择所有或部分成员形成一个管理单元进行集中的合规管理，这个管理单元就是账号组。从资源维度上讲，账号组是多个成员中的资源汇聚而成的资源池。管理账号可以查看账号组中所有成员中的资源列表、资源详情、资源配置时间线、资源合规时间线和关联资源，还可以在账号组中新建规则。这些规则将对该账号组中所有成员下的资源生效，进行持续地合规评估。 #### ## 应用场景 **企业组织管理账号或配置审计代理管理员账号**可以将企业组织中的所有或部分成员账号加入到同一个账号组中。账号组作为一个跨账号合规管理的管理单元，对云上多个业务和云账号的企业用户实现了集中的合规管理和数据采集。账号组的具体应用场景如下： |应用场景 |场景说明 | |---|---| |跨账号查看全局资源 |企业组织管理账号或配置审计代理管理员账号可以查看账号组内所有成员账号的资源，还可以在资源列表筛选或搜索目标资源，并查看资源的详情和配置时间线。 | |跨账号设置合规基线 |企业组织管理账号或配置审计代理管理员账号可以在账号组中新建规则。这些规则对账号组内所有成员账号的资源生效，且成员账号不能对其执行修改和删除操作，实现企业对多个成员账号强制设置统一的合规基线 | |跨账号查看合规视图 |企业组织管理账号或配置审计代理管理员账号可以查看每个成员账号中某条规则对资源的合规检查结果，也可以查看某条规则对多个成员账号中所有资源的合规检查结果，便于对多业务、多账号进行集中合规管理 | |跨账号转存资源数据|新建账号组之后，企业组织管理账号或配置审计代理管理员账号同时具备了成员账号的部分配置审计权限，企业组织管理账号或配置审计代理管理员账号可以设置统一的数据投递，将所有成员账号的资源配置历史数据投递到企业统一用于存储IT配置数据的企业组织的管理账号中，作为企业全局的数据管理中心 |\ | | | |跨账号发送资源事件 |企业组织管理账号或配置审计代理管理员账号可以设置将所有成员账号中的资源变更和资源不合规事件统一发送到简单消息收发服务SNS的主题中 | #### ## 企业组织中成员账号变更对配置审计的影响企业组织中成员账号变更，对配置审计的影响如下表所示。 |**操作** |**说明** | |---|---| |新加入成员账号 |配置审计中的全局账号组感知该变更。企业组织中新加入的成员账号自动加入到全局账号组。配置审计中的自定义账号组不感知该变更。企业组织中新加入的成员账号不会自动加入到自定义账号组，需要企业管理账号手动添加。 | |修改成员账号归属的组织单元 |配置审计重的组织单元账号组感知该变更。组织单元中新加入的成员账号自动加入到相应组织单元账号组。配置审计中的全局账号组和自定义账号组不感知该变更。 | |移除成员账号 |配置审计感知该变更。当您将某个成员账号移除企业组织时，企业组织管理账号或配置审计代理管理员账号失去对该成员账号的管理权限（也即企业组织失去对该成员账号的管理权限），该成员账号自动从所有账号组移除。 | #### ## 成员账号被加入账号组前后和被移除账号组的功能变化成员账号被加入账号组前后和被移除账号组的功能变化，如下表所示。 |**分类** |**说明** | |---|---| |未被加入任何账号组 |作为独立云账号使用配置审计。 | |被加入某个账号组 |1. 成员账号已有的单账号规则和已设置的单账号投递配置会被保留。|\ | |2. 同时，成员账号将遵从企业管理账号的设置。|\ | | * 成员账号在资源、规则、投递菜单，能看到当前账号和归属账号组页签。|\ | | * 成员账号可以查看自己的资源，以及企业管理账号在账号组内新建的多账号规则。|\ | | * 成员账号不能修改多账号规则，且查看规则与详情时，只能看到自己的资源。|\ | | * 成员账号不能修改多账号投递。|\ | | * 账号组中已有的多账号规则自动对成员账号生效。|\ | |3. 注意：成员所在企业组织开启组织配置记录器的时候，则系统就会在每个成员下自动新建配置审计服务相关角色，比成员加入账号组要早。 | |被移除某个账号组 |1. 成员账号的配置审计服务关联角色被保留。|\ | |2. 成员账号作为独立的云账号使用配置审计服务，不受原有企业管理账号的管理。|\ | | * 成员账号在资源、规则、投递菜单，不再看到当前账号和曾经归属的账号组页签。|\ | | * 账号组中已有的多账号规则、投递对成员账号失效。成员账号自己新建的单账号规则和投递被保留。 |