Comparar metas gerenciadas centralmente e autogerenciadas
Quando você usa a configuração central, o administrador delegado do AWS Security Hub pode designar cada conta da organização, da unidade organizacional (UO) e da raiz como gerenciada centralmente ou autogerenciada. O tipo de gerenciamento de um alvo determina como você pode especificar suas configurações do Security Hub.
Para obter informações contextuais sobre os benefícios da configuração central e como ela funciona, consulte Entender a configuração central no Security Hub.
Esta seção explica as diferenças entre uma designação gerenciada centralmente e autogerenciada, e como escolher o tipo de gerenciamento de uma conta, de uma UO ou da raiz.
- Autogerenciado
O proprietário de uma conta autogerenciada, de uma UO ou da raiz deve definir suas configurações em cada Região da AWS separadamente. O administrador delegado não pode criar políticas de configuração para alvos autogerenciados.
- Gerenciada centralmente
Apenas o administrador delegado do Security Hub pode definir configurações para as contas, as UOs e a raiz gerenciadas centralmente na região inicial e nas regiões vinculadas. As políticas de configuração podem ser associadas a contas e OUs gerenciadas centralmente.
O administrador delegado pode alternar o status de um alvo entre autogerenciado e gerenciado centralmente. Por padrão, todas as contas e OUs são autogerenciadas quando você inicia a configuração central por meio da API do Security Hub. No console, o tipo de gerenciamento dependerá da sua primeira política de configuração. As contas e OUs que você associa à sua primeira política são gerenciadas centralmente. Outras contas e OUs são autogerenciadas por padrão.
Se você associar uma política de configuração a uma conta autogerenciada, as configurações da política substituirão a designação autogerenciada. A conta passará a ser gerenciada centralmente e adotará as configurações refletidas na política de configuração.
Contas filhas e OUs podem herdar o comportamento autogerenciado de uma conta pai autogerenciada, da mesma forma que contas filhas e OUs podem herdar políticas de configuração de uma conta pai gerenciada centralmente. Para obter mais informações, consulte Associação de políticas por meio de aplicação e herança.
Uma conta autogerenciada ou UO não pode herdar uma política de configuração de um nó superior ou da raiz. Por exemplo, se você quiser que todas as contas e UOs da sua organização herdem uma política de configuração da raiz, você deve alterar o tipo de gerenciamento dos nós autogerenciados para gerenciados centralmente.
Opções para definir configurações em contas autogerenciadas
As contas autogerenciadas devem definir suas próprias configurações separadamente em cada região.
Os proprietários de contas autogerenciadas podem invocar as seguintes operações da APIs do Security Hub em cada região para definir suas configurações:
EnableSecurityHubeDisableSecurityHubpara habilitar ou desabilitar o serviço do Security Hub (se uma conta autogerenciada tiver um administrador delegado do Security Hub, o administrador deverá desassociar a conta antes que o proprietário da conta possa desabilitar o Security Hub).BatchEnableStandardseBatchDisableStandardspara habilitar ou desabilitar padrõesBatchUpdateStandardsControlAssociationsouUpdateStandardsControlpara habilitar ou desabilitar
As contas autogerenciadas também podem usar as operações *Invitations e *Members. Porém, recomendamos que as contas autogerenciadas não usem essas operações. As associações de políticas podem não funcionar uma conta-membro tiver seus os próprios membros e eles fizerem parte de uma organização diferente da organização do administrador delegado.
Para obter descrições das ações da API do Security Hub, consulte a Referência da API do AWS Security Hub.
As contas autogerenciadas também podem usar o console do Security Hub ou a AWS CLI para definir suas configurações em cada região.
As contas autogerenciadas não podem invocar nenhuma API relacionada às políticas de configuração e associações de políticas do Security Hub. Somente o administrador delegado pode invocar APIs de configuração central e usar políticas de configuração para configurar contas gerenciadas centralmente.
Escolher o tipo de gerenciamento de um alvo
Escolha seu método preferido e siga as etapas para designar uma conta ou UO como gerenciada centralmente ou autogerenciada no AWS Security Hub.
