本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 在特定標準中啟用控制項
<a name="controls-configure"></a>

當您在 AWS Security Hub CSPM 中啟用標準時，所有適用於它的控制項都會在該標準中自動啟用 （此服務的例外狀況是服務受管標準）。然後，您可以在標準中停用並重新啟用特定控制項。不過，我們建議您在所有啟用的標準中調整控制項的啟用狀態。如需跨所有標準啟用控制項的指示，請參閱 [啟用跨標準的控制](enable-controls-overview.md)。

標準的詳細資訊頁面包含標準適用的控制項清單，以及目前在該標準中啟用和停用哪些控制項的相關資訊。

在標準詳細資訊頁面上，您也可以在特定標準中啟用控制項。您必須在每個 AWS 帳戶 和 中分別啟用特定標準的控制項 AWS 區域。當您在特定標準中啟用控制項時，它只會影響目前的帳戶和區域。

若要在標準中啟用控制項，您必須先啟用至少一個控制項適用的標準。如需啟用標準的指示，請參閱 [啟用安全標準](enable-standards.md)。當您在一或多個標準中啟用控制項時，Security Hub CSPM 會開始為該控制項產生問題清單。Security Hub CSPM 在計算整體安全分數和標準安全分數時包含[控制狀態](https://docs.aws.amazon.com/securityhub/latest/userguide/controls-overall-status.html#controls-overall-status-values)。即使您在多個標準中啟用控制，如果您開啟合併控制問題清單，則每個標準之間的安全檢查都會收到單一問題清單。如需了解更多資訊，請參閱[合併的控制調查結果](https://docs.aws.amazon.com/securityhub/latest/userguide/controls-findings-create-update.html#consolidated-control-findings)。

若要在標準中啟用控制項，該控制項必須在您目前的區域中可用。如需詳細資訊，請參閱[依區域控制可用性](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-regions.html#securityhub-regions-control-support)。

請依照下列步驟，*在特定*標準中啟用 Security Hub CSPM 控制項。您也可以使用 [https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_UpdateStandardsControl.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_UpdateStandardsControl.html) API 動作來啟用特定標準的控制項，以取代下列步驟。如需*在所有*標準中啟用控制項的指示，請參閱 [單一帳戶和區域中的跨標準啟用](enable-controls-overview.md#enable-controls-all-standards)。

------
#### [ Security Hub CSPM console ]

**在特定標準中啟用控制項**

1. 在 https：//[https://console.aws.amazon.com/securityhub/](https://console.aws.amazon.com/securityhub/) 開啟 AWS Security Hub CSPM 主控台。

1. 從導覽窗格中選擇**安全標準**。

1. 選擇 **檢視相關標準的結果**。

1. 選取控制項。

1. 選擇**啟用控制** （此選項不會針對已啟用的控制項顯示）。選擇**啟用**來確認。

------
#### [ Security Hub CSPM API ]

**在特定標準中啟用控制項**

1. 執行 `[https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_ListSecurityControlDefinitions.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_ListSecurityControlDefinitions.html)`，並提供標準 ARN，以取得特定標準的可用控制項清單。若要取得標準 ARN，請執行 [https://docs.aws.amazon.com//securityhub/1.0/APIReference/API_DescribeStandards.html](https://docs.aws.amazon.com//securityhub/1.0/APIReference/API_DescribeStandards.html)。此 API 會傳回標準無關的安全控制 IDs，而非標準特定的控制 IDs。

   **請求範例：**

   ```
   {
       "StandardsArn": "arn:aws:securityhub:::standards/aws-foundational-security-best-practices/v/1.0.0"
   }
   ```

1. 執行 `[https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_ListStandardsControlAssociations.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_ListStandardsControlAssociations.html)`，並提供特定的控制項 ID，以傳回每個標準中控制項的目前啟用狀態。

   **請求範例：**

   ```
   {
       "SecurityControlId": "IAM.1"
   }
   ```

1. 執行 `[https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchUpdateStandardsControlAssociations.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchUpdateStandardsControlAssociations.html)`。提供您要啟用控制項之標準 ARN。

1. 將 `AssociationStatus` 參數設定為等於 `ENABLED`。

   **請求範例：**

   ```
   {
       "StandardsControlAssociationUpdates": [{"SecurityControlId": "IAM.1", "StandardsArn": "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0", "AssociationStatus": "ENABLED"}]
   }
   ```

------
#### [ AWS CLI ]

**在特定標準中啟用控制項**

1. 執行 `[https://docs.aws.amazon.com/cli/latest/reference/securityhub/list-security-control-definitions.html](https://docs.aws.amazon.com/cli/latest/reference/securityhub/list-security-control-definitions.html)`命令，並提供標準 ARN，以取得特定標準的可用控制項清單。若要取得標準 ARN，請執行 `describe-standards`。此命令會傳回標準無關的安全控制 IDs，而不是標準特定的控制 IDs。

   ```
   aws securityhub --region us-east-1 list-security-control-definitions --standards-arn "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0"
   ```

1. 執行 `[https://docs.aws.amazon.com/cli/latest/reference/securityhub/list-standards-control-associations.html](https://docs.aws.amazon.com/cli/latest/reference/securityhub/list-standards-control-associations.html)`命令，並提供特定的控制項 ID，以傳回每個標準中控制項的目前啟用狀態。

   ```
   aws securityhub  --region us-east-1 list-standards-control-associations --security-control-id CloudTrail.1
   ```

1. 執行 `[https://docs.aws.amazon.com/cli/latest/reference/securityhub/batch-update-standards-control-associations.html](https://docs.aws.amazon.com/cli/latest/reference/securityhub/batch-update-standards-control-associations.html)` 命令。提供您要啟用控制項之標準 ARN。

1. 將 `AssociationStatus` 參數設定為等於 `ENABLED`。

   ```
   aws securityhub  --region us-east-1 batch-update-standards-control-associations --standards-control-association-updates '[{"SecurityControlId": "CloudTrail.1", "StandardsArn": "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0", "AssociationStatus": "ENABLED"}]'
   ```

------