Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Obiettivi gestiti centralmente e obiettivi autogestiti
Quando si abilita la configurazione centrale, l' AWS Security Hub amministratore delegato può designare ogni account dell'organizzazione, unità organizzativa (OU) e radice come gestiti centralmente o autogestiti. Il tipo di gestione di una destinazione determina come specificare le impostazioni del Security Hub.
Per informazioni di base sui vantaggi della configurazione centrale e su come funziona, consultaComprendere la configurazione centrale in Security Hub.
Questa sezione spiega le differenze tra una designazione gestita centralmente e una autogestita e come scegliere il tipo di gestione di un account, di un'unità organizzativa o della directory principale.
- Autogestito
Il proprietario di un account, unità organizzativa o root autogestito deve configurarne le impostazioni separatamente in ciascuno di essi. Regione AWS L'amministratore delegato non può creare politiche di configurazione per obiettivi autogestiti.
- Gestito centralmente
Solo l'amministratore delegato del Security Hub può configurare le impostazioni per gli account gestiti OUs centralmente o la directory principale nella regione di origine e nelle regioni collegate. Le policy di configurazione possono essere associate ad account gestiti centralmente eOUs.
L'amministratore delegato può cambiare lo stato di una destinazione tra gestione automatica e gestione centralizzata. Per impostazione predefinita, tutti gli account e l'unità organizzativa vengono gestiti automaticamente quando si avvia la configurazione centrale tramite Security HubAPI. Nella console, il tipo di gestione dipende dalla prima politica di configurazione. Gli account e OUs quelli associati alla prima policy vengono gestiti centralmente. Gli altri account OUs sono gestiti automaticamente per impostazione predefinita.
Se si associa una politica di configurazione a un account precedentemente gestito in modo autonomo, le impostazioni dei criteri hanno la precedenza sulla designazione autogestita. L'account viene gestito centralmente e adotta le impostazioni riportate nella politica di configurazione.
Se si modifica un account gestito centralmente in un account autogestito, le impostazioni precedentemente applicate all'account tramite una politica di configurazione rimangono invariate. Ad esempio, un account gestito centralmente potrebbe inizialmente essere associato a una policy che abilitava Security Hub, abilitava AWS Foundational Security Best Practices v1.0.0 e disabilitava .1. CloudTrail Se poi si designa l'account come autogestito, tutte le impostazioni rimangono invariate. Tuttavia, il proprietario dell'account può modificare autonomamente le impostazioni dell'account in futuro.
Gli account figlio OUs possono ereditare il comportamento autogestito da un genitore autogestito, allo stesso modo in cui gli account figlio OUs possono ereditare le politiche di configurazione da un genitore gestito centralmente. Per ulteriori informazioni, consulta Associazione delle politiche tramite applicazione ed ereditarietà.
Un account o un'unità organizzativa autogestiti non possono ereditare una politica di configurazione da un nodo principale o dalla radice. Ad esempio, se si desidera che tutti gli account e l'organizzazione OUs ereditino una politica di configurazione dalla radice, è necessario modificare il tipo di gestione dei nodi autogestiti in gestione centralizzata.
Opzioni per configurare le impostazioni negli account autogestiti
Gli account autogestiti devono configurare le proprie impostazioni separatamente in ciascuna regione.
I proprietari di account autogestiti possono richiamare le seguenti operazioni del Security Hub API in ciascuna regione per configurare le proprie impostazioni:
EnableSecurityHubeDisableSecurityHubper abilitare o disabilitare il servizio Security Hub (se un account autogestito ha un amministratore delegato di Security Hub, l'amministratore deve dissociare l'account prima che il proprietario dell'account possa disabilitare Security Hub).BatchEnableStandardseBatchDisableStandardsper abilitare o disabilitare gli standardBatchUpdateStandardsControlAssociationsoUpdateStandardsControlper abilitare o disabilitare i controlli
Gli account autogestiti possono inoltre essere utilizzati *Invitations e utilizzati*Members. Tuttavia, consigliamo che gli account autogestiti non utilizzino queste operazioni. Le associazioni di policy possono fallire se un account membro ha i propri membri che fanno parte di un'organizzazione diversa da quella dell'amministratore delegato.
Per le descrizioni delle API azioni del Security Hub, consulta la Guida AWS Security Hub APIdi riferimento.
Gli account autogestiti possono anche utilizzare la console Security Hub o AWS CLI configurarne le impostazioni in ciascuna regione.
Gli account autogestiti non possono richiamare alcun elemento APIs relativo ai criteri di configurazione e alle associazioni di policy di Security Hub. Solo l'amministratore delegato può richiamare la configurazione centrale APIs e utilizzare le policy di configurazione per configurare account gestiti centralmente.
Scelta del tipo di gestione di una destinazione
Scegli il tuo metodo preferito e segui i passaggi per designare un account o un'unità organizzativa come gestita centralmente o autogestita. AWS Security Hub
