Peran terkait layanan untuk AWS Security Hub

AWS Security Hub menggunakan peran terkait layanan AWS Identity and Access Management (IAM) bernama. AWSServiceRoleForSecurityHub Peran terkait layanan ini adalah peran IAM yang ditautkan langsung ke Security Hub. Ini telah ditentukan sebelumnya oleh Security Hub, dan mencakup semua izin yang diperlukan Security Hub untuk memanggil sumber daya lain Layanan AWS dan memantau AWS sumber daya atas nama Anda. Security Hub menggunakan peran terkait layanan ini di semua Wilayah AWS tempat Security Hub tersedia.

Peran terkait layanan membuat pengaturan Security Hub lebih mudah karena Anda tidak perlu menambahkan izin yang diperlukan secara manual. Security Hub mendefinisikan izin peran terkait layanan, dan kecuali ditentukan lain, hanya Security Hub yang dapat mengambil peran tersebut. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin, dan Anda tidak dapat melampirkan kebijakan izin tersebut ke entitas IAM lainnya.

Untuk meninjau detail peran terkait layanan, Anda dapat menggunakan konsol Security Hub. Di panel navigasi, pilih Umum di bawah Pengaturan. Kemudian, di bagian Izin layanan, pilih Lihat izin layanan.

Anda dapat menghapus peran terkait layanan Security Hub hanya setelah Anda menonaktifkan Security Hub di semua Wilayah yang diaktifkan. Ini melindungi sumber daya Security Hub karena Anda tidak dapat secara tidak sengaja menghapus izin untuk mengaksesnya.

Untuk informasi tentang layanan lain yang mendukung peran terkait layanan, lihat AWS layanan yang bekerja dengan IAM di Panduan Pengguna IAM dan temukan layanan yang memiliki Ya di kolom Peran terkait layanan. Pilih Ya dengan tautan untuk meninjau dokumentasi peran terkait layanan untuk layanan tersebut.

Izin peran terkait layanan untuk Security Hub

Security Hub menggunakan peran terkait layanan bernama. AWSServiceRoleForSecurityHub Ini adalah peran terkait layanan yang diperlukan AWS Security Hub untuk mengakses sumber daya Anda. Peran terkait layanan ini memungkinkan Security Hub untuk melakukan tugas-tugas seperti menerima temuan dari orang lain Layanan AWS dan mengonfigurasi AWS Config infrastruktur yang diperlukan untuk menjalankan pemeriksaan keamanan untuk kontrol. Peran terkait layanan AWSServiceRoleForSecurityHub memercayai layanan securityhub.amazonaws.com untuk menjalankan peran.

AWSServiceRoleForSecurityHubPeran terkait layanan menggunakan kebijakan terkelola. AWSSecurityHubServiceRolePolicy

Anda harus memberikan izin untuk mengizinkan identitas IAM (seperti peran, grup, atau pengguna) untuk membuat, mengedit, atau menghapus peran terkait layanan. Agar peran AWSServiceRoleForSecurityHub terkait layanan berhasil dibuat, identitas IAM yang Anda gunakan untuk mengakses Security Hub harus memiliki izin yang diperlukan. Untuk memberikan izin yang diperlukan, lampirkan kebijakan berikut untuk identitas IAM.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "securityhub:*",
            "Resource": "*"    
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "securityhub.amazonaws.com"
                }
            }
        }
    ]
}

Membuat peran terkait layanan untuk Security Hub

Peran AWSServiceRoleForSecurityHub terkait layanan dibuat secara otomatis saat Anda mengaktifkan Security Hub untuk pertama kalinya atau mengaktifkan Security Hub di Wilayah yang sebelumnya tidak Anda aktifkan. Anda juga dapat membuat peran AWSServiceRoleForSecurityHub terkait layanan secara manual dengan menggunakan konsol IAM, IAM CLI, atau IAM API. Untuk informasi selengkapnya tentang membuat peran secara manual, lihat Membuat peran tertaut layanan dalam Panduan Pengguna IAM.

penting

Peran terkait layanan yang dibuat untuk akun administrator Security Hub tidak berlaku untuk akun anggota Security Hub terkait.

Mengedit peran terkait layanan untuk Security Hub

Security Hub tidak mengizinkan Anda mengedit peran AWSServiceRoleForSecurityHub terkait layanan. Setelah membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin mereferensikan peran tersebut. Namun, Anda dapat mengubah deskripsi peran dengan menggunakan IAM. Untuk informasi selengkapnya, lihat Mengedit peran terkait layanan dalam Panduan Pengguna IAM.

Menghapus peran terkait layanan untuk Security Hub

Jika Anda tidak lagi perlu menggunakan sebuah fitur atau layanan yang memerlukan sebuah peran terkait layanan, kami merekomendasikan Anda untuk menghapus peran tersebut. Dengan begitu, Anda tidak memiliki entitas yang tidak terpakai yang tidak dipantau atau dipelihara secara aktif.

Saat Anda menonaktifkan Security Hub, Security Hub tidak secara otomatis menghapus peran AWSServiceRoleForSecurityHub terkait layanan untuk Anda. Jika Anda mengaktifkan Security Hub lagi, layanan dapat mulai menggunakan peran terkait layanan yang ada lagi. Jika Anda tidak perlu lagi menggunakan Security Hub, Anda dapat menghapus peran terkait layanan secara manual.

penting

Sebelum menghapus peran AWSServiceRoleForSecurityHub terkait layanan, Anda harus menonaktifkan Security Hub terlebih dahulu di semua Wilayah yang diaktifkan. Untuk informasi selengkapnya, lihat Menonaktifkan CSPM Security Hub. Jika Security Hub tidak dinonaktifkan saat Anda mencoba menghapus peran terkait layanan, penghapusan akan gagal.

Untuk menghapus peran AWSServiceRoleForSecurityHub terkait layanan, Anda dapat menggunakan konsol IAM, IAM CLI, atau IAM API. Untuk informasi selengkapnya, lihat Menghapus peran tertaut layanan dalam Panduan Pengguna IAM.