Ações permitidas para contas

As contas de administrador e contas-membro têm acesso às ações do AWS Security Hub indicadas nas tabelas a seguir. Nas tabelas, os valores têm os significados a seguir:

• Qualquer: a conta pode realizar a ação para qualquer conta sob o mesmo administrador ou conta.

• Atual: a conta pode realizar a ação somente por si mesma (a conta na qual você está conectado no momento).

• Traço: indica que a conta não pode realizar a ação.

Conforme observado nas tabelas, as ações permitidas diferem com base em se você fez a integração com o AWS Organizations e no tipo de configuração que sua organização usa. Para obter informações sobre a diferença entre a configuração central e local, consulte Gerenciando contas com o AWS Organizations.

O Security Hub não copia as descobertas da conta-membro para a conta do administrador. No Security Hub, todas as descobertas são inseridas em uma região específica para uma conta específica. Em cada região, a conta do administrador pode visualizar e gerenciar as descobertas de suas contas de membros nessa região.

Se você definir uma região de agregação, a conta do administrador poderá visualizar e gerenciar as descobertas da conta-membro de regiões vinculadas que sejam replicadas para a região de agregação. Para obter mais informações sobre agregação entre regiões, consulte Agregação entre regiões.

Essa tabela reflete as permissões padrão para contas de administrador e membro. É possível usar políticas do IAM personalizadas para restringir ainda mais o acesso aos atributos e funções do Security Hub. Para obter orientação e exemplos, consulte a postagem do blog Alinhando as políticas do IAM às personas dos usuários para AWS Security Hub.

Ações permitidas se você se integrar ao Organizations e usar a configuração central

As contas de administrador e de membro podem acessar as ações do Security Hub da forma a seguir se você se integrar ao Organizations e usar a configuração central.

Ação	Conta de administrador delegado do Security Hub	Conta-membro gerenciada centralmente	Conta-membro autogerenciada
Crie e gerencie políticas de configuração do Security Hub	Para contas gerenciadas automaticamente e centralmente	–	–
Visualizar contas da organização	Any	–	–
Desassociar conta-membro	Any	–	–
Excluir conta-membro	Qualquer conta que não seja da organização	–	–
Desabilitar o Security Hub	Para a conta atual e contas gerenciadas centralmente	–	Atual
Veja as descobertas e o histórico de descobertas	Any	Atual	Atual
Atualizar as descobertas	Any	Atual	Atual
Visualizar resultados do insight	Any	Atual	Atual
Visualizar detalhes do controle	Any	Atual	Atual
Ative ou desative as descobertas de controle consolidadas	Any	–	–
Habilitar e desabilitar padrões	Para a conta atual e contas gerenciadas centralmente	–	Atual
Habilitar e desabilitar controles	Para a conta atual e contas gerenciadas centralmente	–	Atual
Habilitar e desabilitar integrações	Atual	Atual	Atual
Configurar uma agregação entre regiões	Any	–	–
Selecione a região inicial e as regiões vinculadas	Qualquer (é necessário parar e reiniciar a configuração central para alterar a região inicial)	–	–
Configurar ações personalizadas	Atual	Atual	Atual
Configurar regras de automação	Any	–	–
Configurar insights personalizados	Atual	Atual	Atual

Ações permitidas se você se integrar ao Organizations e usar a configuração local

As contas de administrador e de membro podem acessar as ações do Security Hub da forma a seguir se você se integrar ao Organizations e usar a configuração local.

Ação	Conta de administrador delegado do Security Hub	Conta-membro
Crie e gerencie políticas de configuração do Security Hub	–	–
Visualizar contas da organização	Any	–
Desassociar conta-membro	Any	–
Excluir conta-membro	–	–
Desabilitar o Security Hub	–	Atual (se a conta for desassociada do administrador delegado)
Veja as descobertas e o histórico de descobertas	Any	Atual
Atualizar as descobertas	Any	Atual
Visualizar resultados do insight	Any	Atual
Visualizar detalhes do controle	Any	Atual
Ative ou desative as descobertas de controle consolidadas	Any	–
Habilitar e desabilitar padrões	Atual	Atual
Habilita automaticamente o Security Hub e os padrões padrão em novas contas da organização	Para a conta atual e novas contas da organização	–
Habilitar e desabilitar controles	Atual	Atual
Habilitar e desabilitar integrações	Atual	Atual
Configurar uma agregação entre regiões	Any	–
Configurar ações personalizadas	Atual	Atual
Configurar regras de automação	Any	–
Configurar insights personalizados	Atual	Atual

Ações permitidas para contas baseadas em convites

As contas de administrador e de membro podem acessar as ações do Security Hub da forma a seguir se você usar o método baseado em convite para gerenciar contas manualmente em vez de integrá-las com o AWS Organizations.

Ação	Conta de administrador do Security Hub	Conta-membro
Crie e gerencie políticas de configuração do Security Hub	–	–
Visualizar contas da organização	Any	–
Desassociar conta-membro	Any	Atual
Excluir conta-membro	Any	–
Desabilitar o Security Hub	Atual (se não houver contas-membro habilitadas)	Atual (se a conta for desassociada da conta do administrador)
Veja as descobertas e o histórico de descobertas	Any	Atual
Atualizar as descobertas	Any	Atual
Visualizar resultados do insight	Any	Atual
Visualizar detalhes do controle	Any	Atual
Ative ou desative as descobertas de controle consolidadas	Any	–
Habilitar e desabilitar padrões	Atual	Atual
Habilita automaticamente o Security Hub e os padrões padrão em novas contas da organização	–	–
Habilitar e desabilitar controles	Atual	Atual
Habilitar e desabilitar integrações	Atual	Atual
Configurar uma agregação entre regiões	Any	–
Configurar ações personalizadas	Atual	Atual
Configurar regras de automação	Any	–
Configurar insights personalizados	Atual	Atual