Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Activation de Security Hub

Vous pouvez activer Security Hub pour n'importe lequel d'entre eux Compte AWS. Les procédures décrites dans cette rubrique décrivent comment activer Security Hub à partir d'un compte de gestion d' AWS entreprise, d'un compte d'administrateur délégué et d'un compte autonome.

Activer Security Hub pour une organisation

La procédure décrite dans cette section décrit comment activer Security Hub pour le compte de gestion de AWS l'organisation. La procédure suppose que vous avez défini un administrateur délégué pour Security Hub CSPM et inclut une étape au cours de laquelle vous pouvez définir un administrateur délégué pour votre organisation dans Security Hub. Pour plus d'informations sur la définition d'un administrateur délégué dans Security Hub, consultez la section Configuration d'un compte d'administrateur délégué dans Security Hub.

Si vous décidez de définir un administrateur délégué pour Security Hub lors de l'activation, vous devrez créer une politique de ressources dans la AWS Organizations console permettant à l'administrateur délégué d'effectuer des actions au nom de votre organisation. Vous pouvez utiliser l'exemple de politique de ressources suivant pour le compte d'administrateur délégué.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Statement",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::delegated-administrator-account-id:root"
      },
      "Action": [
        "organizations:AttachPolicy",
        "organizations:CreatePolicy",
        "organizations:DetachPolicy",
        "organizations:DeletePolicy",
        "organizations:UpdatePolicy",
        "organizations:ListPolicies",
        "organizations:ListPoliciesForTarget",
        "organizations:ListTargetsForPolicy",
        "organizations:DescribePolicy",
        "organizations:DescribeEffectivePolicy",
        "organizations:DisablePolicyType",
        "organizations:EnablePolicyType"
      ],
      "Resource": "*"
    }
  ]
}

Si vous ne définissez pas d'administrateur délégué, vous pourrez définir un administrateur délégué ultérieurement. Pour plus d'informations, consultez la section Configuration d'un compte d'administrateur délégué dans Security Hub. Cette rubrique inclut une procédure qui décrit comment définir un administrateur délégué pour votre organisation à partir de la page Général de la console Security Hub.

La procédure suivante décrit comment définir un compte d'administrateur délégué pour votre organisation dans Security Hub.

Lorsque vous activez Security Hub, un rôle lié à un service appelé AWSServiceRoleForSecurityHubV2 est créé dans votre compte, et un enregistreur lié à un service est ajouté à votre compte. Un enregistreur lié à un service est un type d' AWS Config enregistreur géré par un AWS service qui peut enregistrer des données de configuration sur des ressources spécifiques au service. Avec un enregistreur lié à un service, Security Hub permet une approche basée sur les événements pour obtenir les éléments de configuration des ressources nécessaires à la couverture de l'analyse d'exposition. Un enregistreur lié au service est configuré par Compte AWS et Région AWS.

Activer Security Hub pour l'administrateur délégué

Si le compte de gestion de AWS l'organisation définit un administrateur délégué pour son organisation, celui-ci doit activer Security Hub pour son compte. La procédure suivante doit être effectuée par l'administrateur délégué, mais uniquement s'il n'a pas activé Security Hub pour son compte. Pour plus d'informations sur la définition d'un administrateur délégué, consultez la section Configuration d'un compte d'administrateur délégué dans Security Hub.

Lorsque vous activez Security Hub, un rôle lié à un service appelé AWSServiceRoleForSecurityHubV2 est créé dans votre compte, et un enregistreur lié à un service est ajouté à votre compte. Un enregistreur lié à un service est un type d' AWS Config enregistreur géré par un AWS service qui peut enregistrer des données de configuration sur des ressources spécifiques au service. Avec un enregistreur lié à un service, Security Hub permet une approche basée sur les événements pour obtenir les éléments de configuration des ressources nécessaires à la couverture de l'analyse d'exposition. Un enregistreur lié au service est configuré par Compte AWS et Région AWS.

Activer Security Hub pour un compte autonome

La procédure suivante décrit comment activer Security Hub pour un compte autonome. Il existe deux types de comptes autonomes qui peuvent activer Security Hub : un compte Compte AWS ne faisant pas partie d'une organisation et un compte Compte AWS interne à une organisation. Au Compte AWS sein d'une AWS organisation, il peut s'agir d'un Compte AWS endroit où un administrateur délégué attache une AWS Organizations politique au Compte AWS. Pour plus d'informations, consultez les politiques de Security Hub dans le guide de AWS Organizations l'utilisateur.

Lorsque vous activez Security Hub, un rôle lié à un service appelé AWSServiceRoleForSecurityHubV2 est créé dans votre compte, et un enregistreur lié à un service est ajouté à votre compte. Un enregistreur lié à un service est un type d' AWS Config enregistreur géré par un AWS service qui peut enregistrer des données de configuration sur des ressources spécifiques au service. Avec un enregistreur lié à un service, Security Hub permet une approche basée sur les événements pour obtenir les éléments de configuration des ressources nécessaires à la couverture de l'analyse d'exposition. Un enregistreur lié au service est configuré par Compte AWS et Région AWS.