Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Obiettivi gestiti centralmente e obiettivi autogestiti
Quando si abilita la configurazione centrale, l'amministratore delegato di AWS Security Hub CSPM può designare ogni account dell'organizzazione, unità organizzativa (OU) e root come gestiti centralmente o autogestiti. Il tipo di gestione di una destinazione determina come specificare le relative impostazioni CSPM del Security Hub.
Per informazioni di base sui vantaggi della configurazione centralizzata e su come funziona, consulta. Comprendere la configurazione centrale in Security Hub CSPM
Questa sezione spiega le differenze tra una designazione gestita centralmente e una autogestita e come scegliere il tipo di gestione di un account, di un'unità organizzativa o della directory principale.
- Self-managed
Il proprietario di un account, unità organizzativa o root autogestito deve configurarne le impostazioni separatamente in ciascuno di essi. Regione AWS L'amministratore delegato non può creare politiche di configurazione per obiettivi autogestiti.
- Gestito centralmente
Solo l'amministratore delegato di Security Hub CSPM può configurare le impostazioni per gli account, le unità organizzative gestite centralmente o la radice nella regione principale e nelle regioni collegate. Le policy di configurazione possono essere associate ad account e unità organizzative gestiti centralmente.
L'amministratore delegato può cambiare lo stato di una destinazione tra gestione automatica e gestione centralizzata. Per impostazione predefinita, tutti gli account e l'unità organizzativa vengono gestiti automaticamente quando si avvia la configurazione centrale tramite l'API CSPM Security Hub. Nella console, il tipo di gestione dipende dalla prima politica di configurazione. Gli account e le unità organizzative associati alla prima policy vengono gestiti centralmente. Per impostazione predefinita, gli altri account e unità organizzative vengono gestiti automaticamente.
Se si associa una politica di configurazione a un account precedentemente gestito in modo autonomo, le impostazioni dei criteri hanno la precedenza sulla designazione autogestita. L'account viene gestito centralmente e adotta le impostazioni riportate nella politica di configurazione.
Se si modifica un account gestito centralmente in un account autogestito, le impostazioni precedentemente applicate all'account tramite una politica di configurazione rimangono invariate. Ad esempio, un account gestito centralmente potrebbe inizialmente essere associato a una policy che abilitava Security Hub CSPM, abilitava le migliori pratiche di sicurezza AWS di base e disabilitava. CloudTrail.1 Se poi si designa l'account come autogestito, tutte le impostazioni rimangono invariate. Tuttavia, il proprietario dell'account può modificare autonomamente le impostazioni dell'account in futuro.
Gli account figli e le unità organizzative possono ereditare il comportamento autogestito da un genitore autogestito, allo stesso modo in cui gli account figli e le unità organizzative possono ereditare le politiche di configurazione da un genitore gestito centralmente. Per ulteriori informazioni, consulta Associazione delle politiche tramite applicazione ed ereditarietà.
Un account o un'unità organizzativa autogestiti non possono ereditare una politica di configurazione da un nodo principale o dalla radice. Ad esempio, se si desidera che tutti gli account e le unità organizzative dell'organizzazione ereditino una politica di configurazione dalla radice, è necessario modificare il tipo di gestione dei nodi autogestiti in gestione centralizzata.
Opzioni per configurare le impostazioni negli account autogestiti
Self-managed gli account devono configurare le proprie impostazioni separatamente in ciascuna regione.
I proprietari di account autogestiti possono richiamare le seguenti operazioni dell'API CSPM Security Hub in ciascuna regione per configurare le proprie impostazioni:
EnableSecurityHubeDisableSecurityHubper abilitare o disabilitare il servizio CSPM di Security Hub (se un account autogestito ha un amministratore CSPM di Security Hub delegato, l'amministratore deve dissociare l'account prima che il proprietario dell'account possa disabilitare Security Hub CSPM).BatchEnableStandardseBatchDisableStandardsper abilitare o disabilitare gli standardBatchUpdateStandardsControlAssociationsoUpdateStandardsControlper abilitare o disabilitare i controlli
Self-managed gli account possono anche utilizzare *Invitations e *Members operare. Tuttavia, consigliamo che gli account autogestiti non utilizzino queste operazioni. Le associazioni di policy possono fallire se un account membro ha i propri membri che fanno parte di un'organizzazione diversa da quella dell'amministratore delegato.
Per le descrizioni delle azioni dell'API CSPM di Security Hub, vedere il riferimento all'API CSPM AWS di Security Hub.
Self-managed gli account possono anche utilizzare la console CSPM di Security Hub o AWS CLI configurare le proprie impostazioni in ciascuna regione.
Self-managed gli account non possono richiamare alcuna API relativa ai criteri di configurazione e alle associazioni di policy di Security Hub CSPM. Solo l'amministratore delegato può richiamare le API di configurazione centrale e utilizzare le politiche di configurazione per configurare account gestiti centralmente.
Scelta del tipo di gestione di una destinazione
Scegli il tuo metodo preferito e segui i passaggi per designare un account o un'unità organizzativa come gestito centralmente o autogestito in AWS Security Hub CSPM.
