Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Konfigurationsrichtlinien erstellen und zuordnen
Das delegierte AWS Security Hub Administratorkonto kann Konfigurationsrichtlinien erstellen, die festlegen, wie Security Hub, Standards und Kontrollen in bestimmten Konten und Organisationseinheiten konfiguriert werden (OUs). Eine Konfigurationsrichtlinie wird erst wirksam, wenn der delegierte Administrator sie mindestens einem Konto oder einer Organisationseinheit (OUs) oder dem Stamm zuordnet. Der delegierte Administrator kann eine selbstverwaltete Konfiguration auch Konten oder dem Stammverzeichnis OUs zuordnen.
Wenn Sie zum ersten Mal eine Konfigurationsrichtlinie erstellen, empfehlen wir, diese zuerst zu überprüfen. So funktionieren Konfigurationsrichtlinien in Security Hub
Wählen Sie Ihre bevorzugte Zugriffsmethode und folgen Sie den Schritten zum Erstellen und Zuordnen einer Konfigurationsrichtlinie oder einer selbstverwalteten Konfiguration. Wenn Sie die Security Hub Hub-Konsole verwenden, können Sie eine Konfiguration mehreren Konten oder OUs gleichzeitig zuordnen. Wenn Sie den Security Hub API oder verwenden AWS CLI, können Sie eine Konfiguration in jeder Anfrage nur einem Konto oder einer Organisationseinheit zuordnen.
Wenn Sie die zentrale Konfiguration verwenden, deaktiviert Security Hub automatisch Steuerungen, die globale Ressourcen in allen Regionen außer der Heimatregion betreffen. Andere Steuerelemente, die Sie über eine Konfigurationsrichtlinie aktivieren, sind in allen Regionen aktiviert, in denen sie verfügbar sind. Um die Ergebnisse für diese Steuerelemente auf nur eine Region zu beschränken, können Sie Ihre AWS Config Rekordereinstellungen aktualisieren und die globale Ressourcenaufzeichnung in allen Regionen außer der Heimatregion deaktivieren. Wenn Sie die zentrale Konfiguration verwenden, fehlt Ihnen die Abdeckung für ein Steuerelement, das in der Heimatregion oder einer der verknüpften Regionen nicht verfügbar ist. Eine Liste der Steuerelemente, die globale Ressourcen betreffen, finden Sie unterSteuerungen, die globale Ressourcen verwenden.
- Security Hub console
-
So erstellen Sie Konfigurationsrichtlinien und ordnen sie zu
Öffnen Sie die AWS Security Hub Konsole unter https://console.aws.amazon.com/securityhub/.
Melden Sie sich mit den Anmeldeinformationen des delegierten Security Hub-Administratorkontos in der Heimatregion an.
-
Wählen Sie im Navigationsbereich Konfiguration und dann die Registerkarte Richtlinien aus. Wählen Sie dann Richtlinie erstellen aus.
-
Wenn Sie zum ersten Mal eine Konfigurationsrichtlinie erstellen, werden auf der Seite Organisation konfigurieren unter Konfigurationstyp drei Optionen angezeigt. Wenn Sie bereits mindestens eine Konfigurationsrichtlinie erstellt haben, wird nur die Option Benutzerdefinierte Richtlinie angezeigt.
Wählen Sie Die AWS empfohlene Security Hub Hub-Konfiguration in meiner gesamten Organisation verwenden, um unsere empfohlene Richtlinie zu verwenden. Die empfohlene Richtlinie aktiviert Security Hub in allen Unternehmenskonten, aktiviert den Standard AWS Foundational Security Best Practices (FSBP) und aktiviert alle neuen und vorhandenen FSBP Kontrollen. Die Steuerelemente verwenden Standardparameterwerte.
Wählen Sie Ich bin noch nicht bereit zur Konfiguration, um später eine Konfigurationsrichtlinie zu erstellen.
Wählen Sie Benutzerdefinierte Richtlinie, um eine benutzerdefinierte Konfigurationsrichtlinie zu erstellen. Geben Sie an, ob Security Hub aktiviert oder deaktiviert werden soll, welche Standards aktiviert werden sollen und welche Kontrollen für diese Standards aktiviert werden sollen. Geben Sie optional benutzerdefinierte Parameterwerte für ein oder mehrere aktivierte Steuerelemente an, die benutzerdefinierte Parameter unterstützen.
-
Wählen Sie im Abschnitt Konten die Zielkonten oder das Stammkonto aus, OUs für das Ihre Konfigurationsrichtlinie gelten soll.
Wählen Sie Alle Konten aus, wenn Sie die Konfigurationsrichtlinie auf das Stammkonto anwenden möchten. Dies schließt alle Konten und Konten OUs in der Organisation ein, auf die keine andere Richtlinie angewendet oder vererbt wurde.
Wählen Sie Bestimmte Konten aus, wenn Sie die Konfigurationsrichtlinie auf bestimmte Konten anwenden möchten oderOUs. Geben Sie das Konto einIDs, oder wählen Sie die Konten und OUs aus der Organisationsstruktur aus. Sie können die Richtlinie bei der Erstellung auf maximal 15 Ziele (Konten oder Root) anwenden. OUs Wenn Sie eine größere Anzahl angeben möchten, bearbeiten Sie Ihre Richtlinie nach der Erstellung und wenden Sie sie auf weitere Ziele an.
Wählen Sie Nur der delegierte Administrator, um die Konfigurationsrichtlinie auf das aktuelle delegierte Administratorkonto anzuwenden.
-
Wählen Sie Weiter.
-
Überprüfen Sie auf der Seite Überprüfen und Anwenden die Details Ihrer Konfigurationsrichtlinie. Wählen Sie dann Richtlinie erstellen und anwenden aus. In Ihrer Heimatregion und den verknüpften Regionen setzt diese Aktion die vorhandenen Konfigurationseinstellungen der Konten außer Kraft, die dieser Konfigurationsrichtlinie zugeordnet sind. Konten können über eine Anwendung oder durch Vererbung von einem übergeordneten Knoten mit der Konfigurationsrichtlinie verknüpft werden. Untergeordnete Konten und OUs die angewendeten Ziele erben automatisch diese Konfigurationsrichtlinie, sofern sie nicht ausdrücklich ausgeschlossen wurden, sie selbst verwaltet werden oder eine andere Konfigurationsrichtlinie verwenden.
- Security Hub API
-
Um Konfigurationsrichtlinien zu erstellen und zuzuordnen
-
Rufen Sie das CreateConfigurationPolicyAPIvom Security Hub aus delegierte Administratorkonto in der Heimatregion auf.
-
Geben Sie für Name
einen eindeutigen Namen für die Konfigurationsrichtlinie ein. Geben Sie optional für Description
eine Beschreibung der Konfigurationsrichtlinie an.
-
Geben Sie für das ServiceEnabled
Feld an, ob Security Hub in dieser Konfigurationsrichtlinie aktiviert oder deaktiviert werden soll.
-
Geben Sie für das EnabledStandardIdentifiers
Feld an, welche Security Hub Hub-Standards Sie in dieser Konfigurationsrichtlinie aktivieren möchten.
-
Geben Sie für das SecurityControlsConfiguration
Objekt an, welche Steuerelemente Sie in dieser Konfigurationsrichtlinie aktivieren oder deaktivieren möchten. Wählen Sie EnabledSecurityControlIdentifiers
aus, dass die angegebenen Steuerelemente aktiviert sind. Andere Steuerelemente, die Teil Ihrer aktivierten Standards sind (einschließlich neu veröffentlichter Steuerelemente), sind deaktiviert. Wenn Sie DisabledSecurityControlIdentifiers
diese Option wählen, sind die angegebenen Steuerelemente deaktiviert. Andere Steuerelemente, die Teil Ihrer aktivierten Standards sind (einschließlich neu veröffentlichter Steuerelemente), sind aktiviert.
-
Geben Sie optional für das SecurityControlCustomParameters
Feld aktivierte Steuerelemente an, für die Sie Parameter anpassen möchten. Geben Sie CUSTOM
das ValueType
Feld und den benutzerdefinierten Parameterwert für das Value
Feld an. Der Wert muss dem richtigen Datentyp entsprechen und innerhalb der von Security Hub angegebenen gültigen Bereiche liegen. Nur ausgewählte Steuerelemente unterstützen benutzerdefinierte Parameterwerte. Weitere Informationen finden Sie unter Steuerparameter in Security Hub ändern.
-
Um Ihre Konfigurationsrichtlinie auf Konten anzuwenden oder OUs rufen Sie das StartConfigurationPolicyAssociationAPIvom Security Hub aus delegierte Administratorkonto in der Heimatregion auf.
-
Geben Sie für das ConfigurationPolicyIdentifier
Feld den Amazon-Ressourcennamen (ARN) oder die universelle eindeutige Kennung (UUID) der Richtlinie ein. Die ARN und UUID werden von der CreateConfigurationPolicy
API zurückgegeben. Bei einer selbstverwalteten Konfiguration entspricht SELF_MANAGED_SECURITY_HUB
das ConfigurationPolicyIdentifier
Feld.
-
Geben Sie für das Target
Feld die Organisationseinheit, das Konto oder die Root-ID an, für die diese Konfigurationsrichtlinie gelten soll. Sie können in jeder API Anfrage nur ein Ziel angeben. Untergeordnete Konten und Konten OUs des ausgewählten Ziels erben automatisch diese Konfigurationsrichtlinie, sofern sie nicht selbst verwaltet werden oder eine andere Konfigurationsrichtlinie verwenden.
Beispiel für eine API Anfrage zur Erstellung einer Konfigurationsrichtlinie:
{
"Name": "SampleConfigurationPolicy",
"Description": "Configuration policy for production accounts",
"ConfigurationPolicy": {
"SecurityHub": {
"ServiceEnabled": true,
"EnabledStandardIdentifiers": [
"arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0",
"arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"
],
"SecurityControlsConfiguration": {
"DisabledSecurityControlIdentifiers": [
"CloudTrail.2"
],
"SecurityControlCustomParameters": [
{
"SecurityControlId": "ACM.1",
"Parameters": {
"daysToExpiration": {
"ValueType": "CUSTOM",
"Value": {
"Integer": 15
}
}
}
}
]
}
}
}
}
APIBeispielanfrage zum Zuordnen einer Konfigurationsrichtlinie:
{
"ConfigurationPolicyIdentifier": "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
"Target": {"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}
}
- AWS CLI
-
Um Konfigurationsrichtlinien zu erstellen und zuzuordnen
-
Führen Sie den create-configuration-policyBefehl über das delegierte Security Hub-Administratorkonto in der Heimatregion aus.
-
Geben Sie für name
einen eindeutigen Namen für die Konfigurationsrichtlinie ein. Geben Sie optional für description
eine Beschreibung der Konfigurationsrichtlinie an.
-
Geben Sie für das ServiceEnabled
Feld an, ob Security Hub in dieser Konfigurationsrichtlinie aktiviert oder deaktiviert werden soll.
-
Geben Sie für das EnabledStandardIdentifiers
Feld an, welche Security Hub Hub-Standards Sie in dieser Konfigurationsrichtlinie aktivieren möchten.
-
Geben Sie für das SecurityControlsConfiguration
Feld an, welche Steuerelemente Sie in dieser Konfigurationsrichtlinie aktivieren oder deaktivieren möchten. Wählen Sie EnabledSecurityControlIdentifiers
aus, dass die angegebenen Steuerelemente aktiviert sind. Andere Steuerelemente, die Teil Ihrer aktivierten Standards sind (einschließlich neu veröffentlichter Steuerelemente), sind deaktiviert. Wenn Sie DisabledSecurityControlIdentifiers
diese Option wählen, sind die angegebenen Steuerelemente deaktiviert. Andere Steuerelemente, die Ihren aktivierten Standards entsprechen (einschließlich neu veröffentlichter Steuerelemente), sind aktiviert.
-
Geben Sie optional für das SecurityControlCustomParameters
Feld aktivierte Steuerelemente an, für die Sie Parameter anpassen möchten. Geben Sie CUSTOM
das ValueType
Feld und den benutzerdefinierten Parameterwert für das Value
Feld an. Der Wert muss dem richtigen Datentyp entsprechen und innerhalb der von Security Hub angegebenen gültigen Bereiche liegen. Nur ausgewählte Steuerelemente unterstützen benutzerdefinierte Parameterwerte. Weitere Informationen finden Sie unter Steuerparameter in Security Hub ändern.
-
Um Ihre Konfigurationsrichtlinie auf Konten anzuwendenOUs, oder führen Sie den start-configuration-policy-associationBefehl über das delegierte Security Hub-Administratorkonto in der Heimatregion aus.
-
Geben Sie für das configuration-policy-identifier
Feld den Amazon-Ressourcennamen (ARN) oder die ID der Konfigurationsrichtlinie ein. Dieser ARN Wert und die ID werden vom create-configuration-policy
Befehl zurückgegeben.
-
Geben Sie für das target
Feld die Organisationseinheit, das Konto oder die Root-ID an, für die diese Konfigurationsrichtlinie gelten soll. Sie können jedes Mal, wenn Sie den Befehl ausführen, nur ein Ziel angeben. Untergeordnete Objekte des ausgewählten Ziels erben diese Konfigurationsrichtlinie automatisch, sofern sie nicht selbst verwaltet werden oder eine andere Konfigurationsrichtlinie verwenden.
Beispielbefehl zum Erstellen einer Konfigurationsrichtlinie:
aws securityhub --region us-east-1 create-configuration-policy \
--name "SampleConfigurationPolicy" \
--description "Configuration policy for production accounts" \
--configuration-policy '{"SecurityHub": {"ServiceEnabled": true, "EnabledStandardIdentifiers": ["arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0","arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"],"SecurityControlsConfiguration":{"DisabledSecurityControlIdentifiers": ["CloudTrail.2"], "SecurityControlCustomParameters": [{"SecurityControlId": "ACM.1", "Parameters": {"daysToExpiration": {"ValueType": "CUSTOM", "Value": {"Integer": 15}}}}]}}}'
Beispielbefehl zum Zuordnen einer Konfigurationsrichtlinie:
aws securityhub --region us-east-1 start-configuration-policy-association \
--configuration-policy-identifier "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111" \
--target '{"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}'
Das StartConfigurationPolicyAssociation
API gibt ein Feld mit dem Namen zurückAssociationStatus
. In diesem Feld erfahren Sie, ob eine Richtlinienverknüpfung noch aussteht oder ob sie erfolgreich oder misslungen ist. Es kann bis zu 24 Stunden dauern, bis sich der Status von PENDING
zu SUCCESS
oder ändertFAILURE
. Weitere Informationen zum Zuordnungsstatus finden Sie unterÜberprüfen Sie den Zuordnungsstatus einer Konfigurationsrichtlinie.