As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWS políticas gerenciadas para o Security Hub

Uma política AWS gerenciada é uma política autônoma criada e administrada por AWS. AWS as políticas gerenciadas são projetadas para fornecer permissões para muitos casos de uso comuns, para que você possa começar a atribuir permissões a usuários, grupos e funções.

Lembre-se de que as políticas AWS gerenciadas podem não conceder permissões de privilégio mínimo para seus casos de uso específicos porque estão disponíveis para uso de todos os AWS clientes. Recomendamos que você reduza ainda mais as permissões definindo as políticas gerenciadas pelo cliente que são específicas para seus casos de uso.

Você não pode alterar as permissões definidas nas políticas AWS gerenciadas. Se AWS atualizar as permissões definidas em uma política AWS gerenciada, a atualização afetará todas as identidades principais (usuários, grupos e funções) às quais a política está anexada. AWS é mais provável que atualize uma política AWS gerenciada quando uma nova AWS service (Serviço da AWS) for lançada ou novas operações de API forem disponibilizadas para serviços existentes.

Para mais informações, consulte Políticas gerenciadas pela AWS no Manual do usuário do IAM.

AWS política gerenciada: AWSSecurityHubFullAccess

É possível anexar a política AWSSecurityHubFullAccess às identidades do IAM.

Essa política concede permissões administrativas que permitem ao principal acesso total a todas as ações do CSPM do Security Hub. Essa política deve ser anexada a um diretor antes que ele habilite o CSPM do Security Hub manualmente para sua conta. Por exemplo, entidades principais com essas permissões podem visualizar e atualizar o status das descobertas. Elas podem configurar insights personalizados e habilitar integrações. Também podem habilitar e desabilitar padrões e controles. As entidades principais de uma conta de administrador também podem gerenciar contas de membro.

Detalhes das permissões

Esta política inclui as seguintes permissões.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SecurityHubAllowAll",
            "Effect": "Allow",
            "Action": "securityhub:*",
            "Resource": "*" 
        },
        {
            "Sid": "SecurityHubServiceLinkedRole",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": [
                        "securityhub.amazonaws.com",
                        "securityhubv2.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "OtherServicePermission",
            "Effect": "Allow",
            "Action": [
                "guardduty:GetDetector",
                "guardduty:ListDetectors",
                "inspector2:BatchGetAccountStatus",
                "pricing:GetProducts"
            ],
            "Resource": "*"
        }
    ]
}

Política gerenciada pelo CSPM do Security Hub: AWSSecurityHubReadOnlyAccess

É possível anexar a política AWSSecurityHubReadOnlyAccess às identidades do IAM.

Essa política concede permissões somente para leitura que permitem que os usuários visualizem informações no CSPM do Security Hub. Os diretores com essa política anexada não podem fazer nenhuma atualização no CSPM do Security Hub. Por exemplo, entidades principais com essas permissões podem ver a lista de descobertas associadas à conta, mas não podem alterar o status de uma descoberta. Elas podem ver os resultados dos insights, mas não podem criar ou configurar insights personalizados. Também não podem configurar controles ou integrações de produtos.

Detalhes das permissões

Esta política inclui as seguintes permissões.

{
    "Version": "2012-10-17",
    "Statement": [ 
        {
            "Sid": "AWSSecurityHubReadOnlyAccess",
            "Effect": "Allow",
            "Action": [
                "securityhub:Get*",
                "securityhub:List*",
                "securityhub:BatchGet*",
                "securityhub:Describe*"
            ],
            "Resource": "*"
        }
    ]
}

AWS política gerenciada: AWSSecurityHubOrganizationsAccess

É possível anexar a política AWSSecurityHubOrganizationsAccess às identidades do IAM.

Essa política concede permissões administrativas para habilitar e gerenciar o Security Hub e o Security Hub CSPM dentro de uma organização.

As permissões dessa política permitem que a conta de gerenciamento da organização designe a conta de administrador delegado para o Security Hub e o Security Hub CSPM. Eles também permitem que a conta do administrador delegado habilite as contas da organização como contas de membros.

Essa política fornece apenas as permissões para o Organizations. A conta de gerenciamento da organização e a conta de administrador delegado também exigem permissões para ações associadas. Essas permissões podem ser concedidas usando a política gerenciada do AWSSecurityHubFullAccess.

Detalhes das permissões

Esta política inclui as seguintes permissões.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "OrganizationPermissions",
            "Effect": "Allow",
            "Action": [
                "organizations:ListAccounts",
                "organizations:DescribeOrganization",
                "organizations:ListRoots",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListAccountsForParent",
                "organizations:ListParents",
                "organizations:DescribeAccount",
                "organizations:DescribeOrganizationalUnit",
                "organizations:ListPolicies",
                "organizations:ListPoliciesForTarget",
                "organizations:ListTargetsForPolicy"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OrganizationPermissionsEnable",
            "Effect": "Allow",
            "Action": "organizations:EnableAWSServiceAccess",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "securityhub.amazonaws.com"
                }
            }
        },
        {
             "Sid": "OrganizationPermissionsDelegatedAdmin",
             "Effect": "Allow",
             "Action": [
             "organizations:RegisterDelegatedAdministrator",
             "organizations:DeregisterDelegatedAdministrator"
             ],
             "Resource": "arn:aws:organizations::*:account/o-*/*",
             "Condition": {
                 "StringEquals": {
                     "organizations:ServicePrincipal": "securityhub.amazonaws.com"
                  }
            }
         },
        {
             "Sid": "OrganizationPolicyPermissions",
             "Effect": "Allow",
             "Action": [
                 "organizations:DescribePolicy",
                 "organizations:DescribeEffectivePolicy",
                 "organizations:CreatePolicy",
                 "organizations:UpdatePolicy",
                 "organizations:DeletePolicy",
                 "organizations:AttachPolicy",
                 "organizations:DetachPolicy",
                 "organizations:EnablePolicyType",
                 "organizations:DisablePolicyType"
             ],
            "Resource": [
                 "arn:aws:organizations::*:root/o-*/*",
                 "arn:aws:organizations::*:account/o-*/*",
                 "arn:aws:organizations::*:ou/o-*/*",
                 "arn:aws:organizations::*:policy/o-*/securityhub_policy/*"
             ],
             "Condition": {
                 "StringLikeIfExists": {
                     "organizations:PolicyType": "SECURITYHUB_POLICY"
                 }
             }
         },
         {
             "Sid": "OrganizationPolicyTaggingPermissions",
             "Effect": "Allow",
             "Action": [
                 "organizations:TagResource",
                 "organizations:UntagResource",
                 "organizations:ListTagsForResource"
             ],
             "Resource": [
                 "arn:aws:organizations::*:policy/o-*/securityhub_policy/*"
             ]
        }
    ]
}

AWS política gerenciada: AWSSecurityHubServiceRolePolicy

Não é possível anexar a AWSSecurityHubServiceRolePolicy às entidades do IAM. Essa política é anexada a uma função vinculada ao serviço que permite que o CSPM do Security Hub execute ações em seu nome. Para obter mais informações, consulte Funções vinculadas a serviços para AWS Security Hub.

Essa política concede permissões administrativas que permitem que a função vinculada ao serviço execute as verificações de segurança dos controles CSPM do Security Hub.

Detalhes das permissões

Esta política inclui permissões para fazer o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [ 
        {
            "Sid": "SecurityHubServiceRolePermissions",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:DescribeTrails",
                "cloudtrail:GetTrailStatus",
                "cloudtrail:GetEventSelectors",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:DescribeAlarmsForMetric",
                "logs:DescribeMetricFilters",
                "sns:ListSubscriptionsByTopic",
                "config:DescribeConfigurationRecorders",
                "config:DescribeConfigurationRecorderStatus",
                "config:DescribeConfigRules",
                "config:DescribeConfigRuleEvaluationStatus",
                "config:BatchGetResourceConfig",
                "config:SelectResourceConfig",
                "iam:GenerateCredentialReport",
                "organizations:ListAccounts",
                "config:PutEvaluations",
                "tag:GetResources",
                "iam:GetCredentialReport",
                "organizations:DescribeAccount",
                "organizations:DescribeOrganization",
                "organizations:ListChildren",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:DescribeOrganizationalUnit",
                "securityhub:BatchDisableStandards",
                "securityhub:BatchEnableStandards",
                "securityhub:BatchUpdateStandardsControlAssociations",
                "securityhub:BatchGetSecurityControls",
                "securityhub:BatchGetStandardsControlAssociations",
                "securityhub:CreateMembers",
                "securityhub:DeleteMembers",
                "securityhub:DescribeHub",
                "securityhub:DescribeOrganizationConfiguration",
                "securityhub:DescribeStandards",
                "securityhub:DescribeStandardsControls",
                "securityhub:DisassociateFromAdministratorAccount",
                "securityhub:DisassociateMembers",
                "securityhub:DisableSecurityHub",
                "securityhub:EnableSecurityHub",
                "securityhub:GetEnabledStandards",
                "securityhub:ListStandardsControlAssociations",
                "securityhub:ListSecurityControlDefinitions",
                "securityhub:UpdateOrganizationConfiguration",
                "securityhub:UpdateSecurityControl",
                "securityhub:UpdateSecurityHubConfiguration",
                "securityhub:UpdateStandardsControl",
                "tag:GetResources"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecurityHubServiceRoleConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "config:PutConfigRule",
                "config:DeleteConfigRule",
                "config:GetComplianceDetailsByConfigRule"
            ],
            "Resource": "arn:aws:config:*:*:config-rule/aws-service-rule/*securityhub*"
        },
        {
            "Sid": "SecurityHubServiceRoleOrganizationsPermissions",
            "Effect": "Allow",
            "Action": [
                "organizations:ListDelegatedAdministrators"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": [
                        "securityhub.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

AWS política gerenciada: AWSSecurityHubV2ServiceRolePolicy

Essa política permite que o Security Hub gerencie AWS Config regras e recursos do Security Hub em sua organização e em seu nome. Essa política é vinculada a uma função associada a um serviço, o que possibilita que este serviço execute ações em seu próprio nome. Não é possível vincular esta política a usuários, grupos ou funções. Para obter mais informações, consulte Funções vinculadas a serviços para AWS Security Hub.

Detalhes das permissões

Esta política inclui permissões para fazer o seguinte:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SecurityHubV2ServiceRoleAssetsConfig",
            "Effect": "Allow",
            "Action": [
                "config:DeleteServiceLinkedConfigurationRecorder",
                "config:DescribeConfigurationRecorders",
                "config:DescribeConfigurationRecorderStatus",
                "config:PutServiceLinkedConfigurationRecorder"
            ],
            "Resource": "arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForSecurityHubAssets/*"
        },
        {
            "Sid": "SecurityHubV2ServiceRoleAssetsIamPermissions",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig",
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "config.amazonaws.com"
                }
            }
        },
        {
            "Sid": "SecurityHubV2ServiceRoleSecurityHubPermissions",
            "Effect": "Allow",
            "Action": [
                "securityhub:DisableSecurityHubV2",
                "securityhub:EnableSecurityHubV2",
                "securityhub:DescribeSecurityHubV2"
            ],
            "Resource": "arn:aws:securityhub:*:*:hubv2/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "SecurityHubV2ServiceRoleTagPermissions",
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecurityHubV2ServiceRoleOrganizationsPermissionsOnResources",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeAccount",
                "organizations:DescribeOrganizationalUnit"
            ],
            "Resource": "arn:aws:organizations::*:*"
        },
        {
            "Sid": "SecurityHubV2ServiceRoleOrganizationsPermissionsWithoutResources",
            "Effect": "Allow",
            "Action": [
                "organizations:DescribeOrganization",
                "organizations:ListAccounts",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListChildren"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecurityHubV2ServiceRoleDelegatedAdminPermissions",
            "Effect": "Allow",
            "Action": [
                "organizations:ListDelegatedAdministrators"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": [
                        "securityhub.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Atualizações do CSPM do Security Hub para políticas AWS gerenciadas

Veja detalhes sobre as atualizações das políticas AWS gerenciadas do Security Hub CSPM desde que esse serviço começou a rastrear essas alterações. Para receber alertas automáticos sobre alterações nessa página, assine o feed RSS na página de histórico de documentos CSPM do Security Hub.