Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Configurazione del Security Hub per l'integrazione con Microsoft Azure Dopo aver completato le [attività preliminari](securityhub-v2-azure-prereqs.md) e [configurato l'ambiente Microsoft Azure](securityhub-v2-azure-setup-azure.md), puoi configurare AWS Security Hub per l'integrazione con Azure. Per configurare Security Hub per l'integrazione con Azure, devi creare un connettore. È possibile creare il connettore da un account di amministratore delegato o dall'account di gestione. Dopo aver creato il connettore, si verificano i seguenti eventi: 1. Security Hub convalida le credenziali e la connettività di Azure all'ambiente Azure. Questo processo può richiedere alcuni minuti. 1. Security Hub crea connettori collegati ai servizi in Security Hub CSPM e Amazon Inspector. Questi connettori assicurano che i controlli di gestione della postura e la scansione delle vulnerabilità corrispondano all'ambito definito in Security Hub. 1. AWS Config inizia a scoprire le risorse di Azure usando le credenziali di identità federate. 1. Security Hub abilita automaticamente lo standard CIS Microsoft Azure Foundations Benchmark v4.0 e lo standard Azure Foundational Best Practices in CSPM per le risorse di Azure. 1. I risultati iniziali iniziano a comparire entro 15-30 minuti per le risorse con eventi Activity Log. La valutazione completa di tutte le risorse esistenti può richiedere fino a 24 ore. **Topics** + [Creazione di un connettore per](#securityhub-v2-azure-setup-securityhub-v2-proc) + [Modifica l'ambito di un connettore](#securityhub-v2-azure-setup-securityhub-v2-manage) + [Verifica lo stato di un connettore](#securityhub-v2-azure-setup-securityhub-v2-verify) + [Risolvi i problemi relativi a un connettore](#securityhub-v2-azure-setup-securityhub-v2-tshoot) + [Identificatori di risorse e di ricerca](#securityhub-v2-azure-setup-securityhub-v2-identifiers) ## Crea un connettore Azure Per creare un connettore Microsoft Azure per il tuo ambiente, completa i passaggi seguenti utilizzando la console AWS Security Hub o l'API. 1. Apri la console AWS Security Hub all'indirizzo [https://console.aws.amazon.com/securityhub/v2](https://console.aws.amazon.com/securityhub/v2). 1. Nel riquadro di navigazione, scegli **Integrazioni**. 1. Scegli **Crea connettore Azure**. 1. Nella sezione **Funzionalità di sicurezza**, scegli se desideri abilitare la funzionalità **di scansione della rete**. Questa funzionalità è abilitata per impostazione predefinita per l'account in cui stai abilitando l'integrazione con Azure e può essere deselezionata prima di completare la configurazione del connettore. Se una politica dell'organizzazione blocca questa funzionalità per il tuo account, questa non viene visualizzata come opzione. Per ulteriori informazioni, vedere [Scansione della rete in Security Hub](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-network-scanning.html). 1. Per **Azure Tenant ID**, inserisci l'identificatore del tenant ID Microsoft Entra. Puoi trovarlo nel portale di Azure in *Microsoft Entra ID > Proprietà > ID tenant.* 1. Per **l'ID dell'applicazione (client)**, inserisci l'ID dell'applicazione Azure che hai registrato durante la configurazione dell'ambiente Azure. 1. Configura impostazioni aggiuntive e l'ambito del connettore effettuando le seguenti operazioni: + In **Nome**, inserisci un nome univoco per il connettore. Il nome può contenere fino a 50 caratteri alfanumerici e può includere trattini. **Nota** Il nome del connettore non può essere modificato dopo la creazione. + Per **Descrizione**, inserisci facoltativamente una breve descrizione del connettore. La descrizione può contenere fino a 200 caratteri. **Importante** I nomi e le descrizioni vengono utilizzati per identificare i contenuti e ti consigliamo di non includere informazioni sensibili, riservate o di identificazione personale (PII). + Per **Abbonamenti**, scegli **Tutti gli abbonamenti** per monitorare tutti gli abbonamenti attuali e futuri nel tenant o **Abbonamenti specifici per monitorare solo gli abbonamenti** specificati. Se scegli di monitorare solo abbonamenti specifici, inserisci l'ID per ognuno di essi. + Per **Regioni**, scegli **Tutte le aree** per monitorare le risorse in tutte le aree di Azure o **Aree specifiche** per monitorare solo le aree specificate. **Nota** Se hai già creato un connettore in Security Hub CSPM o Amazon Inspector per lo stesso tenant di Azure, l'ambito del connettore in Security Hub deve includere gli stessi abbonamenti e le stesse regioni del connettore in Security Hub CSPM o Amazon Inspector. **Nota** I controlli che valutano le risorse Microsoft Entra ID e Microsoft Graph richiedono che l'ambito globale dell'area sia incluso nella configurazione di integrazione. Se selezioni solo aree di Azure specifiche, questi controlli non genereranno risultati. 1. Rivedi la configurazione del connettore. **Nota** Se prevedi di utilizzare Amazon Inspector for Azure VM scanning, devi creare i ruoli IAM richiesti. Per informazioni dettagliate, vedi [Ruoli IAM per la scansione delle macchine virtuali di Azure tramite Amazon Inspector](#securityhub-v2-azure-setup-securityhub-v2-iam). 1. **Quando hai finito di inserire e rivedere le impostazioni, scegli Crea connettore.** ### Ruoli IAM per la scansione delle macchine virtuali di Azure tramite Amazon Inspector Per abilitare la scansione delle vulnerabilità tramite Amazon Inspector, devi creare le seguenti risorse IAM nel tuo. Account AWS Crea un provider di identità IAM OIDC per Microsoft Entra ID con la seguente configurazione: + **URL dell'emittente:** `https://sts.windows.net/{{tenant-id}}/` + **Elenco di ID client:**`api://{{app-id}}`, `api://AzureADTokenExchange` + **Thumbprint:** una stringa di 40 caratteri con tutti gli zeri (`0`ripetuta 40 volte). AWS STS convalida i token tramite l'endpoint JWKS anziché il valore dell'impronta digitale.{{}} Utilizzato dall'agente Amazon Inspector VM Scanner in esecuzione su macchine virtuali di Azure per inviare telemetria di scansione ad Amazon Inspector. Questo ruolo utilizza la federazione delle identità Web OIDC tramite il provider di identità. Microsoft Entra ID **Politica di fiducia:** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Federated": "arn:aws:iam::{{account-id}}:oidc-provider/sts.windows.net/{{tenant-id}}/" }, "Action": "sts:AssumeRoleWithWebIdentity" } ] } ``` **Tag:** + `inspector-managed` = `true` **Politica di autorizzazione (TelemetryPolicy):** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "inspector2-telemetry:*", "Resource": "*" } ] } ```{{}} Abilita la federazione OIDC ad Azure per l'autenticazione sicura tra cloud. Questo ruolo viene assunto da AssumeRole and e DispatchRole da Amazon EC2 Systems Manager per ottenere token di identità Web per le operazioni di Azure. **Politica di fiducia:** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::{{account-id}}:root" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:PrincipalTag/caller": "SSM" }, "ArnLike": { "aws:PrincipalArn": [ "arn:aws:iam::{{account-id}}:role/Inspector2SSMAssumeRole-{{tenant-id}}", "arn:aws:iam::{{account-id}}:role/Inspector2SSMDispatchRole-{{tenant-id}}" ] } } }, { "Effect": "Allow", "Principal": { "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` **Politica di autorizzazione (FederationPolicy):** ``` { "Version":"2012-10-17", "Statement": [ { "Condition": { "ForAnyValue:StringEquals": { "sts:IdentityTokenAudience": [ "api://AzureADTokenExchange" ] } }, "Action": [ "sts:GetWebIdentityToken", "sts:TagGetWebIdentityToken" ], "Resource": "*", "Effect": "Allow" } ] } ``` **Tag:** + `caller` = `SSM` + `inspector-managed` = `true`{{}} Esegue Amazon EC2 Systems Manager Automation per integrare le macchine virtuali di Azure come istanze gestite. Questo ruolo crea e gestisce attivazioni ibride, trasferisce i ruoli ad Amazon EC2 Systems Manager e recupera i documenti di automazione. **Politica di fiducia:** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "{{account-id}}" } } } ] } ``` **Politica di autorizzazione (AssumeRolePolicy):** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "sts:AssumeRole", "Resource": "arn:aws:iam::{{account-id}}:role/Inspector2SSMFederationRole-{{tenant-id}}" }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::{{account-id}}:role/AmazonEC2RunCommandRoleForManagedInstances", "Condition": { "StringEquals": { "iam:PassedToService": "ssm.amazonaws.com" } } }, { "Effect": "Allow", "Action": [ "ssm:CreateActivation", "ssm:DeleteActivation", "ssm:DescribeActivations", "ssm:DescribeInstanceInformation", "ssm:PutConfigurePackageResult", "iam:ListRoleTags" ], "Resource": "*" }, { "Effect": "Allow", "Action": "ssm:AddTagsToResource", "Resource": [ "arn:aws:ssm:*:{{account-id}}:activation/*", "arn:aws:ssm:*:{{account-id}}:managed-instance/*" ] }, { "Effect": "Allow", "Action": "ssm:GetDocument", "Resource": [ "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure", "arn:aws:ssm:*:*:document/AWS-InstallSsmAgentOnAzure", "arn:aws:ssm:*::document/AmazonInspector2-InspectorVmScanner" ] }, { "Effect": "Allow", "Action": "ssm:GetCloudConnector", "Resource": "*" } ] } ``` **Tag:** + `caller` = `SSM` + `AzureTenantId` = `{{tenant-id}}` + `AzureApplicationId` = `{{app-id}}` + `inspector-managed` = `true`{{}} Risolve gli obiettivi delle macchine virtuali di Azure e invia l'installazione dell'agente Amazon Inspector VM Scanner tramite Amazon EC2 Systems Manager Automation. Questo ruolo avvia le esecuzioni di automazione e le passa AssumeRole ad Amazon EC2 Systems Manager. **Politica di fiducia:** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "{{account-id}}" } } } ] } ``` **Politica di autorizzazione (DispatchPolicy):** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::{{account-id}}:role/Inspector2SSMAssumeRole-{{tenant-id}}", "Condition": { "StringEquals": { "iam:PassedToService": "ssm.amazonaws.com" } } }, { "Effect": "Allow", "Action": "ssm:StartAutomationExecution", "Resource": [ "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure", "arn:aws:ssm:*:{{account-id}}:automation-execution/*" ] }, { "Effect": "Allow", "Action": "sts:AssumeRole", "Resource": "arn:aws:iam::{{account-id}}:role/Inspector2SSMFederationRole-{{tenant-id}}" }, { "Effect": "Allow", "Action": [ "ssm:DescribeInstanceInformation", "ssm:ListCloudConnectors", "ssm:GetCloudConnector", "iam:ListRoleTags" ], "Resource": "*" } ] } ``` **Tag:** + `caller` = `SSM` + `inspector-managed` = `true` La registrazione dell'app Azure deve avere l'URI dell'ID dell'applicazione impostato su. `api://{{app-id}}` Ogni macchina virtuale di Azure che si desidera scansionare deve avere un'identità gestita assegnata dal sistema abilitata. Per assegnare automaticamente l'identità gestita alle nuove macchine virtuali, usa una DeployIfNotExists policy nel tuo ambiente Azure. Dopo aver creato il connettore, Security Hub inizia a monitorare l'ambiente Azure. Puoi controllare lo stato del connettore nella pagina **Integrazioni.** ## Modifica l'ambito di un connettore Azure Dopo aver creato un connettore Microsoft Azure, puoi modificare l'ambito del connettore modificando le sottoscrizioni di Azure o le aree di Azure che monitora. Le modifiche all'ambito in genere hanno effetto entro 15-30 minuti per le risorse con eventi Activity Log. La valutazione completa delle sottoscrizioni di Azure appena aggiunte può richiedere fino a 24 ore. Prima di modificare l'ambito di un connettore, tieni presente quanto segue: + Quando modifichi l'ambito di un connettore in Security Hub, i connettori collegati ai servizi associati in Security Hub CSPM e Amazon Inspector vengono automaticamente aggiornati in base alla situazione. + L'ambito di un connettore Security Hub non può mai essere inferiore a quello di qualsiasi connettore gestito dal cliente esistente in Security Hub CSPM o Amazon Inspector per lo stesso tenant di Azure. + Se aggiungi una regione all'ambito del connettore, devi eseguire nuovamente lo script di configurazione per fornire l'infrastruttura Event Hub nella nuova regione. La configurazione esistente di Event Hub non è interessata. ## Verifica lo stato di un connettore di Azure Puoi controllare lo stato di un connettore Microsoft Azure in qualsiasi momento per confermare che Security Hub stia ricevendo dati dal tuo ambiente Azure. **Per verificare lo stato di un connettore** 1. Apri la console AWS Security Hub all'indirizzo [https://console.aws.amazon.com/securityhub/v2](https://console.aws.amazon.com/securityhub/v2). 1. Nel riquadro di navigazione, scegli **Integrazioni** e seleziona il tuo connettore Azure. 1. **Verifica che lo stato del connettore sia Attivo.** Se il connettore mostra Attivo, la verifica è completa. Se mostra uno stato diverso, vedi[Risolvi i problemi relativi a un connettore Azure](#securityhub-v2-azure-setup-securityhub-v2-tshoot). 1. Passa a **Findings** e filtra `ResourceCloudProviders = Azure` per confermare che i risultati vengono generati per le tue risorse di Azure. 1. Controlla la pagina **degli standard di sicurezza** per confermare che lo standard CIS Azure v4.0 mostra i controlli con lo stato PASSED o FAILED (non tutti NO\_DATA). **Nota** Lo stato di salute del connettore alla fine è coerente. Quando si verifica un problema di autorizzazione o configurazione, lo stato del connettore passa rapidamente a **Degradato** con un messaggio utilizzabile. **Tuttavia, dopo aver risolto il problema, lo stato può richiedere fino a 24 ore per tornare a Connesso.** Uno stato **Degrado** dopo una correzione recente non indica necessariamente la presenza di un problema in corso. Per una visibilità in tempo reale degli errori di registrazione, controllate le CloudWatch metriche nel namespace. ## Risolvi i problemi relativi a un connettore Azure Se riscontri problemi con il connettore, consulta i seguenti problemi e risoluzioni comuni. **Lo stato del connettore non è integro** Questo problema si verifica in genere se le credenziali federate non sono configurate correttamente in Azure. Per risolvere questo problema, verifica che l'URL dell'emittente del token e l'ARN dell'oggetto nelle credenziali federate di Azure corrispondano ai tuoi. Account AWS **Nessun risultato dopo 30 minuti** Questo problema può verificarsi se l'Event Hub non riceve i registri delle attività. Per risolvere questo problema, verifica che le impostazioni di diagnostica siano configurate nelle sottoscrizioni di Azure e che lo spazio dei nomi Event Hub sia etichettato correttamente con. `AWSConfig-{{account-id}}-{{region}}` **Tutti i controlli mostrano NO\_DATA** Questo problema può verificarsi se il connettore è disabilitato o se AWS Config non riesce a raggiungere l'ambiente Azure. Per risolvere questo problema, verifica che il connettore sia abilitato e che il responsabile del servizio abbia il ruolo Reader nell'ambito del gruppo di gestione principale del tenant. **Impossibile registrare alcune risorse di Azure** L'errore può verificarsi per uno dei seguenti motivi: + L'ambiente Azure non soddisfa i prerequisiti per la registrazione delle risorse. + La registrazione dell'app non dispone del consenso dell'amministratore per le autorizzazioni dell'API Microsoft Graph. + L'assegnazione del ruolo Reader non copre tutti gli ambiti richiesti. + Il tenant Microsoft Entra ID non dispone dei dati di registro richiesti. Per risolvere l'errore, procedi come segue: 1. Per confermare che l'ambiente soddisfa tutti i requisiti, consulta [Prerequisiti per Microsoft Azure](securityhub-v2-azure-prereqs.md#securityhub-v2-azure-prereqs-azure). 1. Verifica che la registrazione dell'app disponga delle autorizzazioni necessarie per l'API Microsoft Graph con il consenso dell'amministratore. 1. Verifica che il responsabile del servizio abbia il ruolo di lettore nell'ambito del gruppo di gestione principale del tenant. **I risultati vengono visualizzati solo per alcuni abbonamenti** Questo problema può verificarsi se l'esportazione di Activity Log non è configurata per tutti gli abbonamenti Target. Per risolvere questo problema, verifica che le impostazioni di diagnostica coprano tutti gli abbonamenti inclusi nell'ambito del connettore. ## In che modo Security Hub gestisce le risorse e gli identificatori di ricerca Abilitando l'integrazione con Azure per AWS Security Hub, gli identificatori di risorse e risultati di sicurezza di altri provider cloud verranno archiviati in AWS Config Security Hub e in altri AWS servizi (se necessario) come metadati relativi alla gestione della configurazione delle risorse corrispondente e ai dati di sicurezza raccolti dagli altri provider cloud. Tali identificatori non costituiscono i Contenuti dell'utente e consigliamo all'utente di non includere in essi informazioni sensibili, riservate o che consentano l'identificazione personale. I seguenti identificatori dell'ambiente cloud connesso vengono archiviati e utilizzati da per fornire funzionalità di sicurezza AWS multicloud: + **Identificatori di risorse:** Azure Tenant ID, ID di sottoscrizione, posizione (regione), ID risorsa (ID o nomi dei gruppi di risorse, provider di risorse, tipo di risorsa) + **Identificatori di sicurezza: gli identificatori** univoci assegnati a ciascun risultato di sicurezza generato dal servizio di rilevamento. Le relazioni tra questi identificatori, tra cui il modo in cui le risorse si relazionano tra loro e il modo in cui i risultati si relazionano alle risorse, vengono archiviate anche come metadati di servizio. AWS utilizza questi identificatori per la correlazione delle risorse, l'associazione dei risultati alle risorse, la registrazione operativa del servizio e la deduplicazione.