Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Zentral verwaltete Ziele im Vergleich zu selbstverwalteten Zielen
Wenn Sie die zentrale Konfiguration aktivieren, kann der delegierte AWS Security Hub CSPM-Administrator jedes Organisationskonto, jede Organisationseinheit (OU) und den Stamm als zentral verwaltet oder selbstverwaltet festlegen. Der Verwaltungstyp eines Ziels bestimmt, wie Sie seine Security Hub CSPM-Einstellungen angeben können.
Hintergrundinformationen zu den Vorteilen der zentralen Konfiguration und ihrer Funktionsweise finden Sie unter. Grundlegendes zur zentralen Konfiguration in Security Hub CSPM
In diesem Abschnitt werden die Unterschiede zwischen einer zentral verwalteten und einer selbstverwalteten Bezeichnung sowie die Auswahl des Verwaltungstyps eines Kontos, einer Organisationseinheit oder eines Stammkontos erläutert.
- Self-managed
Der Besitzer eines selbstverwalteten Kontos, einer Organisationseinheit oder eines Stammkontos muss die Einstellungen für jedes Konto separat konfigurieren. AWS-Region Der delegierte Administrator kann keine Konfigurationsrichtlinien für selbstverwaltete Ziele erstellen.
- Zentral verwaltet
Nur der delegierte Security Hub CSPM-Administrator kann Einstellungen für zentral verwaltete Konten, Organisationseinheiten oder das Stammkonto in der Heimatregion und den verknüpften Regionen konfigurieren. Konfigurationsrichtlinien können zentral verwalteten Konten und Organisationseinheiten zugeordnet werden.
Der delegierte Administrator kann den Status eines Ziels zwischen selbstverwaltetem und zentral verwaltetem ändern. Standardmäßig werden alle Konten und Organisationseinheiten selbst verwaltet, wenn Sie die zentrale Konfiguration über die Security Hub CSPM-API starten. In der Konsole hängt der Verwaltungstyp von Ihrer ersten Konfigurationsrichtlinie ab. Konten und Organisationseinheiten, die Sie Ihrer ersten Richtlinie zuordnen, werden zentral verwaltet. Andere Konten und Organisationseinheiten werden standardmäßig selbst verwaltet.
Wenn Sie einem zuvor selbstverwalteten Konto eine Konfigurationsrichtlinie zuordnen, haben die Richtlinieneinstellungen Vorrang vor der Bezeichnung für selbstverwaltetes Konto. Das Konto wird zentral verwaltet und übernimmt die Einstellungen, die in der Konfigurationsrichtlinie enthalten sind.
Wenn Sie ein zentral verwaltetes Konto in ein selbstverwaltetes Konto ändern, bleiben die Einstellungen, die zuvor über eine Konfigurationsrichtlinie auf das Konto angewendet wurden, bestehen. Beispielsweise könnte ein zentral verwaltetes Konto zunächst mit einer Richtlinie verknüpft werden, die Security Hub CSPM aktiviert, AWS Foundational Security Best Practices aktiviert und deaktiviert. CloudTrail.1 Wenn Sie das Konto dann als selbstverwaltet kennzeichnen, bleiben alle Einstellungen unverändert. Der Kontoinhaber kann die Einstellungen für das Konto in Zukunft jedoch unabhängig ändern.
Kinderkonten und Organisationseinheiten können das selbstverwaltete Verhalten von einem selbstverwalteten Elternteil erben, genauso wie untergeordnete Konten und Organisationseinheiten Konfigurationsrichtlinien von zentral verwalteten übergeordneten Konten erben können. Weitere Informationen finden Sie unter Richtlinienverknüpfung durch Anwendung und Vererbung.
Ein selbstverwaltetes Konto oder eine Organisationseinheit kann keine Konfigurationsrichtlinie von einem übergeordneten Knoten oder vom Stammknoten erben. Wenn Sie beispielsweise möchten, dass alle Konten und Organisationseinheiten in Ihrer Organisation eine Konfigurationsrichtlinie vom Stammverzeichnis erben, müssen Sie den Verwaltungstyp für selbstverwaltete Knoten auf zentral verwaltete Knoten ändern.
Optionen zum Konfigurieren von Einstellungen in selbstverwalteten Konten
Self-managed Konten müssen ihre eigenen Einstellungen in jeder Region separat konfigurieren.
Besitzer von selbstverwalteten Konten können die folgenden Operationen der Security Hub CSPM-API in jeder Region aufrufen, um ihre Einstellungen zu konfigurieren:
EnableSecurityHubundDisableSecurityHubum den Security Hub CSPM-Dienst zu aktivieren oder zu deaktivieren (wenn ein selbstverwaltetes Konto über einen delegierten Security Hub CSPM-Administrator verfügt, muss der Administrator die Kontozuweisung aufheben, bevor der Kontoinhaber Security Hub CSPM deaktivieren kann).BatchEnableStandardsundBatchDisableStandardsum Standards zu aktivieren oder zu deaktivierenBatchUpdateStandardsControlAssociationsoderUpdateStandardsControlum Steuerungen zu aktivieren oder zu deaktivieren
Self-managed Konten können auch *Invitations *Members AND-Operationen verwenden. Wir empfehlen jedoch, dass selbstverwaltete Konten diese Operationen nicht verwenden. Richtlinienzuordnungen können fehlschlagen, wenn ein Mitgliedskonto eigene Mitglieder hat, die Teil einer anderen Organisation sind als die des delegierten Administrators.
Eine Beschreibung der Security Hub CSPM API-Aktionen finden Sie in der AWSSecurity Hub CSPM API-Referenz.
Self-managed Konten können auch die Security Hub CSPM-Konsole verwenden oder AWS CLI ihre Einstellungen in jeder Region konfigurieren.
Self-managed Konten können keine APIs aufrufen, die sich auf Security Hub CSPM-Konfigurationsrichtlinien und Richtlinienzuordnungen beziehen. Nur der delegierte Administrator kann zentrale Konfigurations-APIs aufrufen und Konfigurationsrichtlinien verwenden, um zentral verwaltete Konten zu konfigurieren.
Auswahl des Verwaltungstyps eines Ziels
Wählen Sie Ihre bevorzugte Methode und folgen Sie den Schritten, um ein Konto oder eine Organisationseinheit in AWS Security Hub CSPM als zentral verwaltet oder selbstverwaltet zu kennzeichnen.
