Revisión del estado y los detalles de las políticas de configuración
El administrador delegado del CSPM de AWS Security Hub puede ver las políticas de configuración de una organización y sus detalles. Esto incluye las cuentas y unidades organizativas (OU) a las que está asociada una política.
Para obtener información general sobre las ventajas de la configuración centralizada y su funcionamiento, consulte Descripción de la configuración central en el CSPM de Security Hub.
Elija su método preferido y siga estos pasos para ver las políticas de configuración.
Revisión del estado de asociación de una política de configuración
Las siguientes operaciones de la API de configuración centralizada devuelven un campo denominado AssociationStatus:
BatchGetConfigurationPolicyAssociationsGetConfigurationPolicyAssociationListConfigurationPolicyAssociationsStartConfigurationPolicyAssociation
Este campo se devuelve cuando la configuración subyacente es una política de configuración y cuando se trata de un comportamiento autoadministrado.
El valor de AssociationStatus indica si una asociación de política está pendiente o si se encuentra en un estado de éxito o de error para una cuenta específica. El estado puede tardar hasta 24 horas minutos en cambiar de PENDING a SUCCESS o FAILED. Un estado de SUCCESS significa que todos los ajustes especificados en la política de configuración están asociados a la cuenta. Un estado de FAILED significa que uno o más ajustes especificados en la política de configuración no se asociaron a la cuenta. A pesar de un estado FAILED, la cuenta podría estar configurada parcialmente conforme a la política. Por ejemplo, podría intentar asociar una cuenta con una política de configuración que habilita el CSPM de Security Hub, habilita las Prácticas recomendadas de seguridad básica de AWS y desactiva CloudTrail.1. Los dos primeros ajustes se podrían aplicar correctamente, pero el ajuste de CloudTrail.1 podría fallar. En este ejemplo, el estado de la asociación es FAILED, incluso cuando algunos ajustes se configuraron correctamente.
El estado de asociación de una unidad organizativa principal o de la raíz depende del estado de sus entidades secundarias. Si el estado de asociación de todas las entidades secundarias es SUCCESS, el estado de asociación de la entidad principal es SUCCESS. Si el estado de asociación de una o más entidades secundarias es FAILED, el estado de asociación de la entidad principal es FAILED.
El valor de AssociationStatus depende del estado de asociación de la política en todas las regiones pertinentes. Si la asociación tiene éxito en la región de origen y en todas las regiones vinculadas, el valor de AssociationStatus es SUCCESS. Si se produce un error en la asociación en una o más de estas regiones, el valor de AssociationStatus es FAILED.
El siguiente comportamiento también afecta al valor de AssociationStatus:
Si el destino es una unidad organizativa principal o de la raíz, tiene un
AssociationStatusdeSUCCESSoFAILEDsolo cuando todas las entidades secundarias tienen un estadoSUCCESSoFAILED. Si el estado de asociación de una cuenta o unidad organizativa secundaria cambia (por ejemplo, cuando se agrega o elimina una región vinculada) después de asociar por primera vez la entidad principal a una configuración, el cambio no actualiza el estado de asociación de la entidad principal a menos que vuelva a invocar la APIStartConfigurationPolicyAssociation.Si el destino es una cuenta, tiene un
AssociationStatusdeSUCCESSoFAILEDsolo si la asociación tiene un resultado deSUCCESSoFAILEDen la región de origen y en todas las regiones vinculadas. Si el estado de asociación de una cuenta de destino cambia (por ejemplo, cuando se agrega o elimina una región vinculada) después de asociarla por primera vez a una configuración, su estado de asociación se actualiza. Sin embargo, el cambio no actualiza el estado de asociación de la entidad principal a menos que vuelva a invocar la APIStartConfigurationPolicyAssociation.
Si agrega una región vinculada nueva, el CSPM de Security Hub replica las asociaciones existentes que se encuentran en un estado PENDING, SUCCESS o FAILED en la nueva región.
Incluso cuando el estado de la asociación es SUCCESS, el estado de habilitación de un estándar incluido en la política puede pasar a un estado incompleto. En ese caso, el CSPM de Security Hub no puede generar resultados para los controles del estándar. Para obtener más información, consulte Verificación del estado de un estándar.
Solución de problemas de la asociación
En el CSPM de AWS Security Hub, la asociación de políticas de configuración puede fallar por los siguientes motivos comunes.
La cuenta de administración de Organizations no es miembro: si desea asociar una política de configuración a la cuenta de administración de Organizations, esa cuenta ya debe tener el CSPM de AWS Security Hub habilitado. Esto convierte a la cuenta de administración en una cuenta de miembro de la organización.
AWS Config no se ha habilitado o configurado correctamente: para habilitar estándares en una política de configuración, AWS Config debe estar habilitado y configurado para registrar los recursos relevantes.
Debe asociarse desde una cuenta de administrador delegado: solo puede asociar una política a las cuentas y UO de destino si ha iniciado sesión en la cuenta de administrador delegado del CSPM de Security Hub.
Debe asociarse desde la región de origen: solo puede asociar una política a las cuentas y OU de destino si ha iniciado sesión en su región de origen.
La región optativa no está habilitada: no se puede asociar la política a una cuenta de miembro o unidad organizativa de una región vinculada si se trata de una región optativa que el administrador delegado no ha habilitado. Puede volver a intentarlo después de habilitar la región desde la cuenta de administrador delegado.
Cuenta de miembro suspendida: la asociación de políticas es muestra error si se intenta asociar una política a una cuenta de miembro suspendida.
