Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Examen de l'état et des détails des politiques de configuration
L'administrateur délégué AWS de Security Hub Cloud Security Posture Management (CSPM) peut consulter les politiques de configuration d'une organisation et leurs détails. Cela inclut les comptes et les unités organisationnelles (OUs) auxquels une politique est associée.
Pour obtenir des informations générales sur les avantages de la configuration centralisée et son fonctionnement, consultezComprendre la configuration centrale dans Security Hub CSPM.
Choisissez votre méthode préférée et suivez les étapes pour consulter vos politiques de configuration.
Révision du statut d'association d'une politique de configuration
Les opérations d'API de configuration centrale suivantes renvoient un champ appelé AssociationStatus :
BatchGetConfigurationPolicyAssociationsGetConfigurationPolicyAssociationListConfigurationPolicyAssociationsStartConfigurationPolicyAssociation
Ce champ est renvoyé à la fois lorsque la configuration sous-jacente est une politique de configuration et lorsqu'il s'agit d'un comportement autogéré.
La valeur de AssociationStatus indique si une association de politiques est en attente ou en cours de réussite ou d'échec pour un compte spécifique. Le passage de l'état à SUCCESS ou peut prendre jusqu'PENDINGà 24 heuresFAILED. Un statut de SUCCESS signifie que tous les paramètres spécifiés dans la politique de configuration sont associés au compte. Un statut de FAILED signifie qu'un ou plusieurs paramètres spécifiés dans la politique de configuration n'ont pas pu être associés au compte. Malgré un FAILED statut, le compte peut être partiellement configuré conformément à la politique. Par exemple, vous pouvez essayer d'associer un compte à une politique de configuration qui active Security Hub CSPM, active les meilleures pratiques de sécurité AWS fondamentales et désactive la version .1. CloudTrail Les deux premiers paramètres peuvent réussir, mais le paramètre CloudTrail .1 peut échouer. Dans cet exemple, le statut de l'association est FAILED même si certains paramètres ont été correctement configurés.
Le statut d'association d'une unité d'organisation parent ou de la racine dépend du statut de ses enfants. Si le statut d'association de tous les enfants est le SUCCESS même, le statut d'association du parent l'estSUCCESS. Si le statut d'association d'un ou de plusieurs enfants est le mêmeFAILED, le statut d'association du parent l'estFAILED.
La valeur de AssociationStatus dépend du statut associatif de la politique dans toutes les régions concernées. Si l'association réussit dans la région d'origine et dans toutes les régions associées, la valeur de AssociationStatus estSUCCESS. Si l'association échoue dans une ou plusieurs de ces régions, la valeur de AssociationStatus estFAILED.
Le comportement suivant a également un impact sur la valeur de AssociationStatus :
Si la cible est une unité d'organisation parent ou la racine, elle possède un statut
AssociationStatusdeSUCCESSouFAILEDuniquement lorsque tous les enfants ont leFAILEDstatutSUCCESSou. Si le statut d'association d'un compte enfant ou d'une unité d'organisation change (par exemple, lorsqu'une région associée est ajoutée ou supprimée) après avoir associé le parent pour la première fois à une configuration, la modification ne met pas à jour le statut d'association du parent, sauf si vous appelez à nouveau l'StartConfigurationPolicyAssociationAPI.Si la cible est un compte, elle possède un
AssociationStatuscompteSUCCESSouFAILEDuniquement si l'association a un résultatFAILEDdansSUCCESSou dans la région d'origine et toutes les régions associées. Si le statut d'association d'un compte cible change (par exemple, lorsqu'une région associée est ajoutée ou supprimée) une fois que vous l'avez associée pour la première fois à une configuration, son statut d'association est mis à jour. Toutefois, la modification ne met pas à jour le statut d'association du parent, sauf si vous invoquez à nouveau l'StartConfigurationPolicyAssociationAPI.
Si vous ajoutez une nouvelle région liée, Security Hub CSPM réplique vos associations existantes qui se trouvent dans une PENDINGSUCCESS, ou un FAILED état de la nouvelle région.
Même lorsque le statut de l'association est définiSUCCESS, le statut d'activation d'une norme faisant partie de la politique peut passer à un état incomplet. Dans ce cas, Security Hub CSPM ne peut pas générer de résultats pour les contrôles de la norme. Pour de plus amples informations, veuillez consulter Vérifier le statut d'une norme.
Résolution des problèmes d'association
Dans AWS Security Hub Cloud Security Posture Management (CSPM), une association de politiques de configuration peut échouer pour les raisons courantes suivantes.
Le compte de gestion des organisations n'est pas membre : si vous souhaitez associer une politique de configuration au compte de gestion Organizations, AWS Security Hub Cloud Security Posture Management (CSPM) doit déjà être activé sur ce compte. Le compte de gestion devient ainsi un compte membre de l'organisation.
AWS Config n'est pas activé ou correctement configuré : pour activer les normes dans une politique de configuration, AWS Config il doit être activé et configuré pour enregistrer les ressources pertinentes.
L'association doit être effectuée à partir d'un compte d'administrateur délégué : vous ne pouvez associer une politique qu'à des comptes cibles et OUs lorsque vous êtes connecté au compte administrateur délégué du Security Hub CSPM.
Vous devez vous associer depuis votre région d'origine : vous ne pouvez associer une politique qu'à des comptes cibles et OUs lorsque vous êtes connecté à votre région d'origine.
Région optionnelle non activée : l'association de politiques échoue pour un compte membre ou une unité d'organisation dans une région associée s'il s'agit d'une région optionnelle que l'administrateur délégué n'a pas activée. Vous pouvez réessayer après avoir activé la région à partir du compte d'administrateur délégué.
Compte de membre suspendu : l'association de règles échoue si vous essayez d'associer une politique à un compte de membre suspendu.
