Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione di Microsoft Azure per l'integrazione con Security Hub CSPM

Dopo aver completato le attività relative ai prerequisiti, puoi configurare il tuo ambiente Microsoft Azure per supportare l'integrazione con AWS Security Hub CSPM. Per aiutarti a farlo, la console Security Hub CSPM genera uno script di configurazione personalizzato per la tua configurazione.

Per generare lo script, procedi come segue:

Per eseguire lo script, usa l'interfaccia della riga di comando di Azure ed esegui l'autenticazione con un account Global Administrator (). az login

Quando esegui lo script, esegue una serie di attività. Le sezioni seguenti descrivono ogni operazione eseguita dallo script. Se l'organizzazione limita l'esecuzione degli script, è possibile eseguire queste attività manualmente, utilizzando questo argomento come guida. Dopo aver configurato l'ambiente Azure, puoi configurare Security Hub CSPM per l'integrazione con Azure.

Passaggio 1: registrare un'applicazione Azure

Registra una nuova applicazione in Microsoft Entra ID. Questa applicazione funge da identità AWS utilizzata per l'autenticazione nell'ambiente Azure utilizzando credenziali federate. Non sono richiesti i segreti del cliente.

$ az ad app create --display-name "AWSSecurityHubIntegration"

Annota l'ID dell'applicazione (client) dall'output (l'appIdattributo). Questo valore verrà fornito durante la creazione del connettore nella console CSPM di Security Hub.

Fase 2: Creare un'entità del servizio

Creare un'entità di servizio per l'applicazione registrata. Si utilizzano le assegnazioni di ruolo di Azure per concedere le autorizzazioni all'entità del servizio. Il responsabile del servizio esegue azioni nel tuo ambiente Azure.

$ az ad sp create --id application-client-id

application-client-idDov'è l'ID dell'applicazione (client) del passaggio precedente.

Fase 3: Configurare le credenziali di identità federate

Configurare le credenziali di identità federate sull'applicazione per consentire l'autenticazione senza segreti del AWS cliente. Questo stabilisce un trust OIDC tra Azure e Azure. AWS Non vengono archiviati segreti o credenziali di lunga durata.

$ az ad app federated-credential create \
  --id application-client-id \
  --parameters '{
    "name": "AWSConfigFederation",
    "issuer": "token-issuer-url",
    "subject": "arn:aws:iam::account-id:role/aws-service-role/thirdparty.config.amazonaws.com/AWSServiceRoleForConfigThirdParty",
    "audiences": ["api://AzureADTokenExchange"],
    "description": "Federation for AWS Config third-party cloud resource discovery"
  }'

Valori chiave:

Fase 4: Assegnazione del ruolo Reader

Assegna il ruolo Reader all'entità del servizio nell'ambito principale (/). Ciò garantisce l'accesso in sola lettura a tutte le risorse di Azure in tutte le sottoscrizioni del tenant.

$ az role assignment create \
  --assignee application-client-id \
  --role "Reader" \
  --scope "/"

Passaggio 5: configurare le autorizzazioni dell'API Microsoft Graph

Concedi le seguenti autorizzazioni API Microsoft Graph (tipo di applicazione) all'applicazione, quindi concedi il consenso dell'amministratore:

$ az ad app permission admin-consent --id application-client-id

Passaggio 6: configura Azure Event Hub

AWS Config utilizza un Azure Event Hub per ricevere notifiche quasi in tempo reale sulle modifiche alla configurazione delle risorse nel tuo ambiente Azure. Lo script di configurazione crea l'infrastruttura Event Hub e la contrassegna per l'individuazione.

$ az group create \
  --name "aws-securityhub-integration" \
  --location event-hub-region

$ az eventhubs namespace create \
  --resource-group "aws-securityhub-integration" \
  --name "aws-securityhub-account-id" \
  --location event-hub-region \
  --sku Standard

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "activitylog" \
  --message-retention 1 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "activitylog" \
  --name "AWSConfig"

Dopo aver creato l'Event Hub, contrassegna il namespace per il rilevamento e assegna il ruolo di ricevitore dati:

$ az tag create \
  --resource-id namespace-resource-id \
  --tags "AWSConfig-account-id-region=activitylog"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope namespace-resource-id

Configurazione chiave:

Passaggio 7: configurazione del registro delle attività e dell'esportazione del registro di controllo Entra ID

Configura Azure per esportare i log delle attività e i registri di controllo di Entra ID nell'Event Hub.

Esportazione del registro delle attività:

Configura le impostazioni diagnostiche su ogni abbonamento per esportare i registri delle attività nell'Event Hub. Lo script di configurazione lo configura automaticamente per tutti gli abbonamenti monitorati. I registri delle attività registrano le attività a livello di abbonamento, comprese le assegnazioni di ruolo e le modifiche alle risorse.

Esportazione del registro di controllo Entra ID:

Configura le impostazioni diagnostiche su Microsoft Entra ID per esportare i registri di controllo nello stesso Event Hub. Accedere a Microsoft Entra ID > Monitoraggio > Impostazioni diagnostiche > Aggiungi impostazioni di diagnostica. Attivali AuditLogs e indirizzali al tuo Event Hub.

Esportazione continua di Microsoft Defender for Cloud (opzionale):

Per inoltrare gli avvisi di sicurezza di Defender for Cloud a Security Hub CSPM, configura l'esportazione continua nel tuo Event Hub. Nel portale di Azure, accedi a Microsoft Defender for Cloud > Impostazioni di ambiente > seleziona abbonamento > Esportazione continua. Seleziona Event Hub come destinazione di esportazione e scegli il tuo namespace Event Hub. Abilita gli avvisi di sicurezza come tipo di dati di esportazione.

Configurazione degli eventi relativi ai dati di Amazon Inspector (opzionale):

Se prevedi di utilizzare Amazon Inspector per la scansione di macchine virtuali di Azure, è necessaria una configurazione aggiuntiva degli eventi relativi ai dati. Per dettagli sulla configurazione degli eventi relativi Inspector-specific ai dati, consulta la documentazione di Amazon Inspector per l'integrazione con Azure.