Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengelola beberapa akun dengan AWS Organizations di Danau Keamanan

Anda dapat menggunakan Amazon Security Lake untuk mengumpulkan log keamanan dan peristiwa dari beberapa Akun AWS. Untuk membantu mengotomatiskan dan merampingkan pengelolaan beberapa akun, kami sangat menyarankan Anda mengintegrasikan Security Lake dengan AWS Organizations.

Di Organisasi, akun yang Anda gunakan untuk membuat organisasi disebut akun manajemen. Untuk mengintegrasikan Security Lake dengan Organisasi, akun manajemen harus menunjuk akun administrator Security Lake yang didelegasikan untuk organisasi.

Administrator Security Lake yang didelegasikan dapat mengaktifkan Security Lake dan mengonfigurasi pengaturan Security Lake untuk akun anggota. Administrator yang didelegasikan dapat mengumpulkan log dan peristiwa di seluruh organisasi di semua Wilayah AWS tempat Security Lake diaktifkan (terlepas dari titik akhir Regional mana yang sedang mereka gunakan). Administrator yang didelegasikan juga dapat mengonfigurasi Security Lake untuk secara otomatis mengumpulkan log dan data peristiwa untuk akun organisasi baru.

Administrator Security Lake yang didelegasikan memiliki akses ke log dan data peristiwa untuk akun anggota terkait. Dengan demikian, mereka dapat mengonfigurasi Security Lake untuk mengumpulkan data yang dimiliki oleh akun anggota terkait. Mereka juga dapat memberikan izin pelanggan untuk menggunakan data yang dimiliki oleh akun anggota terkait.

Untuk mengaktifkan Security Lake untuk beberapa akun dalam suatu organisasi, akun manajemen organisasi harus terlebih dahulu menetapkan akun administrator Security Lake yang didelegasikan untuk organisasi. Administrator yang didelegasikan kemudian dapat mengaktifkan dan mengkonfigurasi Security Lake untuk organisasi.

Untuk informasi tentang menyiapkan Organisasi, lihat Membuat dan mengelola organisasi di Panduan AWS Organizations Pengguna.

Pertimbangan penting untuk administrator Security Lake yang didelegasikan

Izin IAM diperlukan untuk menunjuk administrator yang didelegasikan

Saat menunjuk administrator Security Lake yang didelegasikan, Anda harus memiliki izin untuk mengaktifkan Security Lake dan menggunakan operasi AWS Organizations API tertentu yang tercantum dalam pernyataan kebijakan berikut.

Anda dapat menambahkan pernyataan berikut ke akhir kebijakan AWS Identity and Access Management (IAM) untuk memberikan izin ini.

{
    "Sid": "Grant permissions to designate a delegated Security Lake administrator",
    "Effect": "Allow",
    "Action": [
        "securitylake:RegisterDataLakeDelegatedAdministrator",
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListAccounts",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization"
    ],
    "Resource": "*"
}

Menunjuk administrator Security Lake yang didelegasikan dan menambahkan akun anggota

Pilih metode akses Anda untuk menetapkan akun administrator Security Lake yang didelegasikan untuk organisasi Anda. Hanya akun manajemen organisasi yang dapat menunjuk akun administrator yang didelegasikan untuk organisasi mereka. Akun manajemen organisasi tidak dapat menjadi akun administrator yang didelegasikan untuk organisasi mereka.

Console

1. Buka konsol Security Lake di https://console.aws.amazon.com/securitylake/.

   Masuk menggunakan kredenSIAL akun manajemen untuk organisasi Anda.

2. • Jika Security Lake belum diaktifkan, pilih Mulai, lalu tentukan administrator Security Lake yang didelegasikan pada halaman Aktifkan Security Lake.

   • Jika Security Lake sudah diaktifkan, tentukan administrator Lake Keamanan yang didelegasikan di halaman Pengaturan.

3. Di bawah Delegasikan administrasi ke akun lain, masukkan Akun AWS ID 12 digit akun Arsip Log Anda.

   Sebaiknya gunakan Log Archive sebagai administrator Security Lake yang didelegasikan. Untuk informasi selengkapnya, lihat Pertimbangan penting untuk administrator Security Lake yang didelegasikan.

4. Pilih Delegasikan. Jika Security Lake belum diaktifkan, menunjuk administrator yang didelegasikan akan mengaktifkan Security Lake untuk akun tersebut di Wilayah Anda saat ini.

API

Untuk menunjuk administrator yang didelegasikan secara terprogram, gunakan RegisterDataLakeDelegatedAdministrator operasi Security Lake API. Anda harus memanggil operasi dari akun manajemen organisasi. Jika Anda menggunakan AWS CLI, jalankan register-data-lake-delegated-administrator perintah dari akun manajemen organisasi. Dalam permintaan Anda, gunakan accountId parameter untuk menentukan ID akun 12 digit Akun AWS untuk ditunjuk sebagai akun administrator yang didelegasikan untuk organisasi.

Misalnya, AWS CLI perintah berikut menunjuk administrator yang didelegasikan. Contoh ini diformat untuk Linux, macOS, atau Unix, dan menggunakan karakter garis miring terbalik (\) untuk meningkatkan keterbacaan.

$ aws securitylake register-data-lake-delegated-administrator \
--account-id 123456789012

Administrator yang didelegasikan juga dapat memilih untuk mengotomatiskan pengumpulan data AWS log dan peristiwa untuk akun organisasi baru. Dengan konfigurasi ini, Security Lake secara otomatis diaktifkan di akun baru saat akun ditambahkan ke organisasi di AWS Organizations. Sebagai administrator yang didelegasikan, Anda dapat mengaktifkan konfigurasi ini dengan menggunakan pen CreateDataLakeOrganizationConfiguration goperasian Security Lake API atau, jika Anda menggunakan AWS CLI, dengan menjalankan create-data-lake-organization-configuration perintah. Dalam permintaan Anda, Anda juga dapat menentukan pengaturan konfigurasi tertentu untuk akun baru.

Misalnya, AWS CLI perintah berikut secara otomatis mengaktifkan Security Lake dan pengumpulan log kueri resolver Amazon Route 53, AWS Security Hub CSPM temuan, dan Log Aliran Amazon Virtual Private Cloud (Amazon VPC) di akun organisasi baru. Contoh ini diformat untuk Linux, macOS, atau Unix, dan menggunakan karakter garis miring terbalik (\) untuk meningkatkan keterbacaan.

$ aws securitylake create-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"ROUTE53"},{"sourceName":"SH_FINDINGS"},{"sourceName":"VPC_FLOW"}]}]'

Setelah akun manajemen organisasi menunjuk administrator yang didelegasikan, administrator dapat mengaktifkan dan mengkonfigurasi Security Lake untuk organisasi. Ini termasuk mengaktifkan dan mengonfigurasi Security Lake untuk mengumpulkan data AWS log dan peristiwa untuk akun individu dalam organisasi. Untuk informasi selengkapnya, lihat Mengumpulkan data dari Layanan AWS di Danau Keamanan.

Anda dapat menggunakan GetDataLakeOrganizationConfiguration operasi untuk mendapatkan detail tentang konfigurasi organisasi Anda saat ini untuk akun anggota baru.

Mengedit konfigurasi pengaktifan otomatis untuk akun organisasi baru

Administrator Security Lake yang didelegasikan dapat melihat dan mengedit setelan pengaktifan otomatis untuk akun saat mereka bergabung dengan organisasi Anda. Security Lake mengambil data berdasarkan pengaturan ini hanya untuk akun baru, bukan akun yang sudah ada.

Gunakan langkah-langkah berikut untuk mengedit konfigurasi untuk akun organisasi baru:

Menghapus administrator Lake Keamanan yang didelegasikan

Hanya akun manajemen organisasi yang dapat menghapus administrator Security Lake yang didelegasikan untuk organisasi mereka. Jika Anda ingin mengubah administrator yang didelegasikan untuk organisasi, hapus administrator yang didelegasikan saat ini, lalu tentukan administrator yang didelegasikan yang baru.

Anda tidak dapat mengubah atau menghapus administrator yang didelegasikan dengan menggunakan konsol Security Lake. Tugas-tugas ini hanya dapat dilakukan secara terprogram.

Untuk menghapus administrator yang didelegasikan secara terprogram, gunakan DeregisterDataLakeDelegatedAdministrator operasi Security Lake API. Anda harus memanggil operasi dari akun manajemen organisasi. Jika Anda menggunakan AWS CLI, jalankan deregister-data-lake-delegated-administrator perintah dari akun manajemen organisasi.

Misalnya, AWS CLI perintah berikut menghapus administrator Security Lake yang didelegasikan.

$ aws securitylake deregister-data-lake-delegated-administrator

Untuk mempertahankan penunjukan administrator yang didelegasikan tetapi mengubah pengaturan konfigurasi otomatis akun anggota baru, gunakan pen DeleteDataLakeOrganizationConfiguration goperasian API Security Lake, atau, jika Anda menggunakan AWS CLI, delete-data-lake-organization-configuration perintah. Hanya administrator yang didelegasikan yang dapat mengubah pengaturan ini untuk organisasi.

Misalnya, AWS CLI perintah berikut menghentikan pengumpulan otomatis temuan CSPM Security Hub dari akun anggota baru yang bergabung dengan organisasi. Akun anggota baru tidak akan menyumbangkan temuan CSPM Security Hub ke data lake setelah administrator yang didelegasikan memanggil operasi ini. Contoh ini diformat untuk Linux, macOS, atau Unix, dan menggunakan karakter garis miring terbalik (\) untuk meningkatkan keterbacaan.

$ aws securitylake delete-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"SH_FINDINGS"}]}]'

Akses tepercaya Security Lake

Setelah Anda mengatur Security Lake untuk organisasi, akun AWS Organizations manajemen dapat mengaktifkan akses tepercaya dengan Security Lake. Akses tepercaya memungkinkan Security Lake untuk membuat peran terkait layanan IAM dan melakukan tugas di organisasi Anda dan akunnya atas nama Anda. Untuk informasi selengkapnya, lihat Menggunakan AWS Organizations dengan Layanan AWS yang lain di Panduan AWS Organizations Pengguna.

Sebagai pengguna akun manajemen organisasi, Anda dapat menonaktifkan akses tepercaya untuk Security Lake di AWS Organizations. Untuk petunjuk tentang menonaktifkan akses tepercaya, lihat Cara mengaktifkan atau menonaktifkan akses tepercaya di Panduan AWS Organizations Pengguna.

Sebaiknya nonaktifkan akses tepercaya jika administrator yang didelegasikan Akun AWS ditangguhkan, diisolasi, atau ditutup.