Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwaltung mehrerer Konten mit AWS Organizations in Security Lake

Sie können Amazon Security Lake verwenden, um Sicherheitsprotokolle und Ereignisse von mehreren zu sammeln AWS-Konten. Um die Verwaltung mehrerer Konten zu automatisieren und zu optimieren, empfehlen wir dringend, Security Lake in zu integrieren. AWS Organizations

In Organisationen wird das Konto, das Sie zum Erstellen der Organisation verwenden, als Verwaltungskonto bezeichnet. Um Security Lake mit Organisationen zu integrieren, muss das Verwaltungskonto ein delegiertes Security Lake-Administratorkonto für die Organisation angeben.

Der delegierte Security Lake-Administrator kann Security Lake aktivieren und die Security Lake-Einstellungen für Mitgliedskonten konfigurieren. Der delegierte Administrator kann überall dort, AWS-Regionen wo Security Lake aktiviert ist, Protokolle und Ereignisse im gesamten Unternehmen sammeln (unabhängig davon, welchen regionalen Endpunkt er gerade verwendet). Der delegierte Administrator kann Security Lake auch so konfigurieren, dass Protokoll- und Ereignisdaten für neue Organisationskonten automatisch erfasst werden.

Der delegierte Security Lake-Administrator hat Zugriff auf Protokoll- und Ereignisdaten für zugehörige Mitgliedskonten. Dementsprechend können sie Security Lake so konfigurieren, dass Daten erfasst werden, die den zugehörigen Mitgliedskonten gehören. Sie können Abonnenten auch die Erlaubnis erteilen, Daten zu nutzen, die zugehörigen Mitgliedskonten gehören.

Um Security Lake für mehrere Konten in einer Organisation zu aktivieren, muss das Verwaltungskonto der Organisation zunächst ein delegiertes Security Lake-Administratorkonto für die Organisation festlegen. Der delegierte Administrator kann dann Security Lake für die Organisation aktivieren und konfigurieren.

Informationen zum Einrichten von Organisationen finden Sie unter Erstellen und Verwalten einer Organisation im AWS Organizations Benutzerhandbuch.

Wichtige Überlegungen für delegierte Security Lake-Administratoren

Für die Benennung des delegierten Administrators sind IAM-Berechtigungen erforderlich

Wenn Sie den delegierten Security Lake-Administrator benennen, müssen Sie über die Berechtigungen verfügen, um Security Lake zu aktivieren und bestimmte AWS Organizations API-Operationen zu verwenden, die in der folgenden Richtlinienerklärung aufgeführt sind.

Sie können die folgende Anweisung am Ende einer AWS Identity and Access Management (IAM-) Richtlinie hinzufügen, um diese Berechtigungen zu gewähren.

{
    "Sid": "Grant permissions to designate a delegated Security Lake administrator",
    "Effect": "Allow",
    "Action": [
        "securitylake:RegisterDataLakeDelegatedAdministrator",
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListAccounts",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization"
    ],
    "Resource": "*"
}

Benennung des delegierten Security Lake-Administrators und Hinzufügen von Mitgliedskonten

Wählen Sie Ihre Zugriffsmethode, um das delegierte Security Lake-Administratorkonto für Ihre Organisation festzulegen. Nur das Verwaltungskonto der Organisation kann das delegierte Administratorkonto für ihre Organisation festlegen. Das Verwaltungskonto der Organisation kann nicht das delegierte Administratorkonto für ihre Organisation sein.

Console

1. Öffnen Sie die Security Lake-Konsole unter. https://console.aws.amazon.com/securitylake/

   Melden Sie sich mit den Anmeldeinformationen des Verwaltungskontos für Ihre Organisation an.

2. • Wenn Security Lake noch nicht aktiviert ist, wählen Sie Erste Schritte aus und benennen Sie dann auf der Seite Security Lake aktivieren den delegierten Security Lake-Administrator.

   • Wenn Security Lake bereits aktiviert ist, benennen Sie auf der Seite „Einstellungen“ den delegierten Security Lake-Administrator.

3. Geben Sie unter Verwaltung an ein anderes Konto delegieren die 12-stellige AWS-Konto ID Ihres Log-Archive-Kontos ein.

   Wir empfehlen, das Log Archive als delegierter Security Lake-Administrator zu verwenden. Weitere Informationen finden Sie unter Wichtige Überlegungen für delegierte Security Lake-Administratoren.

4. Wählen Sie Delegieren. Wenn Security Lake noch nicht aktiviert ist, wird Security Lake durch Benennung des delegierten Administrators für dieses Konto in Ihrer aktuellen Region aktiviert.

API

Verwenden Sie den RegisterDataLakeDelegatedAdministrator Betrieb der Security Lake-API, um den delegierten Administrator programmgesteuert zu benennen. Sie müssen den Vorgang vom Verwaltungskonto der Organisation aus aufrufen. Wenn Sie den verwenden AWS CLI, führen Sie den register-data-lake-delegated-administrator Befehl vom Verwaltungskonto der Organisation aus. Verwenden Sie in Ihrer Anfrage den accountId Parameter, um die 12-stellige Konto-ID des anzugeben AWS-Konto , das als delegiertes Administratorkonto für die Organisation bestimmt werden soll.

Der folgende AWS CLI Befehl bestimmt beispielsweise den delegierten Administrator. Dieses Beispiel ist für Linux, macOS oder Unix formatiert und verwendet den umgekehrten Schrägstrich (\) zur Verbesserung der Lesbarkeit.

$ aws securitylake register-data-lake-delegated-administrator \
--account-id 123456789012

Der delegierte Administrator kann sich auch dafür entscheiden, die Erfassung von AWS Protokoll- und Ereignisdaten für neue Organisationskonten zu automatisieren. Mit dieser Konfiguration wird Security Lake automatisch in neuen Konten aktiviert, wenn die Konten der Organisation in AWS Organizations hinzugefügt werden. Als delegierter Administrator können Sie diese Konfiguration mithilfe der CreateDataLakeOrganizationConfiguration Security Lake-API oder, wenn Sie die AWS-CLI verwenden, durch Ausführen des create-data-lake-organization-configuration Befehls aktivieren. In Ihrer Anfrage können Sie auch bestimmte Konfigurationseinstellungen für neue Konten angeben.

Beispielsweise aktiviert der folgende AWS CLI Befehl automatisch Security Lake und die Erfassung von Amazon Route 53-Resolver-Abfrageprotokollen, AWS Security Hub CSPM Ergebnissen und Amazon Virtual Private Cloud (Amazon VPC) -Flow-Protokollen in neuen Organisationskonten. Dieses Beispiel ist für Linux, macOS oder Unix formatiert und verwendet den umgekehrten Schrägstrich (\) zur Verbesserung der Lesbarkeit.

$ aws securitylake create-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"ROUTE53"},{"sourceName":"SH_FINDINGS"},{"sourceName":"VPC_FLOW"}]}]'

Nachdem das Verwaltungskonto der Organisation den delegierten Administrator benannt hat, kann der Administrator Security Lake für die Organisation aktivieren und konfigurieren. Dazu gehört die Aktivierung und Konfiguration von Security Lake zur Erfassung von AWS Protokoll- und Ereignisdaten für einzelne Konten in der Organisation. Weitere Informationen finden Sie unter Erfassung von Daten von AWS-Services in Security Lake.

Sie können den GetDataLakeOrganizationConfiguration Vorgang verwenden, um Details zur aktuellen Konfiguration Ihrer Organisation für neue Mitgliedskonten abzurufen.

Bearbeitung der Konfiguration für die automatische Aktivierung neuer Organisationskonten

Ein delegierter Security Lake-Administrator kann die Einstellungen für die automatische Aktivierung von Konten einsehen und bearbeiten, wenn sie Ihrer Organisation beitreten. Security Lake erfasst Daten, die auf diesen Einstellungen basieren, nur für neue Konten, nicht für bestehende Konten.

Gehen Sie wie folgt vor, um die Konfiguration für neue Organisationskonten zu bearbeiten:

Den delegierten Security Lake-Administrator entfernen

Nur das Verwaltungskonto der Organisation kann den delegierten Security Lake-Administrator für seine Organisation entfernen. Wenn Sie den delegierten Administrator für die Organisation ändern möchten, entfernen Sie den aktuellen delegierten Administrator und benennen Sie dann den neuen delegierten Administrator.

Sie können den delegierten Administrator nicht mithilfe der Security Lake-Konsole ändern oder entfernen. Diese Aufgaben können nur programmgesteuert ausgeführt werden.

Verwenden Sie den DeregisterDataLakeDelegatedAdministrator Vorgang der Security Lake-API, um den delegierten Administrator programmgesteuert zu entfernen. Sie müssen den Vorgang vom Verwaltungskonto der Organisation aus aufrufen. Wenn Sie den verwenden AWS CLI, führen Sie den deregister-data-lake-delegated-administrator Befehl vom Verwaltungskonto der Organisation aus.

Mit dem folgenden AWS CLI Befehl wird beispielsweise der delegierte Security Lake-Administrator entfernt.

$ aws securitylake deregister-data-lake-delegated-administrator

Um die Bezeichnung eines delegierten Administrators beizubehalten, aber die automatischen Konfigurationseinstellungen neuer Mitgliedskonten zu ändern, verwenden Sie den DeleteDataLakeOrganizationConfiguration Betrieb der Security Lake-API oder, falls Sie die verwenden AWS CLI, den delete-data-lake-organization-configuration Befehl. Nur der delegierte Administrator kann diese Einstellungen für die Organisation ändern.

Beispielsweise stoppt der folgende AWS CLI Befehl die automatische Erfassung von Security Hub CSPM-Ergebnissen von neuen Mitgliedskonten, die der Organisation beitreten. Neue Mitgliedskonten tragen die CSPM-Ergebnisse von Security Hub nicht in den Data Lake ein, nachdem der delegierte Administrator diesen Vorgang ausgeführt hat. Dieses Beispiel ist für Linux, macOS oder Unix formatiert und verwendet den umgekehrten Schrägstrich (\) zur Verbesserung der Lesbarkeit.

$ aws securitylake delete-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"SH_FINDINGS"}]}]'

Vertrauenswürdiger Zugriff auf Security Lake

Nachdem Sie Security Lake für eine Organisation eingerichtet haben, kann das AWS Organizations Verwaltungskonto den vertrauenswürdigen Zugriff mit Security Lake aktivieren. Durch vertrauenswürdigen Zugriff kann Security Lake eine mit dem IAM-Dienst verknüpfte Rolle erstellen und in Ihrem Namen Aufgaben in Ihrem Unternehmen und dessen Konten ausführen. Weitere Informationen finden Sie AWS-Services im AWS Organizations Benutzerhandbuch unter Verwenden AWS Organizations mit anderen Geräten.

Als Benutzer des Organisationsverwaltungskontos können Sie den vertrauenswürdigen Zugriff für Security Lake in deaktivieren AWS Organizations. Anweisungen zum Deaktivieren des vertrauenswürdigen Zugriffs finden Sie im AWS Organizations Benutzerhandbuch unter So aktivieren oder deaktivieren Sie den vertrauenswürdigen Zugriff.

Wir empfehlen, den vertrauenswürdigen Zugriff zu deaktivieren, wenn der delegierte Administrator gesperrt, isoliert oder geschlossen AWS-Konto ist.