Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Comparaison des cibles gérées de manière centralisée et autogérées
Lorsque vous activez la configuration centralisée, l' AWS Security Hub administrateur délégué peut désigner chaque compte d'organisation, chaque unité organisationnelle (UO) et la racine comme étant gérés de manière centralisée ou autogérée. Le type de gestion d'une cible détermine la manière dont vous pouvez spécifier ses paramètres Security Hub.
Pour obtenir des informations générales sur les avantages de la configuration centralisée et son fonctionnement, consultezComprendre la configuration centrale dans Security Hub.
Cette section explique les différences entre une désignation gérée de manière centralisée et une désignation autogérée et explique comment choisir le type de gestion d'un compte, d'une unité d'organisation ou de la racine.
- Autogéré
Le propriétaire d'un compte autogéré, d'une unité d'organisation ou d'un root doit configurer ses paramètres séparément dans chacun Région AWS d'eux. L'administrateur délégué ne peut pas créer de politiques de configuration pour les cibles autogérées.
- Géré de manière centralisée
Seul l'administrateur délégué du Security Hub peut configurer les paramètres des comptes gérés de manière centralisée ou du root dans la région d'origine et les régions associées. OUs Les politiques de configuration peuvent être associées à des comptes gérés de manière centralisée etOUs.
L'administrateur délégué peut changer le statut d'une cible entre autogéré et géré de manière centralisée. Par défaut, tous les comptes et unités d'organisation sont autogérés lorsque vous démarrez la configuration centralisée via le Security HubAPI. Dans la console, le type de gestion dépend de votre première politique de configuration. Les comptes et OUs ceux que vous associez à votre premier contrat sont gérés de manière centralisée. Les autres comptes OUs sont autogérés par défaut.
Si vous associez une politique de configuration à un compte précédemment autogéré, les paramètres de stratégie remplacent la désignation autogérée. Le compte est géré de manière centralisée et adopte les paramètres reflétés dans la politique de configuration.
Si vous remplacez un compte géré de manière centralisée par un compte autogéré, les paramètres précédemment appliqués au compte par le biais d'une politique de configuration restent en place. Par exemple, un compte géré de manière centralisée peut initialement être associé à une politique qui active Security Hub, active AWS Foundational Security Best Practices v1.0.0 et désactive .1. CloudTrail Si vous indiquez ensuite que le compte est autogéré, tous les paramètres restent inchangés. Toutefois, le titulaire du compte peut modifier indépendamment les paramètres du compte à l'avenir.
Les comptes enfants OUs peuvent hériter du comportement autogéré d'un parent autogéré, de la même manière que les comptes enfants et OUs peuvent hériter des politiques de configuration d'un parent géré de manière centralisée. Pour de plus amples informations, veuillez consulter Association des politiques par le biais de l'application et de l'héritage.
Un compte ou une unité d'organisation autogéré ne peut pas hériter d'une politique de configuration d'un nœud parent ou de la racine. Par exemple, si vous souhaitez que tous les OUs comptes de votre organisation héritent d'une politique de configuration depuis la racine, vous devez remplacer le type de gestion des nœuds autogérés par des nœuds gérés de manière centralisée.
Options pour configurer les paramètres dans les comptes autogérés
Les comptes autogérés doivent configurer leurs propres paramètres séparément dans chaque région.
Les propriétaires de comptes autogérés peuvent invoquer les opérations suivantes du Security Hub API dans chaque région pour configurer leurs paramètres :
EnableSecurityHubetDisableSecurityHubpour activer ou désactiver le service Security Hub (si un compte autogéré dispose d'un administrateur Security Hub délégué, l'administrateur doit dissocier le compte avant que le propriétaire du compte puisse désactiver Security Hub).BatchEnableStandardsetBatchDisableStandardspour activer ou désactiver les normesBatchUpdateStandardsControlAssociationsouUpdateStandardsControlpour activer ou désactiver les commandes
Les comptes autogérés peuvent également utiliser *Invitations des *Members opérations. Toutefois, nous recommandons que les comptes autogérés n'utilisent pas ces opérations. Les associations de politiques peuvent échouer si un compte membre possède ses propres membres qui font partie d'une organisation différente de celle de l'administrateur délégué.
Pour une description des API actions du Security Hub, consultez la AWS Security Hub APIréférence.
Les comptes autogérés peuvent également utiliser la console Security Hub ou AWS CLI configurer leurs paramètres dans chaque région.
Les comptes autogérés ne peuvent invoquer aucune politique APIs liée aux politiques de configuration ou aux associations de politiques de Security Hub. Seul l'administrateur délégué peut invoquer la configuration centralisée APIs et utiliser des politiques de configuration pour configurer des comptes gérés de manière centralisée.
Choix du type de gestion d'une cible
Choisissez votre méthode préférée et suivez les étapes pour désigner un compte ou une unité d'organisation comme étant géré de manière centralisée ou autogérée dans AWS Security Hub.
