Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Objetivos gestionados de forma centralizada frente a objetivos autogestionados
Al habilitar la configuración central, el administrador delegado de AWS Security Hub Cloud Security Posture Management (CSPM) puede designar cada cuenta, unidad organizativa (OU) y raíz de la organización como gestionada de forma centralizada o autogestionada. El tipo de administración de un objetivo determina cómo se puede especificar la configuración de CSPM de Security Hub.
Para obtener información general sobre las ventajas de la configuración centralizada y su funcionamiento, consulte Descripción de la configuración central en Security Hub (CSPM).
En esta sección se explican las diferencias entre una designación administrada de forma centralizada y una autoadministrada, y cómo elegir el tipo de administración de una cuenta, una unidad organizativa o la raíz.
- Autoadministrado
El propietario de una cuenta, unidad organizativa o root autogestionada debe configurar sus ajustes por separado en cada una de ellas. Región de AWS El administrador delegado no puede crear políticas de configuración para destinos autoadministrados.
- Administrada de forma centralizada
Solo el administrador CSPM de Security Hub delegado puede configurar los ajustes de las cuentas gestionadas de forma centralizada o de la raíz en la región de origen y las regiones vinculadas. OUs Las políticas de configuración se pueden asociar a cuentas administradas de forma centralizada y. OUs
El administrador delegado puede cambiar el estado de un destino entre autoadministrado y administrado de forma centralizada. De forma predeterminada, todas las cuentas y la unidad organizativa se autoadministran al iniciar la configuración central a través de la API CSPM de Security Hub. En la consola, el tipo de administración depende de la primera política de configuración. Las cuentas y las OUs que asocie a su primera política se administran de forma centralizada. El resto de las cuentas OUs se administran automáticamente de forma predeterminada.
Si asocia una política de configuración a una cuenta previamente autogestionada, los ajustes de la política anulan la designación autogestionada. La cuenta pasa a administrarse de forma centralizada y adopta los ajustes reflejados en la política de configuración.
Si cambias una cuenta gestionada de forma centralizada a una cuenta autogestionada, se mantienen los ajustes que se aplicaban anteriormente a la cuenta mediante una política de configuración. Por ejemplo, una cuenta gestionada de forma centralizada podría asociarse inicialmente a una política que habilitara el CSPM de Security Hub, habilitara las prácticas recomendadas de seguridad AWS fundamentales y deshabilitara .1. CloudTrail Si, a continuación, designa la cuenta como autogestionada, todos los ajustes permanecerán inalterados. Sin embargo, el propietario de la cuenta puede cambiar de forma independiente la configuración de la cuenta en el futuro.
Las cuentas secundarias OUs pueden heredar el comportamiento autogestionado de una entidad matriz autogestionada, del mismo modo que las cuentas secundarias, y OUs pueden heredar las políticas de configuración de una entidad matriz gestionada de forma centralizada. Para obtener más información, consulte Asociación de políticas mediante la aplicación y la herencia.
Una cuenta o una unidad organizativa autoadministrada no puede heredar una política de configuración de un nodo principal o de la raíz. Por ejemplo, si desea que todas las cuentas de su organización hereden una política de configuración de la raíz, debe cambiar el tipo de administración de los nodos autogestionados a gestionados de forma centralizada. OUs
Opciones para configurar los ajustes en las cuentas autoadministradas
Las cuentas autoadministradas deben configurar sus ajustes por separado en cada región.
Los propietarios de cuentas autogestionadas pueden invocar las siguientes operaciones de la API CSPM de Security Hub en cada región para configurar sus ajustes:
EnableSecurityHubyDisableSecurityHubpara habilitar o deshabilitar el servicio CSPM de Security Hub (si una cuenta autogestionada tiene un administrador de CSPM de Security Hub delegado, el administrador debe desasociar la cuenta antes de que el propietario de la cuenta pueda deshabilitar Security Hub CSPM).BatchEnableStandardsyBatchDisableStandardspara habilitar o deshabilitar estándaresBatchUpdateStandardsControlAssociationsoUpdateStandardsControlpara habilitar o deshabilitar controles
Las cuentas autoadministradas también pueden utilizar las operaciones *Invitations y *Members. Sin embargo, recomendamos que las cuentas autoadministradas no utilicen estas operaciones. Las asociaciones de políticas pueden fallar si la cuenta de miembro tiene sus propios miembros que forman parte de una organización diferente a la del administrador delegado.
Para obtener descripciones de las acciones de la API CSPM de Security Hub, consulte la referencia de la AWS API de administración de posturas de seguridad (CSPM) de Security Hub Cloud.
Las cuentas autogestionadas también pueden usar la consola CSPM de Security Hub o AWS CLI configurar sus ajustes en cada región.
Las cuentas autogestionadas no pueden invocar ninguna política de configuración o asociación de políticas de CSPM APIs relacionada con Security Hub. Solo el administrador delegado puede invocar la configuración central APIs y utilizar las políticas de configuración para configurar las cuentas gestionadas de forma centralizada.
Elección del tipo de administración de un destino
Elija el método que prefiera y siga los pasos para designar una cuenta o unidad organizativa como gestionada de forma centralizada o autogestionada en AWS Security Hub Cloud Security Posture Management (CSPM).
