Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Cibles gérées de manière centralisée et cibles autogérées
Lorsque vous activez la configuration centralisée, l'administrateur délégué du AWS Security Hub CSPM peut désigner chaque compte d'organisation, chaque unité organisationnelle (UO) et la racine comme étant gérés de manière centralisée ou autogérée. Le type de gestion d'une cible détermine la manière dont vous pouvez spécifier ses paramètres Security Hub CSPM.
Pour obtenir des informations générales sur les avantages de la configuration centralisée et son fonctionnement, consultezComprendre la configuration centrale dans Security Hub CSPM.
Cette section explique les différences entre une désignation gérée de manière centralisée et une désignation autogérée et explique comment choisir le type de gestion d'un compte, d'une unité d'organisation ou de la racine.
- Self-managed
Le propriétaire d'un compte autogéré, d'une unité d'organisation ou d'un root doit configurer ses paramètres séparément dans chacun Région AWS d'eux. L'administrateur délégué ne peut pas créer de politiques de configuration pour les cibles autogérées.
- Géré de manière centralisée
Seul l'administrateur délégué du Security Hub CSPM peut configurer les paramètres des comptes gérés de manière centralisée, des unités d'organisation ou de la racine dans la région d'origine et les régions associées. Les politiques de configuration peuvent être associées à des comptes et à des unités d'organisation gérés de manière centralisée.
L'administrateur délégué peut changer le statut d'une cible entre autogéré et géré de manière centralisée. Par défaut, tous les comptes et unités d'organisation sont autogérés lorsque vous démarrez la configuration centralisée via l'API Security Hub CSPM. Dans la console, le type de gestion dépend de votre première politique de configuration. Les comptes et les unités d'organisation que vous associez à votre première politique sont gérés de manière centralisée. Les autres comptes et unités d'organisation sont autogérés par défaut.
Si vous associez une politique de configuration à un compte précédemment autogéré, les paramètres de stratégie remplacent la désignation autogérée. Le compte est géré de manière centralisée et adopte les paramètres reflétés dans la politique de configuration.
Si vous remplacez un compte géré de manière centralisée par un compte autogéré, les paramètres précédemment appliqués au compte par le biais d'une politique de configuration restent en place. Par exemple, un compte géré de manière centralisée peut initialement être associé à une politique activant Security Hub CSPM, activant les meilleures pratiques de sécurité AWS fondamentales et désactivée. CloudTrail.1 Si vous indiquez ensuite que le compte est autogéré, tous les paramètres restent inchangés. Toutefois, le titulaire du compte peut modifier indépendamment les paramètres du compte à l'avenir.
Les comptes enfants et les unités d'organisation peuvent hériter du comportement autogéré d'un parent autogéré, de la même manière que les comptes enfants et les unités d'organisation peuvent hériter des politiques de configuration d'un parent géré de manière centralisée. Pour de plus amples informations, veuillez consulter Association des politiques par le biais de l'application et de l'héritage.
Un compte ou une unité d'organisation autogéré ne peut pas hériter d'une politique de configuration d'un nœud parent ou de la racine. Par exemple, si vous souhaitez que tous les comptes et unités d'organisation de votre organisation héritent d'une politique de configuration provenant de la racine, vous devez remplacer le type de gestion des nœuds autogérés par des nœuds gérés de manière centralisée.
Options pour configurer les paramètres dans les comptes autogérés
Self-managed les comptes doivent configurer leurs propres paramètres séparément dans chaque région.
Les propriétaires de comptes autogérés peuvent invoquer les opérations suivantes de l'API Security Hub CSPM dans chaque région pour configurer leurs paramètres :
EnableSecurityHubetDisableSecurityHubpour activer ou désactiver le service Security Hub CSPM (si un compte autogéré dispose d'un administrateur Security Hub CSPM délégué, l'administrateur doit dissocier le compte avant que le propriétaire du compte puisse désactiver Security Hub CSPM).BatchEnableStandardsetBatchDisableStandardspour activer ou désactiver les normesBatchUpdateStandardsControlAssociationsouUpdateStandardsControlpour activer ou désactiver les commandes
Self-managed les comptes peuvent également utiliser *Invitations et effectuer *Members des opérations. Toutefois, nous recommandons que les comptes autogérés n'utilisent pas ces opérations. Les associations de politiques peuvent échouer si un compte membre possède ses propres membres qui font partie d'une organisation différente de celle de l'administrateur délégué.
Pour obtenir une description des actions de l'API CSPM de Security Hub, consultez le document de référence de l'API CSPM du AWS Security Hub.
Self-managed les comptes peuvent également utiliser la console Security Hub CSPM ou AWS CLI configurer leurs paramètres dans chaque région.
Self-managed les comptes ne peuvent invoquer aucune API liée aux politiques de configuration et aux associations de politiques du Security Hub CSPM. Seul l'administrateur délégué peut invoquer des API de configuration centrales et utiliser des politiques de configuration pour configurer des comptes gérés de manière centralisée.
Choix du type de gestion d'une cible
Choisissez votre méthode préférée et suivez les étapes pour désigner un compte ou une unité d'organisation comme étant géré de manière centralisée ou autogérée dans AWS Security Hub CSPM.
