AWS Security Hub 的托管策略

securityhub – 允许主体完全访问所有 Security Hub CSPM 操作。

guardduty— 允许委托人在 Amazon 中对探测器、组织管理员管理、成员账户管理和组织范围的配置进行完整的生命周期管理。 GuardDuty这包括 API 操作： GetDetector、 ListDetector、 CreateDetector、 UpdateDetector、 DeleteDetector、 EnableOrganizationAdminAccount、、 ListOrganizationAdminAccounts、 CreateMembers、 UpdateOrganizationConfiguration、 DescribeOrganizationConfiguration。

iam— 允许委托人为 Security Hub CSPM 和 Security Hub 创建服务相关角色并获取角色、策略和策略版本。

inspector— 允许委托人在 Amazon Inspector 中获取有关账户状态的信息、启用或禁用、委派管理员管理以及执行组织配置管理。这包括 API 操作： BatchGetAccountStatus、启用、禁用 EnableDelegatedAdminAccount、 DisableDelegatedAdminAccount、、 ListDelegatedAdminAccounts、 UpdateOrganizationConfiguration、 DescribeOrganizationConfiguration。

pricing— 允许校长获取 AWS 服务 和产品的价目表。

account— 允许委托人获取有关账户区域的信息，以支持 Security Hub 中的区域管理。

securityhub：允许用户执行返回项目列表或项目详细信息的操作。这包括以Get、List 或 Describe 开头的 API 操作。

organizations:ListAccounts：允许主体检索属于某个组织的账户列表。

organizations:DescribeOrganization：允许主体检索有关组织的信息。

organizations:ListRoots：允许主体列出组织的根。

organizations:ListDelegatedAdministrators：允许主体列出组织的委派管理员。

organizations:ListAWSServiceAccessForOrganization— 允许委托人列出组织使用 AWS 服务 的。

organizations:ListOrganizationalUnitsForParent：允许主体列出父组织单元（OU）的子 OU。

organizations:ListAccountsForParent：允许主体列出父 OU 的子账户。

organizations:ListParents— 列出作为指定子 OU 或帐户的直系父级的根单位或组织单位 (OUs)。

organizations:DescribeAccount – 让委托人可以检索有关企业中某个账户的信息。

organizations:DescribeOrganizationalUnit：允许主体检索有关组织中某个 OU 的信息。

organizations:ListPolicies – 检索指定类型的组织中所有策略的列表。

organizations:ListPoliciesForTarget – 列出直接附加到指定的目标根、组织单元（OU）或账户的策略。

organizations:ListTargetsForPolicy— 列出指定策略所关联的所有根目录、组织单位 (OUs) 和帐户。

organizations:EnableAWSServiceAccess – 允许主体启用与 Organions 的集成。

organizations:RegisterDelegatedAdministrator – 允许主体指定委派管理员账户。

organizations:DeregisterDelegatedAdministrator – 允许主体移除委派管理员账户。

organizations:DescribePolicy – 检索有关策略的信息。

organizations:DescribeEffectivePolicy – 返回指定的策略类型和账户的有效策略的内容。

organizations:CreatePolicy— 创建指定类型的策略，您可以将其附加到根帐户、组织单位 (OU) 或个人 AWS 账户。

organizations:UpdatePolicy – 使用新的名称、描述或内容更新现有策略。

organizations:DeletePolicy – 从您的组织中删除指定的策略。

organizations:AttachPolicy – 将策略附加到根、组织单元（OU）或单个账户。

organizations:DetachPolicy – 将策略从目标根、组织单元（OU）或账户分离。

organizations:EnablePolicyType – 在根中启用一种策略类型。

organizations:DisablePolicyType – 在根中禁用一种组织策略类型。

organizations:TagResource – 将一个或多个标签添加到指定的资源。

organizations:UntagResource – 从指定的资源中移除具有指定密钥的任何标签。

organizations:ListTagsForResource – 列出附加到指定资源的标签。

organizations:DescribeResourcePolicy— 检索有关资源策略的信息。

cloudtrail— 检索有关 CloudTrail 路径的信息。

cloudwatch— 检索当前 CloudWatch 警报。

logs— 检索 CloudWatch 日志的指标筛选器。

sns：检索 SNS 主题的订阅列表。

config— 检索有关配置记录器、资源和 AWS Config 规则的信息。还允许服务相关角色创建和删除 AWS Config 规则，并根据规则运行评估。

iam – 检索和生成账户的凭证报告。

organizations：检索组织的账户和组织单元（OU）信息。

securityhub – 检索有关如何配置 Security Hub CSPM 服务、标准和控件的信息。

tag：检索有关资源标签的信息。

cloudwatch— 检索指标数据以支持 Security Hub 资源的计量功能。

config— 管理 Security Hub 资源的服务相关配置记录器，包括支持全局 Config 记录器。

ecr— 检索有关 Amazon Elastic Container Registry 镜像和存储库的信息，以支持

iam— 为其创建服务相关角色 AWS Config 并检索账户信息以支持计量功能。

lambda— 检索 AWS Lambda 功能信息以支持计量功能。

organizations：检索组织的账户和组织单元（OU）信息。

securityhub – 管理 Security Hub 配置。

tag：检索有关资源标签的信息。