Ações permitidas pelas contas de administrador e contas-membro no Security Hub

As contas de administrador e membro têm acesso às AWS Security Hub ações anotadas nas tabelas a seguir. Nas tabelas, os valores têm os significados a seguir:

• Qualquer: a conta pode realizar a ação para qualquer conta sob o mesmo administrador ou conta.

• Atual: a conta pode realizar a ação somente por si mesma (a conta com a qual você se conectou).

• Traço: indica que a conta não pode realizar a ação.

Conforme observado nas tabelas, as ações permitidas diferem com base na integração AWS Organizations e no tipo de configuração que sua organização usa. Para obter informações sobre a diferença entre a configuração central e local, consulte Gerenciando contas com AWS Organizations.

O Security Hub não copia as descobertas da conta-membro para a conta do administrador. No Security Hub, todas as descobertas são inseridas em uma região específica para uma conta específica. Em cada região, a conta do administrador pode visualizar e gerenciar as descobertas de suas contas-membro nessa região.

Se você definir uma região de agregação, a conta do administrador poderá visualizar e gerenciar as descobertas da conta-membro de regiões vinculadas que sejam replicadas para a região de agregação. Para obter mais informações sobre agregação entre regiões, consulte Agregação entre regiões.

As tabelas a seguir especificam as permissões padrão para contas de administrador e membro. Você pode usar políticas do IAM personalizadas para restringir ainda mais o acesso aos atributos e funções do Security Hub. Para obter orientação e exemplos, consulte a postagem do blog Alinhando as políticas do IAM às personas dos usuários para. AWS Security Hub

Ações permitidas se você se integrar ao Organizations e usar a configuração central

As contas de administrador e de membro podem acessar as ações do Security Hub da forma a seguir se você se integrar ao Organizations e usar a configuração central.

Ação	Conta de administrador delegado do Security Hub	Conta-membro gerenciada centralmente	Conta-membro autogerenciada
Criar e gerenciar políticas de configuração do Security Hub	Para contas gerenciadas automaticamente e centralmente	–	–
Visualizar contas da organização	Any	–	–
Desassociar conta de membro	Any	–	–
Excluir conta-membro	Qualquer conta que não seja da organização	–	–
Desabilitar o Security Hub	Para a conta atual e contas gerenciadas centralmente	–	Atual (deve primeiro ser desassociada da conta de administrador)
Veja as descobertas e o histórico de descobertas	Any	Atual	Atual
Atualizar as descobertas	Any	Atual	Atual
Visualizar resultados do insight	Any	Atual	Atual
Visualizar detalhes do controle	Any	Atual	Atual
Ative ou desative as descobertas de controle consolidadas	Any	–	–
Habilitar e desabilitar padrões	Para a conta atual e contas gerenciadas centralmente	–	Atual
Habilitar e desabilitar controles	Para a conta atual e contas gerenciadas centralmente	–	Atual
Habilitar e desabilitar integrações	Atual	Atual	Atual
Configurar uma agregação entre regiões	Any	–	–
Selecione a região inicial e as regiões vinculadas	Qualquer (é necessário parar e reiniciar a configuração central para alterar a região inicial)	–	–
Configurar ações personalizadas	Atual	Atual	Atual
Configurar regras de automação	Any	–	–
Configurar insights personalizados	Atual	Atual	Atual

Ações permitidas se você se integrar ao Organizations e usar a configuração local

As contas de administrador e de membro podem acessar as ações do Security Hub da forma a seguir se você se integrar ao Organizations e usar a configuração local.

Ação	Conta de administrador delegado do Security Hub	Conta-membro
Criar e gerenciar políticas de configuração do Security Hub	–	–
Visualizar contas da organização	Any	–
Desassociar conta de membro	Any	–
Excluir conta-membro	–	–
Desabilitar o Security Hub	–	Atual (se a conta for desassociada do administrador delegado)
Veja as descobertas e o histórico de descobertas	Any	Atual
Atualizar as descobertas	Any	Atual
Visualizar resultados do insight	Any	Atual
Visualizar detalhes do controle	Any	Atual
Ative ou desative as descobertas de controle consolidadas	Any	–
Habilitar e desabilitar padrões	Atual	Atual
Habilitar automaticamente o Security Hub e os padrões padrão em novas contas da organização	Para a conta atual e novas contas da organização	–
Habilitar e desabilitar controles	Atual	Atual
Habilitar e desabilitar integrações	Atual	Atual
Configurar uma agregação entre regiões	Any	–
Configurar ações personalizadas	Atual	Atual
Configurar regras de automação	Any	–
Configurar insights personalizados	Atual	Atual

Ações permitidas para contas baseadas em convites

As contas de administrador e membro podem acessar as ações do Security Hub da seguinte forma se você usar o método baseado em convites para gerenciar contas manualmente em vez de integrá-las com. AWS Organizations

Ação	Conta de administrador do Security Hub	Conta-membro
Criar e gerenciar políticas de configuração do Security Hub	–	–
Visualizar contas da organização	Any	–
Desassociar conta de membro	Any	Atual
Excluir conta-membro	Any	–
Desabilitar o Security Hub	Atual (se não houver contas-membro habilitadas)	Atual (se a conta for desassociada da conta do administrador)
Veja as descobertas e o histórico de descobertas	Any	Atual
Atualizar as descobertas	Any	Atual
Visualizar resultados do insight	Any	Atual
Visualizar detalhes do controle	Any	Atual
Ative ou desative as descobertas de controle consolidadas	Any	–
Habilitar e desabilitar padrões	Atual	Atual
Habilitar automaticamente o Security Hub e os padrões padrão em novas contas da organização	–	–
Habilitar e desabilitar controles	Atual	Atual
Habilitar e desabilitar integrações	Atual	Atual
Configurar uma agregação entre regiões	Any	–
Configurar ações personalizadas	Atual	Atual
Configurar regras de automação	Any	–
Configurar insights personalizados	Atual	Atual