本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

安全 OU – 安全工具账户

下图说明了在 AWS 安全工具账户中配置的安全服务。

Security Tooling 账户专门用于操作安全服务 AWS 账户、监控以及自动发送安全警报和响应。安全目标包括以下内容：

安全服务的委派管理员

Security Tools 帐户充当安全服务的管理员帐户，这些服务在整个 administrator/member 结构中进行管理 AWS 账户。如前所述，这是通过 AWS Organizations 委派管理员功能来处理的。 AWS SRA 中目前支持委派管理员的服务包括 IAM 对根访问权限的集中管理、、、Amazon、IAM Access Analyzer AWS Config AWS Firewall Manager、Amazon Macie GuardDuty、、、Amazon Detective、 AWS Security Hub、Amazon Inspector AWS Security Hub CSPM、 AWS Audit Manager、Amazon Inspector AWS CloudTrail和。 AWS Systems Manager您的安全团队管理这些服务的安全功能，并监控任何特定于安全的事件或发现。

AWS IAM Identity Center 支持对成员账户进行委托管理。 AWS SRA 使用共享服务账户作为 IAM 身份中心的委托管理员账户，如共享服务账户的 IAM 身份中心部分稍后所述。

集中式根访问权限

Security Tooling 账户是 IAM 集中管理根访问权限的委托管理员账户。 必须在组织级别启用此功能，方法是在成员账户中启用凭据管理和特权 root 操作。必须明确向授权管理员提供sts:AssumeRoot权限，才能代表成员账户执行特权 root 操作。只有在组织管理账户或委托管理员账户中启用成员账户中的特权 root 操作后，此权限才可用。有了此权限，用户可以从 Security Tooling 账户集中对成员账户执行特权 root 用户任务。启动特权会话后，您可以删除配置错误的 S3 存储桶策略、删除配置错误的 SQS 队列策略、删除成员账户的根用户证书，以及重新启用成员账户的根用户证书。您可以使用 AWS Command Line Interface (AWS CLI) 或通过，从控制台执行这些操作 APIs。

AWS CloudTrail

AWS CloudTrail是一项支持对您的活动进行治理、合规和审计的服务 AWS 账户。借 CloudTrail助，您可以记录、持续监控和保留与整个 AWS 基础架构中的操作相关的账户活动。 CloudTrail 已与集成 AWS Organizations，并且该集成可用于创建单个跟踪，用于记录 AWS 组织中所有账户的所有事件。这称为组织跟踪。您只能通过组织的管理账户或委派的管理员账户创建和管理组织跟踪。创建组织跟踪时，将在属于您的 AWS 组织的每个跟踪中创建具有您指定名称 AWS 账户 的跟踪。跟踪记录 AWS 组织中所有账户（包括管理账户）的活动，并将日志存储在单个 S3 存储桶中。由于此 S3 存储桶的敏感性，您应遵循本指南后面的 Amazon S3 作为中央日志存储部分中概述的最佳实践来保护它。 AWS 组织中的所有账户都可以在其跟踪列表中看到组织跟踪。但是 AWS 账户 ，成员只能查看此路径。默认情况下，当您在 CloudTrail 控制台中创建组织跟踪时，该跟踪是多区域跟踪。有关其他安全最佳实践，请参阅CloudTrail文档。

在 AWS SRA 中，安全工具帐户是用于管理 CloudTrail的委派管理员帐户。存储组织跟踪日志的相应的 S3 存储桶是在日志存档账户中创建的。这是为了区分 CloudTrail日志权限的管理和使用。有关如何创建或更新 S3 存储桶以存储组织跟踪的日志文件的信息，请参阅CloudTrail 文档。作为安全最佳实践，将组织跟踪的aws:SourceArn条件密钥添加到 S3 存储桶（以及任何其他资源，例如 KMS 密钥或 SNS 主题）的资源策略中。这可确保 S3 存储桶仅接受与特定跟踪关联的数据。该跟踪配置了日志文件验证，以验证日志文件完整性。使用 SSE-KMS 对日志和摘要文件进行加密。组织跟踪还与 Logs 中的 CloudWatch 日志组集成，用于发送事件以进行长期保留。

AWS Security Hub CSPM

AWS Security Hub Cloud Security Posture Managem ent (AWS Security Hub CSPM)（以前称为 AWS Security Hub）可为您提供安全态势的全面视图， AWS 并帮助您根据安全行业标准和最佳实践检查您的环境。Security Hub CSPM 从各种 AWS 集成服务、支持的第三方产品以及您可能使用的其他自定义安全产品中收集安全数据。它可以帮助您持续监控和分析安全趋势，并确定最高优先级的安全问题。除了摄取的来源外，Security Hub CSPM 还会生成自己的发现，这些发现由映射到一个或多个安全标准的安全控制来表示。这些标准包括 AWS 基础安全最佳实践 (FSBP)、互联网安全中心 (CIS) AWS 基金会基准 v1.20 和 v1.4.0、美国国家标准与技术研究所 (NIST) SP 800-53 Rev. 5、支付卡行业数据安全标准 (PCI DSS) 和服务管理标准。有关当前安全标准列表和特定安全控制的详细信息，请参阅 Security Hub CSPM 文档中的 S ecurity Hub CSPM 标准参考。

Security Hub CSPM 与 AWS Organizations 集成，可简化组织中所有现有和未来账户的安全态势管理。 AWS 您可以使用委托管理员帐户（在本例中为安全工具）中的 Security Hub CSPM 中央配置功能来指定如何在您的组织账户和组织单位 (OUs) 中跨区域配置 Security Hub CSPM 服务、安全标准和安全控制。  您可以通过几个步骤从一个主区域（即主区域）配置这些设置。如果您不使用中央配置，则必须在每个账户和区域中分别配置 Security Hub CSPM。委托管理员可以将账户指定 OUs 为自我管理，成员可以在每个区域中单独配置设置，也可以指定为集中管理，委托管理员可以跨区域配置成员账户或 OU。您可以将组织 OUs 中的所有账户指定为集中管理、全部自我管理或两者兼而有之。这简化了执行一致性配置的过程，同时提供了为每个 OU 和账户修改配置的灵活性。 

Security Hub CSPM 委托管理员账户还可以查看所有成员账户的调查结果、查看见解和控制详细信息。此外，您还可以在委托管理员账户中指定一个聚合区域，以便在您的账户和关联区域中集中您的调查结果。您的发现将在聚合器区域与所有其他区域之间持续双向同步。

Security Hub CSPM 支持与多个集成。 AWS 服务亚马逊 GuardDuty、亚马逊 Macie AWS Config、IAM Access Analyzer、 AWS Firewall Manager Amazon Inspector、 Amazon Route 53 Resolver DNS 防火墙和 AWS Systems Manager 补丁管理器可以将调查结果提供给 Security Hub CSPM。Security Hub CSPM 使用一种称为AWS 安全调查结果格式 (ASFF) 的标准格式来处理调查结果。Security Hub CSPM 将集成产品的发现关联起来，确定最重要的产品的优先级。您可以丰富 Security Hub CSPM 发现的元数据，以帮助更好地对安全发现进行情境化、优先级排序和采取行动。这种扩充功能为采集到 Security Hub CSPM 的每个发现添加了资源标签、新的 AWS 应用程序标签和账户名信息。这可以帮助您微调自动化规则的发现，搜索或筛选发现结果和见解，并按应用程序评估安全态势状态。此外，您还可以使用自动化规则自动更新调查结果。当 Security Hub CSPM 摄取发现结果时，它可以应用各种规则操作，例如抑制搜索结果、更改其严重性以及在发现结果中添加注释。当搜索结果符合您的指定标准（例如与查找结果关联的资源或帐户 IDs 或其标题）时，这些规则操作就会生效。您可以使用自动化规则更新 ASFF 中的选定查找字段。规则适用于新的和更新的发现。

在调查安全事件期间，您可以从 Security Hub CSPM 导航到 Amazon Detective 以调查调查结果。 GuardDuty Security Hub CSPM 建议调整诸如 Detective（如果存在）之类的服务的委托管理员帐户，以便更顺畅地集成。例如，如果您不在 Detective 和 Security Hub CSPM 之间调整管理员帐户，则从调查结果导航到 Detective 将不起作用。有关完整列表，请参阅 Security Hub CSPM 文档中的 Security Hub CSPM AWS 服务 集成概述。

您可以将 Security Hub CSPM 与 Amazon VPC 的网络访问分析器功能配合使用，以帮助持续监控 AWS 网络配置的合规性。这将帮助您阻止不需要的网络访问，并有助于防止外部访问您的关键资源。有关架构和实施的更多细节，请参阅 AWS 博客文章使用 Amazon VPC 网络访问分析器持续验证网络合规性和 AWS Security Hub CSPM。

除了监控功能外，Security Hub CSPM 还支持与亚马逊集成 EventBridge ，以自动修复特定发现。您可以定义在收到调查结果时要采取的自定义操作。例如，您可以配置自定义操作，将结果发送到票证系统或自动修复系统。有关其他讨论和示例，请参阅 AWS 博客文章使用 AWS Security Hub CSPM自动响应和补救以及如何部署 Security Hub CSPM 自动响应和补救 AWS 解决方案。

Security Hub CSPM 使用服务关联 AWS Config 规则 来执行其大部分安全控制检查。要支持这些控制，AWS Config 必须在每个启用 Security AWS 区域 Hub CSPM 的账户（包括管理员（或委托管理员）账户和成员账户）上启用这些控制。

AWS Security Hub

AWS Security Hub是一款统一的云安全解决方案，可对您的关键安全威胁进行优先级排序，并帮助您大规模做出响应。Security Hub 通过自动关联和丰富来自多个来源的安全信号，例如状态管理 (AWS Security Hub CSPM)、漏洞管理 (Amazon Inspector)、敏感数据 (Amazon Macie) 和威胁检测 (亚马逊)，近乎实时地检测安全问题。 GuardDuty这使得安全团队能够通过自动化分析和上下文洞察优先处理云环境中的活跃风险。Security Hub 直观地呈现了潜在的攻击路径，攻击者可以利用这些路径来访问与暴露发现相关的资源。这将复杂的安全信号转化为切实可行的见解，因此您可以快速就自己的安全做出明智的决策。

Security Hub 经过了战略重新设计，以简化相关安全服务构建块的启用流程，从而实现安全成果。通过近乎实时地关联不同安全信号的威胁矩阵中的安全发现，您可以先确定最关键的风险的优先级。这些发现与检测与 AWS 资源相关的暴露相关。风险暴露代表了安全控制、配置错误或其他可能被主动威胁利用的领域中更广泛的弱点。例如，暴露可能是可以从 Internet 访问的实例，该 EC2 实例具有很可能被利用的软件漏洞。

Security Hub 和 Security Hub CSPM 是互补服务。Sec@@ urity Hub CSPM 可全面了解您的安全状况，并帮助您根据安全行业标准和最佳实践评估您的云环境。 Security Hub 提供统一的体验，可帮助您确定关键安全问题的优先顺序并做出响应。Security Hub CSPM 调查发现会自动路由到 Security Hub，在那里它们与其他安全服务（例如 Amazon Inspector）的调查发现相关联，从而产生暴露。这有助于您识别自己环境中最严重的风险。 

Security Hub 还按类型和相关发现提供 AWS 环境中资源的摘要。资源按照暴露和攻击序列确定优先级。选择资源类型时，您可以查看与该资源类型关联的所有资源。

为了获得最佳体验，我们建议启用 Security Hub 和 Security Hub CSPM，并启用其他安全服务：亚马逊 GuardDuty、Amazon Insp ector 和 Amazon Mac ie。通过使用 Security Hub Coverage 调查结果，您可以了解这些服务和功能是否已在组织的所有成员账户中统一启用。

在 AWS SRA 中，安全工具账户充当 Security Hub、Security Hub CSPM 和其他 AWS 安全服务的委托管理员。在 Security Tooling 账户中，您可以查看与成员账户关联的所有资源。您还可以通过链接查看家 AWS 区域 中的所有资源 AWS 区域。

Amazon GuardDuty

Amazon GuardDuty 是一项威胁检测服务，可持续监控恶意活动和未经授权的行为，以保护您的 AWS 账户 和工作负载。您必须始终捕获和存储适当的日志以进行监控和审计，但要直接从 AWS CloudTrail Amazon VPC 流日志和 AWS DNS 日志中 GuardDuty 提取独立的数据流。您无需管理 Amazon S3 存储桶策略或修改收集和存储日志的方式。 GuardDuty权限作为服务相关角色进行管理，您可以随时通过禁用来撤消这些角色。 GuardDuty这使得无需复杂配置即可轻松启用服务，并且消除了 IAM 权限修改或 S3 存储桶策略更改会影响服务运行的风险。

除了提供基础数据源外，还 GuardDuty 提供用于识别安全发现的可选功能。这些保护包括 EKS 保护、RDS 保护、S3 保护、恶意软件防护和 Lambda 防护。对于新的探测器，这些可选功能默认处于启用状态，但 EKS 防护除外，必须手动启用。

GuardDuty 还提供一项名为 “扩展威胁检测” 的功能，该功能可自动检测跨越数据源、多种 AWS 资源类型和时间段的多阶段攻击。 AWS 账户 GuardDuty关联这些事件（称为信号），以识别对您的 AWS 环境构成潜在威胁的场景，然后生成攻击序列发现。这涵盖了涉及与 AWS 证书滥用相关的泄露以及您的中的数据泄露企图的威胁场景 AWS 账户。 GuardDuty 将所有攻击序列查找类型视为 “严重”。默认情况下，此功能处于启用状态，并且不会产生任何额外费用。

在 AWS SRA 中，通过在所有账户中启 GuardDuty 用 AWS Organizations，并且所有发现均可由相应的安全团队在 GuardDuty 委派的管理员帐户（在本例中为安全工具帐户）中查看和采取行动。 GuardDuty 活动调查结果将导出到日志存档账户中的中央 S3 存储桶中，因此您可以将发现的保留时间超过 90 天。调查结果从委托管理员账户导出，还包括来自同一区域关联成员账户的所有调查结果。S3 存储桶中的结果使用 AWS KMS 客户托管密钥进行加密。S3 存储桶策略和 KMS 密钥策略配置 GuardDuty为仅允许使用资源。

启用后 AWS Security Hub CSPM ，搜索 GuardDuty 结果会自动流向 Security Hub CSPM 和 Security Hub。启用 Amazon Detective 后， GuardDuty 发现的结果将包含在 Detective 日志采集流程中。 GuardDuty 和 Detective 支持跨服务用户工作流程，其中 GuardDuty 提供来自控制台的链接，可将您从选定的发现重定向到包含一组精选的可视化效果的 Detective 页面，用于调查该发现。例如，您还可以 GuardDuty 与 Amazon EventBridge 集成，自动执行最佳实践 GuardDuty，例如自动回复新 GuardDuty 发现。

AWS Config

AWS Config是一项使您能够评估、审核和评估中受支持 AWS 资源的配置的服务 AWS 账户。 AWS Config 持续监控和记录 AWS 资源配置，并根据所需的配置自动评估记录的配置。您还可以 AWS Config 与其他服务集成，在自动审计和监控管道中完成繁重的工作。例如， AWS Config 可以监视中各个密钥的变化 AWS Secrets Manager。

您可以使用来评估 AWS 资源的配置设置AWS Config 规则。 AWS Config 提供了一个名为托管规则的可自定义预定义规则库，您也可以编写自己的自定义规则。您可以在主动模式（部署资源之前）或侦探模式（部署资源之后）下运行 AWS Config 规则 。当配置发生更改时，可以按定期计划或按选择的频率对资源进行评估。 

一致性包是 AWS Config 规则和补救措施的集合，可以作为单个实体部署在账户和区域中 AWS Organizations，也可以跨组织部署。一致性包是通过创作一个 YAML 模板来创建的，该模板包含 AWS Config 托管或自定义规则和补救操作的列表。要开始评估您的 AWS 环境，请使用其中一个样本一致性包模板。

AWS Config 与集成 AWS Security Hub CSPM ，将 AWS Config 托管和自定义规则评估的结果作为结果发送到 Security Hub CSPM。

AWS Config 规则 可以与结合使用， AWS Systems Manager 以有效修复不合规的资源。您可以使用 Systems Manager Explorer 收集 AWS 账户 跨界中AWS Config规则的合规性状态， AWS 区域 然后使用 S ystems Manager 自动化文档（运行手册）来解决您的不合规 AWS Config 规则。有关实施的详细信息，请参阅博客文章《使用 AWS Systems Manager 自动化运行手册修复不合规 AWS Config 规则》。

AWS Config 聚合器在中收集多个账户、地区和组织的配置和合规性数据。 AWS Organizations聚合器仪表板显示聚合资源的配置数据。库存和合规性仪表板提供有关组织中 AWS 账户、跨 AWS 区域组织或 AWS 组织内部的 AWS 资源配置和合规性状态的重要和最新信息。它们使您无需编写 AWS Config 高级查询即可对 AWS 资源库存进行可视化和评估。 您可以获得基本见解，例如按资源划分的合规性摘要、拥有不合规资源的前 10 个账户、按类型比较正在运行和已停止的 EC2 实例以及按卷类型和大小划分的 EBS 卷。

如果您使用 AWS Control Tower 管理您的 AWS 组织，它将部署一组 AWS Config 规则作为侦探护栏（分为必修规则、强烈推荐规则或选修规则）。这些护栏可帮助您管理资源并监控组织中各个账户的合规性。 AWS 这些 AWS Config 规则将自动使用值为的aws-control-tower标签managed-by-control-tower。

AWS Config 必须为 AWS 组织中包含要保护的资源的每个成员帐户启用。 AWS 区域 您可以集中管理（例如，创建、更新和删除） AWS 组织内所有账户的 AWS Config 规则。通过 AWS Config 委派管理员帐户，您可以在所有账户中部署一组通用的 AWS Config 规则，并指定不应在其中创建 AWS Config 规则的帐户。 AWS Config 委派的管理员账户还可以汇总来自所有成员账户的资源配置和合规性数据，以提供单一视图。使用 APIs 来自委派管理员账户的，通过确保 AWS 组织中的成员账户无法修改基础 AWS Config 规则来强制治理。 AWS Config 如果启用了 Security Hub CSPM 并且至少存在一条 AWS Config 托管或自定义规则，则本机集成可将发现结果发送到 AWS Security Hub CSPM。

在 AWS SRA 中， AWS Config 委托的管理员帐户是安全工具帐户。 AWS Config 传输通道配置为在日志存档账户的集中式 S3 存储桶中传送资源配置快照。由于日志存档帐户是中央日志存储库，因此它用于存储资源配置。

Amazon Security Lake

Amazon Secur ity Lake 是一项完全托管的安全数据湖服务。您可以使用 Security Lake 自动集中来自 AWS 环境、软件即服务 (SaaS) 提供商、本地和第三方来源的安全数据。Security Lake 可帮助您构建标准化数据源，简化分析工具而不是安全数据的使用，因此您可以更全面地了解整个组织的安全状况。数据湖由 Amazon Simple Storage Service (Amazon S3) 存储桶提供支持，您保留数据的所有权。Security Lake 会自动收集日志 AWS 服务，包括 AWS CloudTrail亚马逊 VPC、Amazon Route 53、Amazon S3 AWS Lambda、Amazon EKS 审计日志、 AWS Security Hub CSPM 调查结果和 AWS WAF 日志。

AWS SRA 建议您使用日志存档帐户作为 Security Lake 的委托管理员帐户。有关设置委托管理员账户的更多信息，请参阅安全 OU — 日志存档账户部分中的 Amazon Security Lak e。想要访问 Security Lake 数据或需要能够使用自定义提取、转换和加载 (ETL) 函数将非原生日志写入 Security Lake 存储桶的安全团队应在 Security Tools 账户中操作。

Security Lake 可以收集来自不同云提供商的日志、来自第三方解决方案的日志或其他自定义日志。我们建议您使用安全工具帐户执行 ETL 函数，将日志转换为开放网络安全架构框架 (OCSF) 格式，并以 Apache Parquet 格式输出文件。Security Lake 创建跨账户角色，该角色对安全工具账户和由 Lambda 函数 AWS Glue 或爬虫支持的自定义源具有适当权限，用于向 Security Lake 的 S3 存储桶写入数据。

Security Lake 管理员应配置使用安全工具帐户并需要访问 Security Lake 作为订阅者收集的日志的安全小组。 Security Lake 支持两种类型的订阅者访问：

有关创建订阅者的更多信息，请参阅 Security Lake 文档中的订阅者管理。 

有关提取自定义源的最佳实践，请参阅 Security Lake 文档中的从自定义来源收集数据。

您可以使用 Amazon Quick Sight、亚马逊 OpenSearch 服务和亚马逊 SageMaker对存储在 Security Lake 中的安全数据进行分析。

Amazon Macie

Amazon Macie 是一项完全托管的数据安全和数据隐私服务，它使用机器学习和模式匹配来发现和帮助保护您的敏感数据。 AWS您需要确定您的工作负载正在处理的数据的类型和分类，以确保实施适当的控制措施。您可以使用 Macie 通过两种方式自动发现和报告敏感数据：执行自动敏感数据发现以及创建和运行敏感数据发现任务。通过自动发现敏感数据，Macie 每天都会评估您的 S3 存储桶清单，并使用采样技术从您的存储桶中识别和选择具有代表性的 S3 对象。然后，Macie 检索并分析所选对象，检查它们是否有敏感数据。敏感数据发现工作可提供更深入、更有针对性的分析。使用此选项，您可以定义分析的广度和深度，包括要分析的 S3 存储桶、采样深度以及源自 S3 对象属性的自定义标准。如果 Macie 检测到存储桶的安全性或隐私存在潜在问题，它会为您创建策略调查发现。默认情况下，所有新的 Macie 客户都将启用自动数据发现，现有的 Macie 客户只需点击一下即可启用自动数据发现。

Macie 已通过 AWS Organizations以下方式在所有账户中启用。在委托管理员账户（在本例中为 Security Tooling 账户）中拥有相应权限的委托人可以在任何账户中启用或暂停 Macie，为成员账户拥有的存储分区创建敏感数据发现任务，以及查看所有成员账户的所有策略结果。只有创建敏感发现任务的账户才能查看敏感数据调查结果。有关更多信息，请参阅 Macie 文档中的作为一个组织管理多个 Macie 帐户。

Macie 的调查结果将提交给 AWS Security Hub CSPM 进行审查和分析。Macie 还与 Amazon 集成， EventBridge 以促进对警报、安全信息和事件管理 (SIEM) 系统的馈送以及自动补救等发现的自动响应。

IAM 访问分析器

随着您加快 AWS Cloud 采用过程并继续创新，保持对细粒度访问权限（权限）的严格控制、遏制访问激增并确保有效使用权限至关重要。过多和未使用的访问权限会带来安全挑战，并使企业更难执行最小权限原则。该原则是一个重要的安全架构支柱，它涉及不断调整IAM权限的大小，以平衡安全要求与运营和应用程序开发需求。这项工作涉及多个利益相关者角色，包括中央安全和云卓越中心 (CCoE) 团队以及去中心化开发团队。

AWS Identity and Access Management A@@ ccess Analyzer 提供的工具可以有效地设置细粒度权限、验证预期权限，并通过删除未使用的访问权限来优化权限，从而帮助您满足企业安全标准。它使您可以通过仪表板和控制面板查看外部和内部对 AWS 资源的访问以及未使用的访问结果AWS Security Hub CSPM。此外，它还支持 Amazon 基于事件 EventBridge的自定义通知和补救工作流程。

IAM Access Analyzer 外部访问分析器发现结果功能可帮助您识别 AWS 组织和账户中与外部实体共享的资源，例如 A mazon S3 存储桶或 IAM 角色。您选择的 AWS 组织或账户被称为信任区域。分析器使用自动推理来分析信任区域内所有支持的资源，并为可以从信任区域之外访问资源的委托人生成调查结果。这些发现有助于识别与外部实体共享的资源，并帮助您在部署资源权限之前预览您的政策如何影响公共和跨账户访问您的资源。此项服务无需额外付费。

同样，IAM Access Analyzer 内部访问分析器查找功能可帮助您识别 AWS 组织中的资源以及与组织或账户内部委托人共享的账户。此分析通过确保只有组织内的目标委托人才能访问您的指定资源，从而支持最低权限原则。这是一项付费功能，需要明确配置资源才能进行检查。谨慎地使用此功能来监视特定的敏感资源，根据设计，即使在内部也需要锁定这些资源。

IAM Access Analyzer 的调查结果还可以帮助您识别您的 AWS 组织和账户中授予的未使用访问权限，包括： 

您可以使用 IAM Access Analyzer 生成的调查结果，根据贵组织的策略和安全标准，了解并修复任何意外或未使用的访问。修复后，下次运行分析器时，这些发现将被标记为已解决。如果发现是故意的，您可以在 IAM Access Analyzer 中将其标记为已存档，并优先考虑其他存在更大安全风险的发现。此外，您可以设置存档规则以自动存档特定的调查结果。例如，您可以创建一个存档规则，来自动存档您定期为其授予访问权限的特定 Amazon S3 存储桶的调查发现。 

作为构建者，您可以使用 IAM Access Analyzer 在开发和部署 (CI/CD) 流程的早期自动执行 IAM 策略检查，以遵守您的企业安全标准。作为开发团队 CI/CD 管道的一部分，您可以将 IAM Access Analyzer 自定义策略检查和策略审查与 AWS CloudFormation 集成，从而自动执行策略审查。这包括： 

安全团队和其他 IAM 策略作者可以使用 IAM Access Analyzer 来编写符合 IAM 策略语法和安全标准的策略。手动编写大小合适的策略可能容易出错且耗时。IAM Access Analyzer 策略生成功能可帮助编写基于委托人访问活动的 IAM 策略。IAM Access Analyzer 会查看支持的服务的 AWS CloudTrail日志，并生成一个策略模板，其中包含委托人在指定日期范围内使用的权限。然后，您可以使用此模板创建具有精细权限的策略，该策略仅授予必要的权限。

IAM Access Analyzer 是通过中的委托管理员功能在安全工具账户中部署的 AWS Organizations。授权的管理员有权创建和管理以 AWS 组织为信任区的分析器。

AWS Firewall Manager

AWS Firewall Manager通过简化跨多个账户和资源对 AWS WAF、 AWS Shield Advanced、Amazon VPC 安全组和 Amazon Route 53 Resolver DNS 防火墙的管理和维护任务 AWS Network Firewall，帮助保护您的网络。使用 Firewall Manager，您只需设置一次 AWS WAF 防火墙规则、Shield 高级保护、Amazon VPC 安全组、网络防火墙和 DNS 防火墙规则组关联。即使您添加新资源，该服务也会自动跨账户和资源应用您的规则和保护。

当您想要保护整个 AWS 组织而不是少数特定帐户和资源，或者您经常添加想要保护的新资源时，Firewall Manager 特别有用。Firewall Manager 使用安全策略允许您定义一组配置，包括必须部署的相关规则、保护和操作，以及要包含或排除的帐户和资源（由标签指示）。您可以创建精细而灵活的配置，同时仍然能够将控制范围扩展到大量帐户和 VPCs. 即使创建了新账户和资源，这些策略也会自动一致地强制执行您配置的规则。Firewall Manager 通过在所有帐户中启用 AWS Organizations，配置和管理由相应的安全团队在 Firewall Manager 委派的管理员帐户（在本例中为安全工具帐户）中执行。

您必须 AWS Config 为 AWS 区域 包含要保护的资源的每个资源启用该选项。如果您不想 AWS Config 为所有资源启用该功能，则必须为与您所使用的 Firewall Manager 策略类型关联的资源启用该功能。当你同时使用两者 AWS Security Hub CSPM 以及防火墙管理器时，Firewall Manager 会自动将你的发现发送到 Security Hub CSPM。Firewall Manager 会为不合规的资源及其检测到的攻击创建调查结果，并将发现结果发送到 Security Hub CSPM。为设置 Firewall Manager 策略时 AWS WAF，可以集中启用所有范围内帐户的 Web 访问控制列表 (Web ACLs) 上的登录功能，并将日志集中在一个帐户下。

使用 Firewall Manager，您可以有一个或多个管理员来管理组织的防火墙资源。分配多个管理员时，您可以应用限制性管理范围条件来定义每个管理员可以管理的资源（帐户 OUs、区域、策略类型）。这使您可以灵活地在组织中使用不同的管理员角色，并帮助您保持最低权限访问的原则。 AWS SRA 使用一名管理员，其全部管理权限委托给安全工具帐户。

Amazon EventBridge

Amazon EventBridge 是一项无服务器事件总线服务，可以直接将您的应用程序与来自各种来源的数据连接起来。它经常用于安全自动化。您可以设置路由规则来确定将数据发送到何处，从而构建能够实时响应所有数据源的应用程序架构。除了在每个账户中使用默认事件总线外，您还可以创建自定义事件总线来接收来自自定义应用程序的事件。您可以在 Security Tools 账户中创建事件总线，该总线可以接收来自 AWS 组织中其他账户的安全特定事件。例如，通过链接 AWS Config 规则 GuardDuty、Amazon 和 AWS Security Hub CSPM EventBridge，您可以创建一个灵活、自动化的管道，用于路由安全数据、发出警报和管理解决问题的操作。

Amazon Detective

Amazon Detective 让您的安全分析师可以直接分析、调查和快速识别安全发现或可疑活动的根本原因，从而支持您的响应式安全控制策略。Detective 会自动从 AWS CloudTrail 日志和 Amazon VPC 流日志中提取基于时间的事件，例如登录尝试、API 调用和网络流量。Detective 通过使用独立的日志流和 Amazon VPC 流 CloudTrail 日志来使用这些事件。您可以使用 Detective 访问长达一年的历史事件数据。Detective 使用机器学习和可视化来创建统一的交互式视图，以了解您的资源行为以及资源之间随时间推移的交互情况，这称为行为图。您可以浏览行为图来检查不同的操作，例如登录尝试失败或可疑 API 调用。

Detective 与 Amazon Security Lake 集成，使安全分析师能够查询和检索存储在 Security Lake 中的日志。在 Detective 中进行安全调查时，您可以使用此集成从存储在 Security Lake 中的 CloudTrail 日志和 Amazon VPC 流日志中获取更多信息。

Detective 还会摄取 Amazon 检测到的结果 GuardDuty，包括GuardDuty 运行时监控检测到的威胁。当某个帐户启用 Detective 时，它将成为行为图的管理员帐户。在尝试启用 Detective 之前，请确保您的账户已注册至少 48 小时。 GuardDuty 如果您不满足此要求，则无法启用 DetectiveDetective。

Detective 的其他可选数据源包括 Amazon EKS 审核日志和 AWS Security Hub CSPM。Amazon EKS 审核日志数据源增强了所提供的有关以下实体类型的信息：Amazon EKS 集群、Kubernetes 容器、容器镜像和 Kubernetes 主体。Security Hub 数据源是AWS 安全发现的一部分，它将跨产品的发现关联到 Security Hub，然后将其摄取到 Detective 中。

Detective 会自动将与单个安全漏洞事件相关的多个发现分组到查找组中。威胁行为者通常会执行一系列操作，这些操作会导致多个跨时间和资源的安全发现。因此，调查小组应是涉及多个实体和调查结果的调查的起点。Detective 还使用生成式 AI 来提供查找小组摘要，该人工智能会自动分析查找群组，并以自然语言提供见解，以帮助您加快安全调查。

Detective 与... 集成 AWS Organizations。组织管理账户委托一个成员账户作为 Detective 管理员账户。在 AWS SRA 中，这是安全工具帐户。Detective 管理员帐户能够自动启用组织中所有当前成员帐户作为 Detective 成员帐户，还可以在将新成员帐户添加到 AWS 组织时添加这些帐户。Detective 管理员账户还可以邀请当前不居住在 AWS 组织中但位于同一地区的成员账户将其数据贡献到主账户的行为图中。当成员账户接受邀请并启用时，Detective 开始提取该成员账户的数据并将其提取到该行为图中。

AWS Audit Manager

AWS Audit Manager帮助您持续审核 AWS 使用情况，从而简化管理审计和遵守法规和行业标准的方式。它使您能够从手动收集、审查和管理证据转变为自动收集证据的解决方案，提供一种跟踪审计证据来源的简单方法，支持团队协作，并有助于管理证据的安全性和完整性。当需要进行审计时，Audit Manager 可帮助您管理利益相关者对控件的审核。

使用 Audit Manager，您可以根据预先构建的框架进行审计，例如互联网安全中心 (CIS) 基准、CIS AWS 基金会基准、系统和组织控制 2 (SOC 2) 和支付卡行业数据安全标准 (PCI DSS)。它还使您能够根据内部审计的具体要求使用标准或自定义控件创建自己的框架。

Audit Manager 收集了四种类型的证据。自动生成三种类型的证据：来自和的合规性检查证据 AWS Security Hub CSPM、来自 AWS Config 和的管理事件证据 AWS CloudTrail，以及来自 AWS service-to-service API 调用的配置证据。对于无法自动处理的证据，Audit Manager 允许您上传手动证据。

默认情况下，您在 Audit Manager 中的数据使用 AWS 托管密钥进行加密。 AWS SRA 使用客户管理的密钥进行加密，以更好地控制逻辑访问。您还应该在 Audit Manager 发布评估报告 AWS 区域 的地方配置 S3 存储桶。这些存储桶应使用客户托管密钥进行加密，并具有配置为仅允许 Audit Manager 发布报告的存储桶策略。 

Audit Manager 评估可以跨 AWS 组织中的多个账户进行。Audit Manager 收集证据并将其合并到中的委托管理员帐户中。 AWS Organizations此审计功能主要由合规和内部审计团队使用，只需要您的读取权限 AWS 账户。

AWS Artifact

AWS Artifact托管在 Security Tools 账户中，用于将合规性项目管理功能与 AWS 组织管理账户分开。这种职责分工很重要，因为除非绝对必要，否则我们建议您避免使用 AWS 组织管理帐户进行部署。相反，将部署传递给成员账户。由于审计对象管理可以通过成员帐户完成，并且该职能与安全与合规团队密切一致，因此 Security Tools 帐户被指定为 AWS Artifact管理员帐户。您可以使用 AWS Artifact 报告下载 AWS 安全和合规性文档，例如 AWS ISO 认证、支付卡行业 (PCI) 以及系统和组织控制 (SOC) 报告。

AWS Artifact 不支持委派管理功能。相反，您可以将此功能限制为 Security Tools 账户中与您的审计和合规团队相关的 IAM 角色，这样他们就可以根据需要下载、查看这些报告并将其提供给外部审计员。此外，您还可以通过 IAM 策略限制特定的 IAM 角色只能访问特定的 AWS Artifact 报告。有关 IAM 策略的示例，请参阅AWS Artifact 文档。

AWS KMS

AWS Key Management Service(AWS KMS) 可帮助您创建和管理加密密钥，并控制其在各种 AWS 服务 应用程序中的使用。 AWS KMS 是一项安全且有弹性的服务，它使用硬件安全模块来保护加密密钥。它遵循行业标准的密钥材料生命周期流程，例如密钥的存储、轮换和访问控制。 AWS KMS 可以使用加密和签名密钥来帮助保护您的数据，并且可以通过加密 SDK 用于服务器端加密和客户端加AWS 密。为了保护和灵活性， AWS KMS 支持三种类型的密钥：客户托管密钥、 AWS 托管密钥和 AWS 自有密钥。客户管理的密 AWS KMS 钥 AWS 账户 是您创建、拥有和管理的密钥。 AWS 托管 AWS KMS 密钥是您账户中的密钥，由与集成的用户代表您创建、管理和使用 AWS KMS。 AWS 服务 AWS 拥有的密钥是 AWS 服务 拥有并管理的 AWS KMS 密钥的集合，用于多个密钥 AWS 账户。有关使用 AWS KMS 密钥的更多信息，请参阅AWS KMS 文档和AWS KMS 加密详细信息。

一种部署选项是将 AWS KMS 密钥管理的责任集中到单个账户，同时使用密钥和 IAM 策略的组合，委托应用程序资源使用应用程序账户中密钥的权限。这种方法既安全又易于管理，但是由于限制限制、账户服务 AWS KMS 限制以及安全团队被大量操作密钥管理任务所淹没，您可能会遇到障碍。另一种部署选项是采用去中心化模式，在这种模式中，您可以 AWS KMS 允许驻留在多个账户中，并允许负责特定账户中基础设施和工作负载的人员管理自己的密钥。此模型使您的工作负载团队能够更好地控制加密密钥的使用，提高灵活性和敏捷性。它还有助于避免 API 限制，将影响范围限制为 AWS 账户 仅一个，并简化报告、审计和其他与合规相关的任务。在去中心化模式中，重要的是要部署和强制执行护栏，以便以相同的方式管理分散式密钥，并根据既定的最佳实践和政策对 AWS KMS 密钥的使用进行审计。有关更多信息，请参阅白皮书AWS Key Management Service 最佳实践。 AWS SRA 建议采用分布式密钥管理模式，在这种模式中， AWS KMS 密钥存储在本地使用密钥的账户中。我们建议您避免在一个账户中使用单一密钥来实现所有加密功能。可以根据功能和数据保护要求创建密钥，并强制执行最小权限原则。在某些情况下，加密权限将与解密权限分开，管理员将管理生命周期功能，但无法使用他们管理的密钥加密或解密数据。

在 Security AWS KMS Tools 帐户中，用于管理集中式安全服务的加密，例如由 AWS CloudTrail 组织管理的 AWS 组织跟踪。

AWS 私有 CA

AWS 私有证书颁发机构(AWS 私有 CA) 是一项托管私有 CA 服务，可帮助您安全地管理实 EC2 例、容器、物联网设备和本地资源的私有终端实体 TLS 证书的生命周期。它允许与正在运行的应用程序进行加密 TLS 通信。使用 AWS 私有 CA，您可以创建自己的 CA 层次结构（从属于终端实体证书的根 CA） CAs，并使用它颁发证书，以对内部用户、计算机、应用程序、服务、服务器和其他设备进行身份验证，并对计算机代码进行签名。私有 CA 颁发的证书仅在您的 AWS 组织内部受信任，在互联网上不受信任。

公钥基础架构 (PKI) 或安全团队可以负责管理所有 PKI 基础架构。这包括私有 CA 的管理和创建。但是，必须有一项规定，允许工作量团队自行满足其证书要求。 AWS SRA 描绘了一个集中的 CA 层次结构，其中根 CA 托管在安全工具账户中。这使安全团队能够实施严格的安全控制，因为根 CA 是整个 PKI 的基础。但是，通过使用 AWS Resource Access Manager (AWS RAM) 将私有 CA 共享给应用程序账户，将私有 CA 的私有证书创建委托给应用程序开发团队。 AWS RAM 管理跨账户共享所需的权限。这样就无需在每个账户中都使用私有 CA，并提供了一种更具成本效益的部署方式。有关工作流程和实现的更多信息，请参阅博客文章 “AWS RAM 如何使用共享您的 AWS 私有 CA 跨账户”。

Amazon Inspector

Amazon Inspector 是一项自动漏洞管理服务，可自动发现和扫描亚马逊 EC2 实例、亚马逊弹性容器注册表 (Amazon ECR) Elastic Registry 中的容器映像、 AWS Lambda 函数和源代码管理器中的代码存储库，以查找已知的软件漏洞和意外网络泄露。

每当你对资源进行更改时，Amazon Inspector 都会自动扫描资源，从而在资源的整个生命周期中持续评估您的环境。启动资源重新扫描的事件包括在 EC2 实例上安装新软件包、安装补丁以及发布影响资源的新常见漏洞和暴露 (CVE) 报告。Amazon Inspector 支持互联网安全中心 (CIS) 在 EC2 实例中对操作系统进行基准评估。

Amazon Inspector 与 Jenkins 等开发者工具集成， TeamCity 用于容器映像评估。您可以评估您的容器镜像是否存在持续集成和持续交付（CI/CD) tools, and push security to an earlier point in the software development lifecycle. Assessment findings are available in the CI/CD工具控制面板）中的软件漏洞，这样您就可以执行自动操作来应对关键的安全问题，例如构建受阻或映像推送到容器注册表。如果你有活跃的 AWS 账户，你可以从你的 CI/CD 工具市场安装 Amazon Inspector 插件，然后在你的构建管道中添加亚马逊 Inspector 扫描，而无需激活 Amazon Inspector 服务。此功能适用于托管在任何地方（本地 AWS、本地或混合云中）的 CI/CD 工具，因此您可以在所有开发管道中始终如一地使用单一解决方案。激活 Amazon Inspector 后，它会自动大规模发现您的所有 EC2 实例、Amazon ECR 和 CI/CD 工具中的容器镜像以及 Lambda 函数，并持续监控它们是否存在已知漏洞。

Amazon Inspector 的网络可访问性调查结果评估您的 EC2 实例通过虚拟网关进出 VPC 边缘（例如互联网网关、VPC 对等连接或虚拟专用网络 (VPNs)）的可访问性。这些规则有助于自动监控您的 AWS 网络，并识别由于安全组、访问控制列表 (ACLs)、Internet 网关等管理不当而导致 EC2实例的网络访问配置不当的地方。有关更多信息，请参阅 Amazon Inspector 文档。

当 Amazon Inspector 发现漏洞或开放的网络路径时，它会生成一个可供您调查的结果。该发现包括有关该漏洞的全面细节，包括风险评分、受影响的资源和补救建议。风险评分是专门针对您的环境量身定制的，其计算方法是将 up-to-date CVE 信息与时间和环境因素（例如网络可访问性和可利用性信息）关联起来，从而提供上下文调查结果。

Amazon Inspector Code Secur ity 会扫描第一方应用程序源代码、第三方应用程序依赖项和基础设施即代码 (IaC) 以查找漏洞。 激活 Code Security 后，您可以创建扫描配置并将其应用于代码存储库，以确定扫描频率、扫描类型和要扫描的存储库。 代码安全支持静态应用程序安全测试 (SAST)、软件组成分析 (SCA) 和 IaC 扫描。要配置频率，您可以按需、更改代码时或定期定义扫描。代码扫描可捕获代码片段以突出显示检测到的漏洞。代码片段使用 KMS 密钥加密存储。组织的委派管理员无法查看属于成员账户的代码片段。将源代码管理器 (SCMs) 与代码安全集成后，所有代码存储库都会在 Amazon Inspector 控制台中作为项目列出。代码安全仅监控每个存储库的默认分支。Amazon Inspector 通过直接在开发人员工作的地方提供特定的代码修复建议来简化安全补救措施。与您的 SCM 的双向集成会自动在拉取请求 (PRs) 和合并请求 (MRs) 中以评论形式建议修复关键和重要发现，并提醒开发人员注意需要解决的最重要的漏洞，而不会中断他们的工作流程。 

要扫描漏洞，必须使用 AWS Systems Manager Agent (SSMAgent) 在中AWS Systems Manager管理 EC2 实例。 无需代理即可实现 EC2 实例的网络可访问性或对 Amazon ECR 或 Lambda 函数中的容器映像进行漏洞扫描。

Amazon Inspector 与委托管理集成 AWS Organizations 并支持委托管理。在 AWS SRA 中，安全工具账户被设为 Amazon Inspector 的委托管理员账户。Amazon Inspector 委托管理员账户可以管理 AWS 组织成员的调查结果数据和某些设置。这包括查看所有成员账户的汇总结果的详细信息、启用或禁用对成员账户的扫描，以及查看 AWS 组织内扫描的资源。

AWS 安全事件响应

AWS 安全事件响应是一项服务，可帮助您为 AWS 环境中的安全事件做好准备并做出响应。它会对发现的结果进行分类，升级安全事件，并管理需要您立即关注的案例。 此外，它还允许您访问 AWS 客户事件响应小组 (CIRT)，该小组负责调查受影响的资源。 AWS 安全事件响应 还通过 AWS Systems Manager 文档（SSM 文档）提供自动响应和补救功能，帮助安全团队更有效地响应安全事件并从中恢复。 AWS 安全事件响应 与 Amazon GuardDuty 集成 AWS Security Hub CSPM，可接收安全调查结果并编排自动响应。

在 AWS SRA 中 AWS 安全事件响应 ，作为委托管理员帐户部署在安全工具帐户中。之所以选择 Security Tools 帐户，是因为它符合该账户的目的，即运营安全服务以及自动发送安全警报和响应。安全工具帐户还充当 Security Hub CSPM 的委托管理员帐户，除此之外 GuardDuty，它还有助于简化工作流程管理。 AWS 安全事件响应 AWS 安全事件响应 配置为使用 AWS Organizations，因此您可以通过 Security Tooling 帐户管理组织账户中的事件响应。

AWS 安全事件响应 帮助您实施事件响应生命周期的以下阶段：

您也可以使用创建自我管理 AWS 安全事件响应 的案例。 AWS 安全事件响应 当您需要了解可能影响您的账户或资源的事情或采取行动时，可以创建出站通知或案例。只有当您在订阅中启用主动响应和警报分类工作流程时，此功能才可用。

在所有内部署通用安全服务 AWS 账户

本参考文献前面的 “在 AWS 组织中应用安全服务” 部分重点介绍了保护组织的安全服务 AWS 账户，并指出其中许多服务也可以在内部配置和管理 AWS Organizations。其中一些服务应部署在所有账户中，您将在 AWS SRA中看到它们。这可以实现一组一致的护栏，并在整个组织中提供集中式监控、管理和治理。 AWS

Security Hub CSPM、、 GuardDuty、 AWS Config、IAM Access Analyzer 和 CloudTrail 组织跟踪出现在所有账户中。前三个支持前面在 “管理帐户”、“可信访问权限和委派管理员” 一节中讨论的委派管理员功能。 CloudTrail 目前使用不同的聚合机制。

AWS SRA GitHub 代码存储库提供了在所有账户（包括组织管理账户）上启用 Security Hub CSPM GuardDuty AWS Config AWS Firewall Manager、、、和 CloudTrail 组织跟踪的 AWS 实现示例。