Ruoli collegati ai servizi per Security Hub

AWS Security Hubutilizza un ruolo collegato al servizio AWS Identity and Access Management (IAM) denominato. AWSServiceRoleForSecurityHub Questo ruolo collegato ai servizi è un ruolo IAM collegato direttamente a Security Hub. È predefinito da Security Hub e include tutte le autorizzazioni richieste da Security Hub per chiamare altri AWS servizi e monitorare AWS le risorse per tuo conto. Security Hub utilizza questo ruolo collegato al servizio in tutti i Regioni AWS casi in cui Security Hub è disponibile.

Un ruolo collegato al servizio semplifica la configurazione di Security Hub perché non è necessario aggiungere manualmente le autorizzazioni necessarie. Security Hub definisce le autorizzazioni del suo ruolo collegato al servizio e, a meno che le autorizzazioni non siano definite diversamente, solo Security Hub può assumere il ruolo. Le autorizzazioni definite includono la politica di fiducia e la politica delle autorizzazioni e non è possibile collegare tale politica di autorizzazione a nessun'altra entità IAM.

Per visualizzare i dettagli del ruolo collegato al servizio, nella pagina Impostazioni della console Security Hub, scegli Generale, quindi Visualizza le autorizzazioni del servizio.

È possibile eliminare il ruolo collegato al servizio Security Hub solo dopo aver prima disabilitato Security Hub in tutte le regioni in cui è abilitato. In questo modo proteggi le tue risorse Security Hub perché non puoi rimuovere inavvertitamente le autorizzazioni per accedervi.

Per informazioni su altri servizi che supportano i ruoli collegati ai servizi, consulta i AWSservizi che funzionano con IAM nella Guida per l'utente di IAM e individua i servizi con Sì nella colonna Service-Linked Role. Scegli Sì in corrispondenza di un link per visualizzare la documentazione relativa al ruolo collegato ai servizi per tale servizio.

Autorizzazioni di ruolo collegate ai servizi per Security Hub

Security Hub utilizza il ruolo collegato al servizio denominato. AWSServiceRoleForSecurityHub È un ruolo collegato al servizio necessario per accedere AWS Security Hub alle tue risorse. Il ruolo collegato al servizio consente a Security Hub di ricevere risultati da altri AWS servizi e configurare l'AWS Configinfrastruttura necessaria per eseguire i controlli di sicurezza.

Ai fini dell'assunzione del ruolo, il ruolo collegato ai servizi AWSServiceRoleForSecurityHub considera attendibili i seguenti servizi:

• securityhub.amazonaws.com

Il ruolo collegato ai servizi AWSServiceRoleForSecurityHub utilizza la policy gestita AWSSecurityHubServiceRolePolicy.

È necessario concedere le autorizzazioni per consentire a un'identità IAM (come un ruolo, un gruppo o un utente) di creare, modificare o eliminare un ruolo collegato al servizio. AWSServiceRoleForSecurityHubAffinché il ruolo collegato al servizio venga creato correttamente, l'identità IAM utilizzata per accedere a Security Hub deve disporre delle autorizzazioni richieste. Per concedere le autorizzazioni richieste, allega la seguente policy al ruolo, al gruppo o all'utente.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "securityhub:*",
            "Resource": "*"    
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "securityhub.amazonaws.com"
                }
            }
        }
    ]
}

Creazione di un ruolo collegato ai servizi per Security Hub

Il ruolo AWSServiceRoleForSecurityHub collegato al servizio viene creato automaticamente quando abiliti Security Hub per la prima volta o abiliti Security Hub in un'area supportata in cui in precedenza non era abilitato. Puoi anche creare il ruolo collegato ai servizi AWSServiceRoleForSecurityHub manualmente, utilizzando la console IAM, la CLI IAM o l'API IAM.

Importante

Il ruolo collegato al servizio creato per l'account amministratore di Security Hub non si applica agli account membri del Security Hub.

Per ulteriori informazioni sulla creazione manuale del ruolo, consulta Creazione di un ruolo collegato ai servizi nella Guida per l'utente IAM.

Modifica di un ruolo collegato al servizio per Security Hub

Security Hub non consente di modificare il ruolo AWSServiceRoleForSecurityHub collegato al servizio. Dopo aver creato un ruolo collegato al servizio, non puoi modificarne il nome, perché potrebbero farvi riferimento diverse entità. È possibile tuttavia modificarne la descrizione utilizzando IAM. Per ulteriori informazioni, consulta Modifica di un ruolo collegato ai servizi nella Guida per l'utente di IAM.

Eliminazione di un ruolo collegato al servizio per Security Hub

Se non è più necessario utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, ti consigliamo di eliminare il ruolo. In questo modo, non hai un'entità non utilizzata che non viene monitorata o gestita attivamente.

Importante

Per eliminare il ruolo AWSServiceRoleForSecurityHub collegato al servizio, devi prima disabilitare Security Hub in tutte le regioni in cui è abilitato.

Se Security Hub non è disabilitato quando si tenta di eliminare il ruolo collegato al servizio, l'eliminazione non riesce. Per ulteriori informazioni, consulta Disabilitazione del Security Hub.

Quando si disabilita Security Hub, il ruolo AWSServiceRoleForSecurityHub collegato al servizio non viene eliminato automaticamente. Se abiliti nuovamente Security Hub, inizia a utilizzare il ruolo esistente AWSServiceRoleForSecurityHub collegato al servizio.

Per eliminare manualmente il ruolo collegato ai servizi mediante IAM

Usa la console IAM, la CLI IAM oppure l'API IAM per eliminare il ruolo collegato ai servizi AWSServiceRoleForSecurityHub. Per ulteriori informazioni, consultare Eliminazione del ruolo collegato ai servizi nella Guida per l'utente di IAM.