服务管理标准： AWS Control Tower - AWS Security Hub
什么是服务管理标准： AWS Control Tower?创建标准在标准中启用和禁用控件查看启用状态和控件状态删除标准服务管理标准的查找字段格式： AWS Control Tower适用于服务管理标准的控制措施： AWS Control Tower

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

服务管理标准： AWS Control Tower

本节提供有关服务托管标准的信息： AWS Control Tower.

什么是服务管理标准： AWS Control Tower?

该标准专为以下用户而设计 AWS Security Hub 和 AWS Control Tower。 它允许您配置的主动控制 AWS Control Tower 除了 Security Hub 的侦探控制外 AWS Control Tower 服务。

主动控制有助于确保您的 AWS 账户 保持合规性，因为它们会标记可能导致违反策略或配置错误的操作。Detective 控件可检测您内部的资源不合规（例如，配置错误） AWS 账户。 通过为您启用主动和侦测控制 AWS 环境，您可以在开发的不同阶段增强您的安全状况。

提示

服务管理标准不同于以下标准 AWS Security Hub 负责管理。例如，您必须在托管服务中创建和删除服务托管标准。有关更多信息，请参阅 Security Hub 中的服务管理标准。

在 Security Hub 控制台中API，您可以查看服务管理标准： AWS Control Tower 以及其他 Security Hub 标准。

创建标准

仅当您在中创建标准时，此标准才可用 AWS Control Tower. AWS Control Tower 使用以下方法之一首次启用适用的控件时创建标准：

Security Hub 控件在 AWS Control Tower 控制台为 SH。ControlID（例如，SH。 CodeBuild.1)。

在创建标准时，如果您尚未启用 Security Hub， AWS Control Tower 还会为您启用 Security Hub。

如果你还没有设置 AWS Control Tower，你无法在 Security Hub 控制台、Security Hub 中查看或访问此标准API，或者 AWS CLI。 即使你已经设置好了 AWS Control Tower，如果不先在 Security Hub 中创建标准，则无法在 Security Hub 中查看或访问该标准 AWS Control Tower 使用上述方法之一。

该标准仅在 AWS 区域 其中 AWS Control Tower 可用，包括 AWS GovCloud (US).

在标准中启用和禁用控件

在中创建标准之后 AWS Control Tower 控制台，则可以在两个服务中查看标准版及其可用控件。

首次创建标准后，没有任何自动启用的控件。此外，当 Security Hub 添加新控件时，这些控件不会自动启用服务托管标准版： AWS Control Tower。 您应该在中启用和禁用标准控件 AWS Control Tower 通过使用以下方法之一：

当您在中更改控件的启用状态时 AWS Control Tower，这一变化也反映在 Security Hub 中。

但是，在 Security Hub 中禁用已在中启用的控件 AWS Control Tower 导致控制偏移。控制状态为 AWS Control Tower 显示为Drifted。您可以通过在 “重新注册 OU” 中选择 “重新注册 OU” 来解决这种偏差 AWS Control Tower 控制台，或者在中禁用并重新启用控件 AWS Control Tower 使用上述方法之一。

在中完成启用和禁用操作 AWS Control Tower 帮助您避免控制偏差。

当您在中启用或禁用控件时 AWS Control Tower，该操作适用于所有账户和区域。如果您在 Security Hub 中启用和禁用控制（不建议用于此标准），则该操作仅适用于当前账户和区域。

注意

中央配置不能用于管理服务管理标准： AWS Control Tower。 如果您使用集中配置，则只能使用 AWS Control Tower 该服务用于启用和禁用本标准中针对集中管理账户的控件。

查看启用状态和控件状态

您可以使用以下方法之一查看控件的启用状态：

  • Security Hub 控制台、Security Hub API 或 AWS CLI

  • AWS Control Tower Console

  • AWS Control Tower API查看已启用的控件列表（请致电 ListEnabledControlsAPI）

  • AWS CLI 查看已启用的控件列表（运行list-enabled-controls命令）

你在中禁用的控件 AWS Control Tower 除非您在 Security Hub Disabled 中明确启用该控件，否则在 Security Hub 中的启用状态为。

Security Hub 根据控件调查发现的工作流程状态和合规性状态来计算控件状态。有关启用状态和控件状态的更多信息，请参阅 查看控件的详细信息。

根据控制状态，Security Hub 计算服务管理标准的安全分数： AWS Control Tower。 此分数仅在 Security Hub 中可用。此外，您只能在 Security Hub 中查看控件调查发现。标准安全评分和控制结果在中不可用 AWS Control Tower.

注意

当您为服务管理标准启用控制时： AWS Control Tower，Security Hub 最多可能需要 18 小时才能生成使用现有控件的控件的调查结果 AWS Config 服务关联规则。如果您在 Security Hub 中启用了其他标准和控件，则可能已有与服务相关的规则。有关更多信息，请参阅 有关运行安全检查的计划。

删除标准

你可以在中删除这个标准 AWS Control Tower 使用以下方法之一禁用所有适用的控件：

禁用所有控件会删除所有托管账户和受管辖区域中的标准 AWS Control Tower。 删除中的标准 AWS Control Tower 将其从 Security Hub 控制台的 “标准” 页面中移除，您将无法再使用 Security Hub 访问它API或 AWS CLI.

注意

在 Security Hub 中禁用标准中的所有控件并不能禁用或删除该标准。

禁用 Security Hub 服务会移除服务托管标准： AWS Control Tower 以及您启用的任何其他标准。

服务管理标准的查找字段格式： AWS Control Tower

创建服务管理标准时： AWS Control Tower 并对其启用控件，您将开始在 Security Hub 中收到控制结果。Security Hub 在 AWS 安全调查结果格式 (ASFF) 中报告控件调查发现。以下是该标准的 Amazon 资源名称 (ARN) 的ASFF值，以及GeneratorId：

  • 标准 ARN — arn:aws:us-east-1:securityhub:::standards/service-managed-aws-control-tower/v/1.0.0

  • GeneratorId – service-managed-aws-control-tower/v/1.0.0/CodeBuild.1

有关服务管理标准的调查结果示例： AWS Control Tower，请参阅 Security Hub 中的控制结果示例。

适用于服务管理标准的控制措施： AWS Control Tower

服务管理标准： AWS Control Tower 支持属于控件的子集 AWS 基础安全最佳实践 (FSBP) 标准。从下表中选择一个控件以查看有关该控件的信息，包括失败的调查发现的补救步骤。

以下列表显示了服务托管标准的可用控件： AWS Control Tower。 对控制的区域限制与标准中对必然控制的区域限制相符。FSBP此列表显示了与标准无关的安全控制。IDs在 AWS Control Tower 控制台，控IDs件格式为 SH。ControlID（例如 SH。 CodeBuild.1)。在 Security Hub 中，如果在账户中关闭了整合的控件调查发现，则 ProductFields.ControlId 字段将使用基于标准的控件 ID。基于标准的对照 ID 的格式为 CT。ControlId（例如，CT。 CodeBuild.1)。

有关该标准的更多信息，请参阅中的 S ecurity Hub 控件 AWS Control Tower 用户指南。