的操作、资源和条件键 AWS Security Hub

AWS Security Hub（服务前缀:securityhub）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。
查看此服务的编程服务授权参考。

主题

API 操作定义为 AWS Security Hub
操作定义为 AWS Security Hub
Permission-only 的动作 AWS Security Hub
定义的资源类型 AWS Security Hub
的条件密钥 AWS Security Hub

API 操作定义为 AWS Security Hub

下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。

操作	IAM 操作	访问级别
AcceptAdministratorInvitation	安全中心：AcceptAdministratorInvitation	写入
AcceptInvitation	安全中心：AcceptInvitation	写入
BatchDeleteAutomationRules	安全中心：BatchDeleteAutomationRules	写入
BatchDisableStandards	安全中心：BatchDisableStandards	写入
BatchEnableStandards	安全中心：BatchEnableStandards	写入
BatchGetAutomationRules	安全中心：BatchGetAutomationRules	读取
BatchGetConfigurationPolicyAssociations	安全中心：BatchGetConfigurationPolicyAssociations	读取
BatchGetSecurityControls	安全中心：BatchGetSecurityControls	读取
BatchGetSecurityControls	安全中心：DescribeStandardsControls	读取
BatchGetStandardsControlAssociations	安全中心：BatchGetStandardsControlAssociations	读取
BatchGetStandardsControlAssociations	安全中心：DescribeStandardsControls	读取
BatchImportFindings	安全中心：BatchImportFindings	写入
BatchUpdateAutomationRules	安全中心：BatchUpdateAutomationRules	写入
BatchUpdateFindings	安全中心：BatchUpdateFindings	写入
BatchUpdateFindingsV2	安全中心：BatchUpdateFindings	写入
BatchUpdateStandardsControlAssociations	安全中心：BatchUpdateStandardsControlAssociations	写入
BatchUpdateStandardsControlAssociations	安全中心：UpdateStandardsControl	写入
CreateActionTarget	安全中心：CreateActionTarget	写入
V2 CreateAggregator	securityhub：V2 CreateAggregator	写入
V2 CreateAggregator	安全中心：TagResource	标记、写作
CreateAutomationRule	安全中心：CreateAutomationRule	写入
CreateAutomationRule	安全中心：TagResource	标记、写作
CreateAutomationRuleV2	安全中心：CreateAutomationRuleV2	写入
CreateAutomationRuleV2	安全中心：TagResource	标记、写作
CreateConfigurationPolicy	安全中心：CreateConfigurationPolicy	写入
CreateConfigurationPolicy	安全中心：TagResource	标记、写作
CreateConnector	安全中心：CreateConnector	写入
CreateConnector	安全中心：TagResource	标记、写作
V2 CreateConnector	securityhub：V2 CreateConnector	写入
V2 CreateConnector	安全中心：TagResource	标记、写作
CreateFindingAggregator	安全中心：CreateFindingAggregator	写入
CreateInsight	安全中心：CreateInsight	写入
CreateMembers	安全中心：CreateMembers	写入
V2 CreateTicket	securityhub：V2 CreateTicket	写入
DeclineInvitations	安全中心：DeclineInvitations	写入
DeleteActionTarget	安全中心：DeleteActionTarget	写入
V2 DeleteAggregator	securityhub：V2 DeleteAggregator	写入
DeleteAutomationRuleV2	安全中心：DeleteAutomationRuleV2	写入
DeleteConfigurationPolicy	安全中心：DeleteConfigurationPolicy	写入
DeleteConnector	安全中心：DeleteConnector	写入
V2 DeleteConnector	securityhub：V2 DeleteConnector	写入
DeleteFindingAggregator	安全中心：DeleteFindingAggregator	写入
DeleteInsight	安全中心：DeleteInsight	写入
DeleteInvitations	安全中心：DeleteInvitations	写入
DeleteMembers	安全中心：DeleteMembers	写入
DescribeActionTargets	安全中心：DescribeActionTargets	读取
DescribeHub	安全中心：DescribeHub	读取
DescribeOrganizationConfiguration	安全中心：DescribeOrganizationConfiguration	读取
DescribeProducts	安全中心：DescribeProducts	读取
V2 DescribeProducts	securityhub：V2 DescribeProducts	读取
DescribeSecurityHubV2	安全中心：DescribeSecurityHubV2	读取
DescribeStandards	安全中心：DescribeStandards	读取
DescribeStandardsControls	安全中心：DescribeStandardsControls	读取
DisableImportFindingsForProduct	安全中心：DisableImportFindingsForProduct	写入
DisableOrganizationAdminAccount	安全中心：DisableOrganizationAdminAccount	写入
DisableSecurityHub	安全中心：DisableSecurityHub	写入
DisableSecurityHubFeatureV2	安全中心：DisableSecurityHubFeatureV2	写入
DisableSecurityHubV2	安全中心：DisableSecurityHubV2	写入
DisassociateFromAdministratorAccount	安全中心：DisassociateFromAdministratorAccount	写入
DisassociateFromMasterAccount	安全中心：DisassociateFromMasterAccount	写入
DisassociateMembers	安全中心：DisassociateMembers	写入
EnableImportFindingsForProduct	安全中心：EnableImportFindingsForProduct	写入
EnableOrganizationAdminAccount	安全中心：EnableOrganizationAdminAccount	写入
EnableSecurityHub	安全中心：EnableSecurityHub	写入
EnableSecurityHub	安全中心：TagResource	标记、写作
EnableSecurityHubFeatureV2	安全中心：EnableSecurityHubFeatureV2	写入
EnableSecurityHubV2	安全中心：EnableSecurityHubV2	写入
EnableSecurityHubV2	安全中心：TagResource	标记、写作
GenerateRecommendedPolicyV2	安全中心：GenerateRecommendedPolicyV2	写入
GetAdministratorAccount	安全中心：GetAdministratorAccount	读取
V2 GetAggregator	securityhub：V2 GetAggregator	读取
GetAutomationRuleV2	安全中心：GetAutomationRuleV2	读取
GetConfigurationPolicy	安全中心：GetConfigurationPolicy	读取
GetConfigurationPolicyAssociation	安全中心：GetConfigurationPolicyAssociation	读取
GetConnector	安全中心：GetConnector	读取
V2 GetConnector	securityhub：V2 GetConnector	读取
GetEnabledStandards	安全中心：GetEnabledStandards	列表
GetFindingAggregator	安全中心：GetFindingAggregator	读取
GetFindingHistory	安全中心：GetFindingHistory	读取
GetFindingStatisticsV2	安全中心：GetAdhocInsightResults	读取
GetFindings	安全中心：GetFindings	读取
GetFindingsTrendsV2	安全中心：GetFindingsTrendsV2	读取
V2 GetFindings	安全中心：GetFindings	读取
GetInsightResults	安全中心：GetInsightResults	读取
GetInsights	安全中心：GetInsights	列表
GetInvitationsCount	安全中心：GetInvitationsCount	读取
GetMasterAccount	安全中心：GetMasterAccount	读取
GetMembers	安全中心：GetMembers	读取
GetRecommendedPolicyV2	安全中心：GetRecommendedPolicyV2	读取
V2 GetRemediations	securityhub：V2 GetRemediations	读取
GetResourcesStatisticsV2	安全中心：GetResourcesStatisticsV2	读取
GetResourcesTrendsV2	安全中心：GetResourcesTrendsV2	读取
V2 GetResources	securityhub：V2 GetResources	读取
GetSecurityControlDefinition	安全中心：GetSecurityControlDefinition	读取
InviteMembers	安全中心：InviteMembers	写入
V2 ListAggregators	securityhub：V2 ListAggregators	列表
ListAutomationRules	安全中心：ListAutomationRules	列表
ListAutomationRulesV2	安全中心：ListAutomationRulesV2	列表
ListConfigurationPolicies	安全中心：ListConfigurationPolicies	列表
ListConfigurationPolicyAssociations	安全中心：ListConfigurationPolicyAssociations	列表
ListConnectors	安全中心：ListConnectors	列表
V2 ListConnectors	securityhub：V2 ListConnectors	列表
ListEnabledProductsForImport	安全中心：ListEnabledProductsForImport	列表
ListExposuresByRemediationV2	安全中心：ListExposuresByRemediationV2	列表
ListFindingAggregators	安全中心：ListFindingAggregators	列表
ListFreeTrialStatusesV2	安全中心：ListFreeTrialStatusesV2	列表
ListInvitations	安全中心：ListInvitations	列表
ListMembers	安全中心：ListMembers	列表
ListOrganizationAdminAccounts	安全中心：ListOrganizationAdminAccounts	列表
ListSecurityControlDefinitions	安全中心：ListSecurityControlDefinitions	列表
ListStandardsControlAssociations	安全中心：DescribeStandardsControls	读取
ListStandardsControlAssociations	安全中心：ListStandardsControlAssociations	列表
ListTagsForResource	安全中心：ListTagsForResource	读取
StartConfigurationPolicyAssociation	安全中心：StartConfigurationPolicyAssociation	写入
StartConfigurationPolicyDisassociation	安全中心：StartConfigurationPolicyDisassociation	写入
TagResource	安全中心：TagResource	标记、写作
UntagResource	安全中心：UntagResource	标记、写作
UpdateActionTarget	安全中心：UpdateActionTarget	写入
V2 UpdateAggregator	securityhub：V2 UpdateAggregator	写入
UpdateAutomationRuleV2	安全中心：UpdateAutomationRuleV2	写入
UpdateConfigurationPolicy	安全中心：UpdateConfigurationPolicy	写入
UpdateConnector	安全中心：UpdateConnector	写入
V2 UpdateConnector	securityhub：V2 UpdateConnector	写入
UpdateFindingAggregator	安全中心：UpdateFindingAggregator	写入
UpdateFindings	安全中心：UpdateFindings	写入
UpdateInsight	安全中心：UpdateInsight	写入
UpdateOrganizationConfiguration	安全中心：UpdateOrganizationConfiguration	写入
UpdateSecurityControl	安全中心：UpdateSecurityControl	写入
UpdateSecurityControl	安全中心：UpdateStandardsControl	写入
UpdateSecurityHubConfiguration	安全中心：UpdateSecurityHubConfiguration	写入
UpdateStandardsControl	安全中心：UpdateStandardsControl	写入

操作定义为 AWS Security Hub

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作	说明	资源类型（* 为必需）	条件键	访问级别
AcceptAdministratorInvitation	授予权限以接受成为成员账户的 Security Hub 邀请	集线器	aws: ResourceTag /$ {} TagKey	写入
AcceptInvitation	授予权限以接受成为成员账户的 Security Hub 邀请	集线器	aws: ResourceTag /$ {} TagKey	写入
BatchDeleteAutomationRules	授予权限以删除 Security Hub 中的一个或多个自动化规则	自动化规则*	aws: ResourceTag /$ {} TagKey	写入
BatchDisableStandards	授予权限以在 Security Hub 中禁用标准	集线器	aws: ResourceTag /$ {} TagKey	写入
BatchEnableStandards	授予权限以在 Security Hub 中启用标准	集线器	aws: ResourceTag /$ {} TagKey	写入
BatchGetAutomationRules	授予权限以基于规则 Amazon 资源名称（ARN）从 Security Hub 检索自动化规则的详情列表	自动化规则*	aws: ResourceTag /$ {} TagKey	读取
BatchGetConfigurationPolicyAssociations	授予检索与调用账户所在组织的特定成员账户列表和组织单位关联的配置策略信息的权限			读取
BatchGetSecurityControls	授予权限以获取通过 ID 或 ARN 标识的特定安全控件的详细信息			读取
BatchGetStandardsControlAssociations	授予权限以获取标准中一批安全控件的启用状态			读取
BatchImportFindings	授予权限以将结果从集成产品导入 Security Hub	产品*	安全中心：TargetAccount	写入
BatchUpdateAutomationRules	授予权限以根据规则 Amazon 资源名称（ARN）和输入参数从 Security Hub 更新一个或多个自动化规则	自动化规则*	aws: ResourceTag /$ {} TagKey	写入
BatchUpdateFindings	授予权限以更新一组选定的 Security Hub 结果的客户控制字段	集线器	aws: ResourceTag /$ {} TagKey securityhub: ASFFSyntaxPath /$ {} ASFFSyntaxPath securityhub: OCSFSyntaxPath /$ {} OCSFSyntaxPath	写入
BatchUpdateFindings	授予权限以更新一组选定的 Security Hub 结果的客户控制字段	hubv2	aws: ResourceTag /$ {} TagKey securityhub: ASFFSyntaxPath /$ {} ASFFSyntaxPath securityhub: OCSFSyntaxPath /$ {} OCSFSyntaxPath	写入
BatchUpdateStandardsControlAssociations	授予权限以更新标准中一批安全控件的启用状态			写入
ConnectorRegistrationsV2	授予权限以基于输入参数完成 OAuth 2.0 授权代码流			写入
CreateActionTarget	授予权限以在 Security Hub 中创建自定义操作	集线器	aws: ResourceTag /$ {} TagKey	写入
CreateAggregatorV2	授予权限以创建 aggregatorV2，这将配置跨区域数据聚合			写入
CreateAutomationRule	授予权限以基于输入参数创建自动化规则		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
CreateAutomationRuleV2	授予权限以基于输入参数创建自动化规则 V2		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
CreateConfigurationPolicy	授予在 Security Hub 中创建配置策略以管理组织成员设置的权限		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
CreateConnector	授予基于输入参数创建连接器的权限		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
CreateConnectorV2	授予权限以基于输入参数创建连接器 V2		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
CreateFindingAggregator	授予权限以创建结果聚合器，其中包含跨区域结果聚合配置			写入
CreateInsight	授予权限以在 Security Hub 中创建洞察。洞察是相关结果的集合	集线器	aws: ResourceTag /$ {} TagKey	写入
CreateMembers	授予权限以在 Security Hub 中创建成员账户	集线器	aws: ResourceTag /$ {} TagKey	写入
CreateTicketV2	授予权限以为选定的 OCSF 调查发现创建票证	connectorv2	aws: ResourceTag /$ {} TagKey	写入
DeclineInvitations	授予权限以拒绝成为成员账户的 Security Hub 邀请	集线器	aws: ResourceTag /$ {} TagKey	写入
DeleteActionTarget	授予权限以删除 Security Hub 中的自定义操作	集线器	aws: ResourceTag /$ {} TagKey	写入
DeleteAggregatorV2	授予权限以删除 aggregatorV2，这将配置跨区域数据聚合	聚合器 v2*	aws: ResourceTag /$ {} TagKey	写入
DeleteAutomationRuleV2	授予权限以删除 Security Hub 中的自动化规则 V2	自动化规则2*	aws: ResourceTag /$ {} TagKey	写入
DeleteConfigurationPolicy	授予删除现有配置策略的权限	配置策略*	aws: ResourceTag /$ {} TagKey	写入
DeleteConnector	授予在 Security Hub CSPM 中删除连接器的权限	连接器*	aws: ResourceTag /$ {} TagKey	写入
DeleteConnectorV2	授予权限以删除 Security Hub 中的连接器 V2	connectorv2*	aws: ResourceTag /$ {} TagKey	写入
DeleteFindingAggregator	授予权限以删除结果聚合器，这将禁用跨区域结果聚合	查找聚合器*		写入
DeleteInsight	授予权限以从 Security Hub 中删除洞察	集线器	aws: ResourceTag /$ {} TagKey	写入
DeleteInvitations	授予权限以删除成为成员账户的 Security Hub 邀请	集线器	aws: ResourceTag /$ {} TagKey	写入
DeleteMembers	授予权限以删除 Security Hub 成员账户	集线器	aws: ResourceTag /$ {} TagKey	写入
DescribeActionTargets	授予权限以使用 API 检索自定义操作列表	集线器	aws: ResourceTag /$ {} TagKey	读取
DescribeHub	授予权限以检索有关您的账户中的 Hub 资源的信息	集线器	aws: ResourceTag /$ {} TagKey	读取
DescribeOrganizationConfiguration	授予描述 Security Hub 组织配置的权限	集线器	aws: ResourceTag /$ {} TagKey	读取
DescribeProducts	授予权限以检索有关可用 Security Hub 产品集成的信息	集线器	aws: ResourceTag /$ {} TagKey	读取
DescribeProductsV2	授予权限以检索有关可用 Security Hub V2 产品集成的信息	hubv2	aws: ResourceTag /$ {} TagKey	读取
DescribeSecurityHubV2	授予权限以检索有关您的账户中的 Hub V2 资源的信息			读取
DescribeStandards	授予权限以检索有关 Security Hub 标准的信息	集线器	aws: ResourceTag /$ {} TagKey	读取
DescribeStandardsControls	授予权限以检索有关 Security Hub 标准控件的信息	集线器	aws: ResourceTag /$ {} TagKey	读取
DisableImportFindingsForProduct	授予权限以禁用 Security Hub 集成产品的结果导入	集线器	aws: ResourceTag /$ {} TagKey	写入
DisableOrganizationAdminAccount	授予删除组织的 Security Hub 管理员帐户的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
DisableSecurityHub	授予权限以禁用 Security Hub	集线器	aws: ResourceTag /$ {} TagKey	写入
DisableSecurityHubFeatureV2	授予禁用 Security Hub V2 功能的权限	hubv2*	aws: ResourceTag /$ {} TagKey	写入
DisableSecurityHubV2	授予权限以禁用 Security Hub V2			写入
DisassociateFromAdministratorAccount	授予 Security Hub 成员账户从关联的管理员账户中取消关联的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
DisassociateFromMasterAccount	授予对 Security Hub 成员账户的权限以从关联的主账户中取消关联	集线器	aws: ResourceTag /$ {} TagKey	写入
DisassociateMembers	授予从关联的管理员账户中取消关联 Security Hub 成员账户的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
EnableImportFindingsForProduct	授予权限以启用 Security Hub 集成产品的结果导入	集线器	aws: ResourceTag /$ {} TagKey	写入
EnableOrganizationAdminAccount	授予指定组织的 Security Hub 管理员帐户的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
EnableSecurityHub	授予权限以启用 Security Hub	集线器	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
EnableSecurityHubFeatureV2	授予启用 Security Hub V2 功能的权限	hubv2*	aws: ResourceTag /$ {} TagKey	写入
EnableSecurityHubV2	授予权限以启用 Security Hub V2		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
GenerateRecommendedPolicyV2	授予针对OCSF调查结果生成政策建议的权限	hubv2*	aws: ResourceTag /$ {} TagKey	写入
GetAdministratorAccount	授予权限以检索有关 Security Hub 管理员账户的详细信息	集线器	aws: ResourceTag /$ {} TagKey	读取
GetAggregatorV2	授予权限以检索 aggregatorV2 的详细信息，这将配置跨区域数据聚合	聚合器 v2*	aws: ResourceTag /$ {} TagKey	读取
GetAutomationRuleV2	授予权限以基于规则 Amazon 资源名称（ARN）从 Security Hub 检索自动化规则 V2 的详细信息	自动化规则2*	aws: ResourceTag /$ {} TagKey	读取
GetConfigurationPolicy	授予获取调用账户所创建一项配置策略的完整概览的权限	配置策略*	aws: ResourceTag /$ {} TagKey	读取
GetConfigurationPolicyAssociation	授予检索与调用账户所在组织的某个成员账户或组织单位关联的某个配置策略信息的权限			读取
GetConnector	授予根据连接器 ID 从 Security Hub CSPM 检索连接器详细信息的权限	连接器*	aws: ResourceTag /$ {} TagKey	读取
GetConnectorV2	授予权限以基于连接器 ID 从 Security Hub 检索连接器 V2 的详细信息	connectorv2*	aws: ResourceTag /$ {} TagKey	读取
GetEnabledStandards	授予权限以检索在 Security Hub 中启用的标准列表	集线器	aws: ResourceTag /$ {} TagKey	列表
GetFindingAggregator	授予权限以检索结果聚合器的详细信息，这将配置跨区域结果聚合	查找聚合器*		读取
GetFindingHistory	授予权限以从 Security Hub 检索调查发现历史记录的列表	集线器	aws: ResourceTag /$ {} TagKey	读取
GetFindings	授予权限以从 Security Hub 检索结果的列表	集线器	aws: ResourceTag /$ {} TagKey	读取
GetFindings	授予权限以从 Security Hub 检索结果的列表	hubv2	aws: ResourceTag /$ {} TagKey	读取
GetFindingsTrendsV2	授予检索调查结果趋势的权限	hubv2	aws: ResourceTag /$ {} TagKey	读取
GetInsightResults	授予权限以从 Security Hub 检索洞察结果	集线器	aws: ResourceTag /$ {} TagKey	读取
GetInsights	授予权限以检索 Security Hub 洞察	集线器	aws: ResourceTag /$ {} TagKey	列表
GetInvitationsCount	授予权限以检索发送到账户的 Security Hub 成员资格邀请的计数	集线器	aws: ResourceTag /$ {} TagKey	读取
GetMasterAccount	授予权限以检索有关 Security Hub 主账户的详细信息	集线器	aws: ResourceTag /$ {} TagKey	读取
GetMembers	授予权限以检索 Security Hub 成员账户的详细信息	集线器	aws: ResourceTag /$ {} TagKey	读取
GetRecommendedPolicyV2	授予检索 OCSF 调查结果的政策建议的权限	hubv2*	aws: ResourceTag /$ {} TagKey	读取
GetRemediationsV2	授予检索修复目标列表及其元数据的权限	hubv2*	aws: ResourceTag /$ {} TagKey	读取
GetResourcesStatisticsV2	授予权限以检索有关资源的聚合统计数据	hubv2	aws: ResourceTag /$ {} TagKey	读取
GetResourcesTrendsV2	授予检索资源趋势的权限	hubv2	aws: ResourceTag /$ {} TagKey	读取
GetResourcesV2	授予权限以检索资源的列表	hubv2	aws: ResourceTag /$ {} TagKey	读取
GetSecurityControlDefinition	授予获取用 ID 标识的特定安全控件详细信息的权限			读取
InviteMembers	授予邀请其他 AWS 账户成为 Security Hub 成员账户的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
ListAggregatorsV2	授予权限以检索 aggregatorsV2 的列表，这将配置跨区域数据聚合			列表
ListAutomationRules	授予权限以从 Security Hub 检索呼叫账户的自动化规则列表及其元数据			列表
ListAutomationRulesV2	授予权限以从 Security Hub 检索调用账户的自动化规则 V2 及其元数据的列表			列表
ListConfigurationPolicies	授予列出调用账户所创建所有配置策略的摘要的权限			列表
ListConfigurationPolicyAssociations	授予检索与调用账户所在组织的所有成员账户和组织单位关联的所有配置策略信息的权限			列表
ListConnectors	授予从 Security Hub CSPM 检索主叫账户的连接器列表及其元数据的权限			列表
ListConnectorsV2	授予权限以从 Security Hub 检索调用账户的连接器 V2 及其元数据的列表			列表
ListEnabledProductsForImport	授予权限以检索当前启用的 Security Hub 集成产品	集线器	aws: ResourceTag /$ {} TagKey	列表
ListExposuresByRemediationV2	授予检索与修复目标相关的暴露发现列表的权限	hubv2*	aws: ResourceTag /$ {} TagKey	列表
ListFindingAggregators	授予权限以检索结果聚合器的列表，其中包含跨区域结果聚合配置			列表
ListFreeTrialStatusesV2	授予检索组织中一个或多个账户的 Security Hub 免费试用状态列表的权限	hubv2*	aws: ResourceTag /$ {} TagKey	列表
ListInvitations	授予权限以检索发送到账户的 Security Hub 邀请	集线器	aws: ResourceTag /$ {} TagKey	列表
ListMembers	授予权限以检索与管理员账户关联的 Security Hub 成员账户的详细信息	集线器	aws: ResourceTag /$ {} TagKey	列表
ListOrganizationAdminAccounts	授予列出组织的 Security Hub 管理员帐户的权限	集线器	aws: ResourceTag /$ {} TagKey	列表
ListSecurityControlDefinitions	授予权限以检索安全控件定义列表，其中包含当前区域中安全控件的详细信息			列表
ListStandardsControlAssociations	授予权限以列出标准中安全控件的启用状态			列表
ListTagsForResource	授予权限以列出与资源关联的标签	自动化规则	aws: ResourceTag /$ {} TagKey	读取
		配置策略	aws: ResourceTag /$ {} TagKey
		集线器	aws: ResourceTag /$ {} TagKey
StartConfigurationPolicyAssociation	授予将某个配置策略关联到调用账户所在组织的某个成员账户或组织单位的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
StartConfigurationPolicyDisassociation	授予从调用账户所在组织的某个成员账户或组织单位移除某个配置策略的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
TagResource	授予权限以将标签添加到 Security Hub 资源	聚合器v2	aws: ResourceTag /$ {} TagKey	标记、写作
		自动化规则	aws: ResourceTag /$ {} TagKey
		自动化规则2	aws: ResourceTag /$ {} TagKey
		配置策略	aws: ResourceTag /$ {} TagKey
		连接器	aws: ResourceTag /$ {} TagKey
		connectorv2	aws: ResourceTag /$ {} TagKey
		集线器	aws: ResourceTag /$ {} TagKey
		hubv2	aws: ResourceTag /$ {} TagKey
UntagResource	授予权限以从 Security Hub 资源中删除标签	聚合器v2	aws: ResourceTag /$ {} TagKey	标记、写作
		自动化规则	aws: ResourceTag /$ {} TagKey
		自动化规则2	aws: ResourceTag /$ {} TagKey
		配置策略	aws: ResourceTag /$ {} TagKey
		连接器	aws: ResourceTag /$ {} TagKey
		connectorv2	aws: ResourceTag /$ {} TagKey
		集线器	aws: ResourceTag /$ {} TagKey
		hubv2	aws: ResourceTag /$ {} TagKey
UpdateActionTarget	授予权限以在 Security Hub 中更新自定义操作	集线器	aws: ResourceTag /$ {} TagKey	写入
UpdateAggregatorV2	授予权限以更新 aggregatorV2，这将配置跨区域数据聚合	聚合器 v2*	aws: ResourceTag /$ {} TagKey	写入
UpdateAutomationRuleV2	授予权限以基于规则 Amazon 资源名称（ARN）和输入参数在 Security Hub 中更新自动化规则 V2	自动化规则2*	aws: ResourceTag /$ {} TagKey	写入
UpdateConfigurationPolicy	授予更新现有配置策略的权限	配置策略*	aws: ResourceTag /$ {} TagKey	写入
UpdateConnector	根据连接器 ID 和输入参数授予在 Security Hub CSPM 中更新连接器的权限	连接器*	aws: ResourceTag /$ {} TagKey	写入
UpdateConnectorV2	授予权限以基于连接器 ID 和输入参数在 Security Hub 中更新连接器 V2	connectorv2*	aws: ResourceTag /$ {} TagKey	写入
UpdateFindingAggregator	授予权限以更新结果聚合器，其中包含跨区域结果聚合配置	查找聚合器*		写入
UpdateFindings	授予权限以更新 Security Hub 结果	集线器	aws: ResourceTag /$ {} TagKey	写入
UpdateInsight	授予权限以在 Security Hub 中更新洞察	集线器	aws: ResourceTag /$ {} TagKey	写入
UpdateOrganizationConfiguration	授予更新 Security Hub 组织配置的权限	集线器	aws: ResourceTag /$ {} TagKey	写入
UpdateSecurityControl	授予更新用 ID 或 ARN 标识的特定安全控件的属性的权限			写入
UpdateSecurityHubConfiguration	授予权限以更新 Security Hub 配置	集线器	aws: ResourceTag /$ {} TagKey	写入
UpdateStandardsControl	授予权限以更新 Security Hub 标准控件	集线器	aws: ResourceTag /$ {} TagKey	写入

Permission-only 的动作 AWS Security Hub

以下操作由 Sec AWS urity Hub 定义，但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。

操作	说明	资源类型（* 为必需）	条件键	访问级别
AllowVendedLogDeliveryForResource	授予记录资源传送的权限	集线器	aws: ResourceTag /$ {} TagKey	权限管理，写入
AllowVendedLogDeliveryForResource	授予记录资源传送的权限	hubv2	aws: ResourceTag /$ {} TagKey	权限管理，写入
BatchGetControlEvaluations	授予权限以获取控件的启用和合规性状态、控件的调查发现计数以及 Security Hub 控制台上控件的总体安全性评分	集线器	aws: ResourceTag /$ {} TagKey	读取
BatchGetEnabledRegionsV2	授予为组织中的账户检索已启用 Security Hub 的区域的权限	hubv2*	aws: ResourceTag /$ {} TagKey	读取
GetAdhocInsightResults	授予权限以检索有关调查发现的聚合统计数据	集线器	aws: ResourceTag /$ {} TagKey	读取
GetAdhocInsightResults	授予权限以检索有关调查发现的聚合统计数据	hubv2	aws: ResourceTag /$ {} TagKey	读取
GetControlFindingSummary	授予检索安全评分以及安全标准状态的调查结果计数和控件状态的权限	集线器	aws: ResourceTag /$ {} TagKey	读取
GetCoverageStatisticsV2	授予在组织中检索 Security Hub 覆盖率统计数据的权限	hubv2*	aws: ResourceTag /$ {} TagKey	读取
GetFreeTrialEndDate	授予权限以检索账户免费试用 Security Hub 的结束日期	集线器	aws: ResourceTag /$ {} TagKey	读取
GetFreeTrialUsage	授予权限以检索免费试用期内 Security Hub 使用情况的信息	集线器	aws: ResourceTag /$ {} TagKey	读取
GetInsightFindingTrend	授予权限以从 Security Hub 检索洞察发现趋势，从而生成图表	集线器	aws: ResourceTag /$ {} TagKey	读取
GetUsage	授予权限以按账户检索有关 Security Hub 使用情况的信息	集线器	aws: ResourceTag /$ {} TagKey	读取
GetUsageV2	授予权限以检索有关账户的 Security Hub 使用情况的信息	hubv2*	aws: ResourceTag /$ {} TagKey	读取
ListAccountUsageV2	授予检索组织中账户的 Security Hub 使用情况列表的权限	hubv2*	aws: ResourceTag /$ {} TagKey	列表
ListControlEvaluationSummaries	授予检索标准控件列表的权限，包括控件 ID、状态和调查结果计数	集线器	aws: ResourceTag /$ {} TagKey	读取
SendFindingEvents	授予使用自定义操作向亚马逊发送 Security Hub 调查结果的权限 EventBridge	集线器	aws: ResourceTag /$ {} TagKey	读取
SendInsightEvents	授予使用自定义操作向亚马逊发送 Security Hub 见解的权限 EventBridge	集线器	aws: ResourceTag /$ {} TagKey	读取

定义的资源类型 AWS Security Hub

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。

资源类型	ARN	条件键
聚合器v2	arn：$ {Partition}: securityhub: $ {Region}: $ {Account}: aggregatorv2/$ {Aggregatorv2id}	aws: ResourceTag /$ {} TagKey
自动化规则	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: automation-rule/$ {} AutomationRuleId	aws: ResourceTag /$ {} TagKey
自动化规则2	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: automation-rulev2/$ {} AutomationRuleV2Id	aws: ResourceTag /$ {} TagKey
配置策略	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: configuration-policy/$ {} ConfigurationPolicyId	aws: ResourceTag /$ {} TagKey
连接器	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: connector/$ {} ConnectorId	aws: ResourceTag /$ {} TagKey
connectorv2	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: connectorv2/$ {connectorv2id}	aws: ResourceTag /$ {} TagKey
查找聚合器	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: finding-Aggregator/$ {} FindingAggregatorId
集线器	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: hub/default	aws: ResourceTag /$ {} TagKey
hubv2	arn: $ {Partition}: securityhub: $ {Region}: $ {Account}: hubv2/$ {hubv2id}	aws: ResourceTag /$ {} TagKey
产品	arn: $ {Partition}: securityhub: $ {Region}: $ {账户}: product/$ {公司} /$ {} ProductId

的条件密钥 AWS Security Hub

AWS Security Hub 定义了以下可以在 IAM 策略Condition元素中使用的条件键。

条件键	描述	类型
aws: RequestTag /$ {} TagKey	根据在请求中是否具有标签键值对来按照操作筛选访问权限	字符串
aws: ResourceTag /$ {} TagKey	根据附加到资源的标签键值对来按操作筛选访问权限	字符串
aws：TagKeys	根据在请求中是否具有标签键来按操作筛选访问权限	ArrayOfString
securityhub: ASFFSyntaxPath /$ {} ASFFSyntaxPath	根据请求中的指定字段和值筛选访问权限	字符串
securityhub: OCSFSyntaxPath /$ {} OCSFSyntaxPath	根据请求中的指定字段和值筛选访问权限	字符串
安全中心：TargetAccount	按请求中指定的 AwsAccountId 字段筛选访问权限	字符串

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

AWS 安全代理（安全代理）

AWS 安全事件响应（security-ir）