AWS Security Hub 和 AWS Organizations - AWS Organizations
服務連結角色服務委託人啟用受信任的存取停用受信任存取啟用 Security Hub 的委派系統管理員停用 Security Hub 的委派系統管理員

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS Security Hub 和 AWS Organizations

AWS Security Hub 提供您中安全性狀態的全面檢視， AWS 並協助您根據安全性產業標準和最佳實務來檢查環境。

Security Hub 會從您的各個服務 AWS 帳戶、您使用的 AWS 服務以及支援的協力廠商合作夥伴產品收集安全性資料。它可協助您分析安全趨勢，並識別最高優先級的安全問題。

當您同時使用 Security Hub 和 AWS Organizations 同時使用時，您可以自動為所有帳戶啟用 Security Hub，包括新增帳戶時的新帳戶。這會增加 Security Hub 檢查和問題清單的涵蓋範圍，從而提供更全面和準確的整體安全狀態。

如需有關 Security Hub 的詳細資訊，請參閱 AWS Security Hub 使用者指南。

請使用下列資訊來協助您整 AWS Security Hub 合 AWS Organizations。

當您啟用整合時，即會建立服務連結角色。

當您啟用受信任存取時，會在您組織的管理帳戶中自動建立以下服務連結角色。該角色允許 Security Hub 在您組織的組織帳戶中執行支援的操作。

只有在您停用 Security Hub 和 Organizations 之間的受信任存取，或從組織中移除成員帳戶時，才能移除或修改此角色。

  • AWSServiceRoleForSecurityHub

服務連結角色所使用的服務委託人

上一節中的服務連結角色，只能由依據角色定義的信任關係所授權的服務委託人來假設。Security Hub 使用的服務連結角色會將存取權授予下列服務委託人：

  • securityhub.amazonaws.com

使用 Security Hub 來啟用受信任存取

如需啟用受信任存取所需許可的資訊，請參閱啟用信任的存取所需的許可。

當您指定 Security Hub 的委派管理員時，Security Hub 會自動啟用組織中 Security Hub 的受信任存取。

使用 Security Hub 停用信任的存取

如需停用受信任存取所需權限的詳細資訊，請參閱《AWS Organizations 使用指南》中的停用受信任存取所需的權限。

停用受信任的存取之前，我們建議您與組織的委派系統管理員合作，以停用成員帳戶中的 Security Hub，並清除這些帳戶中的 Security Hub 資源。

您可以使用 AWS Organizations 主控台、Organizations API 或 AWS CLI. 只有 Organizations 管理帳戶的系統管理員可以透過 Security Hub 停用受信任的存取。

如需使用 Security Hub 停用受信任存取的指示，請參閱停用 Security Hub 整合 AWS Organizations。

啟用 Security Hub 的委派系統管理員

當您將成員帳戶指定為組織的委派管理員時，該帳戶的使用者和角色可以對 Security Hub 執行管理動作，否則只能由組織管理帳戶中的使用者或角色執行。這可協助您將組織的管理與 Security Hub 的管理分開。

如需相關資訊，請參閱AWS Security Hub 使用者指南中的指定 Security Hub 管理員帳戶。

將成員帳戶指定為 Security Hub 的委派管理員

  1. 使用 Organizations 管理帳戶登入。

  2. 執行下列其中一項：

    • 如果您的管理帳戶未啟用 Security Hub，則在 Security Hub 主控台上選擇 Go to Security Hub (移至 Security Hub)。

    • 如果您的管理帳戶確實已啟用 Security Hub，請在 Security Hub 主控台的 [一般] 下選擇 [設定]。

  3. 在 Delegated Administrator (委派的管理員) 下，輸入帳戶 ID。

停用 Security Hub 的委派系統管理員

只有組織管理帳戶可以移除委派的 Security Hub 系統管理員帳戶。

若要變更委派的 Security Hub 系統管理員，您必須先移除目前委派的系統管理員帳戶，然後指定新的系統管理員帳戶。

如果您使用 Security Hub 主控台移除一個區域中的委派系統管理員，則會在所有區域中自動移除該委派系統管理員。

Security Hub API 只會從發出 API 呼叫或命令的區域移除委派的 Security Hub 系統管理員帳戶。您必須在其他區域中重複此動作。

如果您使用 Organizations API 移除委派的 Security Hub 系統管理員帳戶，則會在所有區域中自動移除該帳戶。

如需有關停用委派 Security Hub 系統管理員的指示，請參閱移除或變更委派的系統管理員。