Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Administrar varias cuentas con AWS Organizations en Security Lake

Puede usar Amazon Security Lake para recopilar registros de seguridad y eventos de varias Cuentas de AWS. Para ayudar a automatizar y agilizar la administración de varias cuentas, le recomendamos encarecidamente que integre Security Lake con AWS Organizations.

La cuenta de administración es la cuenta que usa para crear la organización en Organizations. Si desea usar Security Lake con Organizations, la cuenta de administración debe designar una cuenta de administrador de Security Lake delegada para la organización.

El administrador de Security Lake delegado puede habilitar Security Lake y configurar los ajustes de Security Lake para las cuentas de los miembros. El administrador delegado puede recopilar registros y eventos de toda la organización en cualquier Regiones de AWS lugar en el que Security Lake esté habilitado (independientemente del punto final regional que esté utilizando actualmente). El administrador delegado también puede configurar Security Lake para que recopile automáticamente los datos de registro y eventos de las nuevas cuentas de la organización.

El administrador de Security Lake delegado tiene acceso a los datos de registros y eventos de las cuentas asociadas de los miembros. En consecuencia, puede configurar Security Lake para recopilar datos propiedad de las cuentas asociadas de los miembros. También puede conceder permiso a los suscriptores para que consuman los datos que pertenecen a las cuentas asociadas de los miembros.

Para habilitar Security Lake en varias cuentas de la organización, la cuenta de administración de la organización debe designar una cuenta de administrador de Security Lake delegada para la organización. A continuación, el administrador delegado puede habilitar y configurar Security Lake para la organización.

Para obtener información sobre la configuración de Organizations, consulte Creación y administración de una organización en la Guía del usuario de AWS Organizations .

Consideraciones importantes para administradores de Security Lake delegados

Permisos de IAM necesarios para designar un administrador delegado

Al designar al administrador delegado de Security Lake, debe tener permisos para habilitar Security Lake y utilizar determinadas operaciones de AWS Organizations API que se enumeran en la siguiente declaración de política.

Puede añadir la siguiente declaración al final de una política AWS Identity and Access Management (IAM) para conceder estos permisos.

{
    "Sid": "Grant permissions to designate a delegated Security Lake administrator",
    "Effect": "Allow",
    "Action": [
        "securitylake:RegisterDataLakeDelegatedAdministrator",
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListAccounts",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization"
    ],
    "Resource": "*"
}

Designar al administrador delegado de Security Lake y añadir cuentas de miembros

Elija el método de acceso para designar la cuenta de administrador de Security Lake delegado para su organización. Solo la cuenta de administración de una organización puede designar la cuenta de administrador delegado para su organización. La cuenta de administración de una organización no puede ser la cuenta de administrador delegado para su organización.

Console

1. Abra la consola de Security Lake en https://console.aws.amazon.com/securitylake/.

   Inicie sesión con las credenciales de la cuenta de administración de su organización.

2. • Si Security Lake aún no está activado, seleccione Comenzar y, a continuación, designe al administrador de Security Lake delegado en la página Habilitar Security Lake.

   • Si Security Lake ya está activado, designe al administrador de Security Lake delegado en la página Configuración.

3. En Delegar la administración en otra cuenta, introduce el Cuenta de AWS identificador de 12 dígitos de tu cuenta de Log Archive.

   Recomendamos usar el archivo de registros como administrador delegado de Security Lake. Para obtener más información, consulte Consideraciones importantes para administradores de Security Lake delegados.

4. Elija Delegar. Si Security Lake aún no está habilitado, cuando se designe el administrador delegado, Security Lake se habilitará para esa cuenta en la región actual.

API

Para designar al administrador delegado mediante programación, utilice el RegisterDataLakeDelegatedAdministrator funcionamiento de la API de Security Lake. Debe invocar la operación desde la cuenta de administración de la organización. Si utilizas el AWS CLI, ejecuta el register-data-lake-delegated-administrator comando desde la cuenta de administración de la organización. En tu solicitud, usa el accountId parámetro para especificar el identificador de cuenta de 12 dígitos de la Cuenta de AWS que vas a designar como la cuenta de administrador delegado de la organización.

Por ejemplo, el siguiente AWS CLI comando designa al administrador delegado. Este ejemplo está formateado para Linux, macOS o Unix y utiliza el carácter de barra invertida (\) de continuación de línea para mejorar la legibilidad.

$ aws securitylake register-data-lake-delegated-administrator \
--account-id 123456789012

El administrador delegado también puede automatizar la recopilación de datos de registro y eventos de AWS de las nuevas cuentas de la organización. Con esta configuración, Security Lake se habilita automáticamente en las cuentas nuevas cuando las cuentas se agregan a la organización en AWS Organizations. Como administrador delegado, puede habilitar esta configuración mediante el CreateDataLakeOrganizationConfiguration funcionamiento de la API de Security Lake o, si utiliza la CLI de AWS, ejecutando el create-data-lake-organization-configuration comando. En su solicitud, también puede especificar algunos ajustes de configuración para las cuentas nuevas.

Por ejemplo, el siguiente AWS CLI comando habilita automáticamente Security Lake y la recopilación de registros de consultas de resolución, AWS Security Hub CSPM hallazgos y registros de flujo de Amazon Virtual Private Cloud (Amazon VPC) de Amazon Route 53 en las nuevas cuentas de la organización. Este ejemplo está formateado para Linux, macOS o Unix y utiliza el carácter de barra invertida (\) de continuación de línea para mejorar la legibilidad.

$ aws securitylake create-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"ROUTE53"},{"sourceName":"SH_FINDINGS"},{"sourceName":"VPC_FLOW"}]}]'

Cuando la cuenta de administración de la organización designe el administrador delegado, el administrador puede habilitar y configurar Security Lake en la organización. Esto incluye habilitar y configurar Security Lake para recopilar datos de AWS registro y eventos de cuentas individuales de la organización. Para obtener más información, consulte Recopilación de datos de Servicios de AWS en Security Lake.

Puede usar la GetDataLakeOrganizationConfiguration operación para obtener detalles sobre la configuración actual de su organización para las nuevas cuentas de miembros.

Editar la configuración de activación automática para las nuevas cuentas de la organización

Un administrador delegado de Security Lake puede ver y editar la configuración de activación automática de las cuentas cuando se unen a su organización. Security Lake ingiere los datos en función de esta configuración únicamente para las cuentas nuevas, no para las cuentas existentes.

Siga los pasos siguientes para editar la configuración de las nuevas cuentas de la organización:

Eliminación al administrador delegado de Security Lake

Solo la cuenta de administración de una organización puede eliminar la cuenta de administrador de Security Lake delegado para su organización. Si desea cambiar el administrador delegado de la organización, elimine el administrador delegado actual y después designe el nuevo administrador delegado.

No puede cambiar ni quitar el administrador delegado mediante la consola de Security Lake. Estas tareas solo se pueden realizar mediante programación.

Para eliminar al administrador delegado mediante programación, utilice la DeregisterDataLakeDelegatedAdministrator operación de la API de Security Lake. Debe invocar la operación desde la cuenta de administración de la organización. Si utilizas la AWS CLI, ejecuta el deregister-data-lake-delegated-administrator comando desde la cuenta de administración de la organización.

Por ejemplo, el siguiente AWS CLI comando elimina al administrador delegado de Security Lake.

$ aws securitylake deregister-data-lake-delegated-administrator

Para mantener la designación de administrador delegado pero cambiar los ajustes de configuración automática de las cuentas de DeleteDataLakeOrganizationConfiguration los miembros nuevos, utilice la API de Security Lake o, si utiliza AWS CLI, el delete-data-lake-organization-configuration comando. Solo el administrador delegado puede cambiar esta configuración para la organización.

Por ejemplo, el siguiente AWS CLI comando detiene la recopilación automática de las conclusiones del CSPM de Security Hub de las nuevas cuentas de miembros que se unen a la organización. Las nuevas cuentas de miembros no aportarán las conclusiones del CSPM de Security Hub al lago de datos una vez que el administrador delegado invoque esta operación. Este ejemplo está formateado para Linux, macOS o Unix y utiliza el carácter de barra invertida (\) de continuación de línea para mejorar la legibilidad.

$ aws securitylake delete-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"SH_FINDINGS"}]}]'

Acceso de confianza de Security Lake

Después de configurar Security Lake para una organización, la cuenta de AWS Organizations administración puede habilitar el acceso confiable con Security Lake. El acceso de confianza permite a Security Lake crear un rol vinculado al servicio de IAM y realizar tareas en su organización y en las cuentas de esta en su nombre. Para obtener más información, consulte Utilización de AWS Organizations con otros Servicios de AWS en la Guía del usuario de AWS Organizations .

Como usuario de la cuenta de administración de la organización, puede deshabilitar el acceso de confianza con Security Lake en AWS Organizations. Para obtener instrucciones sobre cómo deshabilitar el acceso de confianza, consulte Cómo habilitar o deshabilitar el acceso de confianza en la Guía del usuario de AWS Organizations

Recomendamos deshabilitar el acceso confiable si el administrador delegado Cuenta de AWS está suspendido, aislado o cerrado.