Destinos gerenciado centralmente versus autogerenciados
Quando você usa a configuração central, o administrador delegado do CSPM do AWS Security Hub pode designar cada conta da organização, da unidade organizacional (UO) e da raiz como gerenciada centralmente ou autogerenciada. O tipo de gerenciamento de um alvo determina como é possível especificar suas configurações do CSPM do Security Hub.
Para obter informações contextuais sobre os benefícios da configuração central e como ela funciona, consulte Noções básicas sobre a configuração central no CSPM do Security Hub.
Esta seção explica as diferenças entre uma designação gerenciada centralmente e autogerenciada, e como escolher o tipo de gerenciamento de uma conta, de uma UO ou da raiz.
- Autogerenciado
O proprietário de uma conta autogerenciada, de uma UO ou da raiz deve definir suas configurações em cada Região da AWS separadamente. O administrador delegado não pode criar políticas de configuração para alvos autogerenciados.
- Gerenciada centralmente
Apenas o administrador delegado do CSPM do Security Hub pode definir configurações para as contas, as UOs e a raiz gerenciadas centralmente na região inicial e nas regiões vinculadas. As políticas de configuração podem ser associadas a contas e UOs gerenciadas centralmente.
O administrador delegado pode alternar o status de um alvo entre autogerenciado e gerenciado centralmente. Por padrão, todas as contas e UOs são autogerenciadas quando você inicia a configuração central por meio da API do CSPM do Security Hub. No console, o tipo de gerenciamento dependerá da sua primeira política de configuração. As contas e UOs que você associa à sua primeira política são gerenciadas centralmente. Outras contas e UOs são autogerenciadas por padrão.
Se você associar uma política de configuração a uma conta anteriormente autogerenciada, as configurações da política substituirão a designação autogerenciada. A conta passará a ser gerenciada centralmente e adotará as configurações refletidas na política de configuração.
Se você alterar uma conta gerenciada centralmente para uma conta autogerenciada, as configurações aplicadas anteriormente à conta por meio de uma política de configuração permanecerão em vigor. Por exemplo, uma conta gerenciada centralmente poderia inicialmente ser associada a uma política que habilitasse o CSPM do Security Hub, habilitasse as Práticas Recomendadas de Segurança Básica da AWS e desabilitasse o CloudTrail.1. Se você designar a conta como autogerenciada, todas as configurações permanecerão inalteradas. No entanto, o proprietário da conta pode alterar de forma independente as configurações da conta daqui para frente.
Contas filhas e UOs podem herdar o comportamento autogerenciado de uma conta pai autogerenciada, da mesma forma que contas filhas e UOs podem herdar políticas de configuração de uma conta pai gerenciada centralmente. Para obter mais informações, consulte Associação de políticas por meio de aplicação e herança.
Uma conta autogerenciada ou UO não pode herdar uma política de configuração de um nó superior ou da raiz. Por exemplo, se você quiser que todas as contas e UOs da sua organização herdem uma política de configuração da raiz, será necessário alterar o tipo de gerenciamento dos nós autogerenciados para gerenciados centralmente.
Opções para definir configurações em contas autogerenciadas
As contas autogerenciadas devem definir suas próprias configurações separadamente em cada região.
Os proprietários de contas autogerenciadas podem invocar as seguintes operações da APIs do CSPM do Security Hub em cada região para definir suas configurações:
EnableSecurityHubeDisableSecurityHubpara habilitar ou desabilitar o serviço do CSPM do Security Hub (se uma conta autogerenciada tiver um administrador delegado do CSPM do Security Hub, o administrador deverá desassociar a conta antes que o proprietário da conta possa desabilitar o CSPM do Security Hub).BatchEnableStandardseBatchDisableStandardspara habilitar ou desabilitar padrõesBatchUpdateStandardsControlAssociationsouUpdateStandardsControlpara habilitar ou desabilitar
As contas autogerenciadas também podem usar as operações *Invitations e *Members. Porém, recomendamos que as contas autogerenciadas não usem essas operações. As associações de políticas podem não funcionar se uma conta de membro tiver seus os próprios membros e eles fizerem parte de uma organização diferente da organização do administrador delegado.
Para obter descrições das ações da API do CSPM do Security Hub, consulte a Referência da API do CSPM do AWS Security Hub.
As contas autogerenciadas também podem usar o console do CSPM do Security Hub ou a AWS CLI para definir suas configurações em cada região.
As contas autogerenciadas não podem invocar nenhuma API relacionada às políticas de configuração e associações de políticas do CSPM do Security Hub. Somente o administrador delegado pode invocar APIs de configuração central e usar políticas de configuração para configurar contas gerenciadas centralmente.
Escolher o tipo de gerenciamento de um alvo
Escolha seu método preferido e siga as etapas para designar uma conta ou UO como gerenciada centralmente ou autogerenciada no CSPM do AWS Security Hub.
