翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
Security Hub ポリシーの構文と例
Security Hub ポリシーは、組織全体で Security Hub を有効にして設定する方法を定義する、標準化された JSON 構文に従います。ポリシー構造を理解することで、セキュリティ要件に対して効果的なポリシーを作成できます。
考慮事項
Security Hub ポリシーを作成する前に、ポリシー構文に関する以下の重要なポイントを理解してください。
-
ポリシーでは
enable_in_regionsと の両方disable_in_regionsのリストが必要ですが、空にすることもできます。 -
有効なポリシーを処理する場合、
disable_in_regionsは よりも優先されますenable_in_regions。 -
子ポリシーは、明示的に制限されていない限り、継承演算子を使用して親ポリシーを変更できます。
-
ALL_SUPPORTED指定には、現在および将来のリージョンの両方が含まれます。 -
リージョン名は有効で、Security Hub で使用できる必要があります。
-
featuresマップはオプションで、商用 AWS リージョン ( AWS GovCloud (US) Regions および中国リージョン以外のリージョン) でのみ使用できます。 AWS GovCloud (US) Regions または中国リージョンでは使用できません。 -
機能内の
enable_in_regionsと の両方disable_in_regionsのリストが必要ですが、空にすることもできます。 -
有効なポリシーを処理する場合、
disable_in_regionsは最上位リストと同じenable_in_regions機能で優先されます。 -
機能は、同じ有効なポリシーによって Security Hub が有効になっているリージョンでのみ設定されます。リージョンで Security Hub を無効にすると、そのリージョンの機能も無効になります。
-
機能
disable_in_regionsのリストenable_in_regionsにも にも表示されないリージョンは、ポリシーによって管理されません。 -
featuresマップまたはその中の機能が省略されると、その機能はポリシーによって管理されません。
基本的なポリシー構造
Security Hub ポリシーは、次の基本構造を使用します。
{ "securityhub": { "enable_in_regions": { "@@append": ["ALL_SUPPORTED"], "@@operators_allowed_for_child_policies": ["@@all"] }, "disable_in_regions": { "@@append": [], "@@operators_allowed_for_child_policies": ["@@all"] } } }
Security Hub ポリシーには、ネットワークスキャンなどのオプトイン Security Hub 機能を組織全体で管理するためのオプションのfeaturesマップを含めることもできます。features マップは商用 AWS リージョンでのみ使用できます。
{ "securityhub": { "enable_in_regions": { "@@assign": ["ALL_SUPPORTED"], "@@operators_allowed_for_child_policies": ["@@all"] }, "disable_in_regions": { "@@assign": [], "@@operators_allowed_for_child_policies": ["@@all"] }, "features": { "network_scanning": { "enable_in_regions": { "@@assign": ["us-east-1", "us-west-2"], "@@operators_allowed_for_child_policies": ["@@all"] }, "disable_in_regions": { "@@assign": [], "@@operators_allowed_for_child_policies": ["@@all"] } } } } }
ポリシーの構成要素
Security Hub ポリシーには、次の主要なコンポーネントが含まれます。
securityhub-
ポリシー設定の最上位コンテナ。
すべての Security Hub ポリシーに必要です。
enable_in_regions-
Security Hub を有効にする必要があるリージョンのリスト。
特定のリージョン名または を含めることができます
ALL_SUPPORTED。必須フィールドですが、空にすることができます。
を使用する場合
ALL_SUPPORTED、 には将来のリージョンが含まれます。 disable_in_regions-
Security Hub を無効にする必要があるリージョンのリスト。
特定のリージョン名または を含めることができます
ALL_SUPPORTED。必須フィールドですが、空にすることができます。
リージョンが両方のリストに表示される
enable_in_regions場合よりも優先されます。 - 継承演算子
-
@@assign - 継承された値を上書きします。
@@append - 既存の値に新しい値を追加します。
@@remove - 継承された設定から特定の値を削除します。
features-
オプトイン Security Hub 機能設定のコンテナ。
オプションで、商用 AWS リージョンでのみ使用できます。
省略すると、すべての機能がポリシーによって管理されないままになります。
各機能は、 などの独自の子ブロックによって設定されます
network_scanning。 network_scanning-
featuresマップ内のネットワークスキャン機能を制御します。オプション。省略すると、ネットワークスキャンはポリシーによって管理されません。
独自の
enable_in_regionsおよびdisable_in_regionsリストが含まれます。 enable_in_regions( 内network_scanning)-
ネットワークスキャンを有効にする必要があるリージョンのリスト。
特定のリージョン名または を含めることができます
ALL_SUPPORTED。必須フィールドですが、空にすることができます。
を使用する場合
ALL_SUPPORTED、 には、このポリシーによって Security Hub が有効になっているすべてのリージョンが含まれます。ネットワークスキャンは、このポリシーによって Security Hub も有効になっているリージョンでのみ有効になります。
disable_in_regions( 内network_scanning)-
ネットワークスキャンを無効にする必要があるリージョンのリスト。
特定のリージョン名または を含めることができます
ALL_SUPPORTED。必須フィールドですが、空にすることができます。
リージョンが両方のリストに表示される
enable_in_regions場合よりも優先されます。
Security Hub ポリシーの例
以下は、一般的な Security Hub ポリシー設定例を示します。
以下の例では、現在および将来のすべてのリージョンで Security Hub を有効にします。enable_in_regions リストALL_SUPPORTEDで を使用し、disable_in_regions空のままにすることで、このポリシーは新しいリージョンが利用可能になったときに包括的なセキュリティカバレッジを確保します。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "ALL_SUPPORTED" ] }, "disable_in_regions":{ "@@assign":[ ] } } }
この例では、disable_in_regionsリストが よりも優先されるため、将来のリージョンを含むすべてのリージョンで Security Hub を無効にしますenable_in_regions。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "us-east-1", "us-west-2" ] }, "disable_in_regions":{ "@@assign":[ "ALL_SUPPORTED" ] } } }
次の例は、子ポリシーが継承演算子を使用して親ポリシー設定を変更する方法を示します。このアプローチにより、ポリシー構造全体を維持しながらきめ細かなコントロールを提供します。子ポリシーは、 に新しいリージョンを追加enable_in_regionsし、 からリージョンを削除しますdisable_in_regions。
{ "securityhub":{ "enable_in_regions":{ "@@append":[ "eu-central-1" ] }, "disable_in_regions":{ "@@remove":[ "us-west-2" ] } } }
この例では、 を使用せずに複数の特定のリージョンで Security Hub を有効にする方法を示しますALL_SUPPORTED。これにより、Security Hub が有効になっているリージョンを正確に制御できますが、指定されていないリージョンはポリシーによって管理されません。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "us-east-1", "us-west-2", "eu-west-1", "ap-southeast-1" ] }, "disable_in_regions":{ "@@assign":[ ] } } }
次の例は、ほとんどのリージョンで Security Hub を有効にし、特定の場所で明示的に無効にすることで、リージョンのコンプライアンス要件を処理する方法を示しています。disable_in_regions リストが優先されるため、他のポリシー設定に関係なく、これらのリージョンで Security Hub が無効のままになります。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "ALL_SUPPORTED" ] }, "disable_in_regions":{ "@@assign":[ "ap-east-1", "me-south-1" ] } } }
次の例では、2 つのリージョンで Security Hub を有効にし、同じリージョンでネットワークスキャンを有効にします。features マップは商用 AWS リージョンでのみ使用できます。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "us-east-1", "us-west-2" ] }, "disable_in_regions":{ "@@assign":[ ] }, "features":{ "network_scanning":{ "enable_in_regions":{ "@@assign":[ "us-east-1", "us-west-2" ] }, "disable_in_regions":{ "@@assign":[ ] } } } } }
この例では、3 つのリージョンで Security Hub を有効にしますが、そのうち 2 つのリージョンでのみネットワークスキャンを有効にします。ではeu-west-1、Security Hub は、そのリージョンがどちらの機能リストにもないため、ネットワークスキャンがポリシーによって管理されないままになっている間に有効になります。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "us-east-1", "us-west-2", "eu-west-1" ] }, "disable_in_regions":{ "@@assign":[ ] }, "features":{ "network_scanning":{ "enable_in_regions":{ "@@assign":[ "us-east-1", "us-west-2" ] }, "disable_in_regions":{ "@@assign":[ ] } } } } }
次の例では、 でネットワークスキャンを有効にus-east-1し、 で無効にしますus-west-2。disable_in_regions が優先されるため、両方のリストにリージョンが表示されus-west-2ても、ネットワークスキャンは で無効のままになります。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "us-east-1", "us-west-2" ] }, "disable_in_regions":{ "@@assign":[ ] }, "features":{ "network_scanning":{ "enable_in_regions":{ "@@assign":[ "us-east-1" ] }, "disable_in_regions":{ "@@assign":[ "us-west-2" ] } } } } }
この例では、disable_in_regionsリストが優先されるため、現在および将来のすべてのリージョンで Security Hub を有効にしたまま、すべてのリージョンでネットワークスキャンを無効にします。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "ALL_SUPPORTED" ] }, "disable_in_regions":{ "@@assign":[ ] }, "features":{ "network_scanning":{ "enable_in_regions":{ "@@assign":[ ] }, "disable_in_regions":{ "@@assign":[ "ALL_SUPPORTED" ] } } } } }
この例では、現在および将来のすべてのリージョンで Security Hub を有効にし、空の特徴量セットを使用してネットワークスキャンをポリシーによって管理されません。これは、featuresマップを省略する場合と同じ効果があります。
{ "securityhub":{ "enable_in_regions":{ "@@assign":[ "ALL_SUPPORTED" ] }, "disable_in_regions":{ "@@assign":[ ] }, "features":{ "network_scanning":{ "enable_in_regions":{ "@@assign":[ ] }, "disable_in_regions":{ "@@assign":[ ] } } } } }
次の例は、子ポリシーが継承演算子を使用して親ポリシーのネットワークスキャンリージョンを拡張する方法を示しています。子ポリシーは、最上位のリージョンenable_in_regionsリストで継承が機能するのと同じ方法で@@append、 を使用して継承されたリストにリージョンを追加します。
{ "securityhub":{ "features":{ "network_scanning":{ "enable_in_regions":{ "@@append":[ "us-west-2" ] } } } } }
