기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS Security Hub의 AWS 관리형 정책

AWS 관리형 정책은 AWS에서 생성되고 관리되는 독립형 정책입니다. AWS 관리형 정책은 사용자, 그룹 및 역할에 권한 할당을 시작할 수 있도록 많은 일반 사용 사례에 대한 권한을 제공하도록 설계되었습니다.

AWS 관리형 정책은 모든 AWS 고객이 사용할 수 있기 때문에 특정 사용 사례에 대해 최소 권한을 부여하지 않을 수 있습니다. 사용 사례에 고유한 고객 관리형 정책을 정의하여 권한을 줄이는 것이 좋습니다.

AWS 관리형 정책에서 정의한 권한은 변경할 수 없습니다. 만약 AWS이(가) AWS 관리형 정책에 정의된 권한을 업데이트할 경우 정책이 연결되어 있는 모든 보안 주체 엔티티(사용자, 그룹 및 역할)에도 업데이트가 적용됩니다. 새로운 AWS 서비스을(를) 시작하거나 새로운 API 작업을 기존 서비스에 이용하는 경우, AWS이(가) AWS 관리형 정책을 업데이트할 가능성이 높습니다.

자세한 내용은 IAM 사용 설명서의 AWS 관리형 정책을 참조하세요.

AWS 관리형 정책: AWSSecurityHubFullAccess

AWSSecurityHubFullAccess 정책을 IAM 보안 인증에 연결할 수 있습니다.

이 정책은 모든 Security Hub 작업에 대한 전체 액세스 권한을 허용하는 관리 권한을 보안 주체에게 부여합니다. 보안 주체가 자신의 계정에 대해 Security Hub를 수동으로 활성화하려면 먼저 보안 주체에 이 정책을 연결해야 합니다. 예를 들어, 이러한 권한이 있는 보안 주체는 조사 결과의 상태를 보고 업데이트할 수 있습니다. 이들은 사용자 지정 인사이트를 구성하고 통합을 활성화할 수 있습니다. 표준 및 제어 기능을 활성화하거나 비활성화할 수 있습니다. 관리자 계정의 보안 주체는 멤버 계정을 관리할 수도 있습니다.

권한 세부 정보

이 정책에는 다음 권한이 포함되어 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SecurityHubAllowAll",
            "Effect": "Allow",
            "Action": "securityhub:*",
            "Resource": "*" 
        },
        {
            "Sid": "SecurityHubServiceLinkedRole",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "securityhub.amazonaws.com"
                }
            }
        },
        {
            "Sid": "OtherServicePermission",
            "Effect": "Allow",
            "Action": [
                "guardduty:GetDetector",
                "guardduty:ListDetectors",
                "inspector2:BatchGetAccountStatus",
                "pricing:GetProducts"
            ],
            "Resource": "*"
        }
    ]
}

Security Hub 관리형 정책: AWSSecurityHubReadOnlyAccess

AWSSecurityHubReadOnlyAccess 정책을 IAM 보안 인증에 연결할 수 있습니다.

이 정책은 Security Hub의 정보를 볼 수 있는 읽기 전용 권한을 사용자에게 부여합니다. 이 정책이 연결된 보안 주체는 Security Hub에서 업데이트를 수행할 수 없습니다. 예를 들어, 이러한 권한이 있는 보안 주체는 자신의 계정과 연결된 조사 결과 목록을 볼 수 있지만 조사 결과의 상태를 변경할 수는 없습니다. 이들은 인사이트 결과는 볼 수 있지만 사용자 지정 인사이트를 만들거나 구성할 수는 없습니다. 이들은 제어 기능 또는 제품 통합을 구성할 수 없습니다.

권한 세부 정보

이 정책에는 다음 권한이 포함되어 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [ 
        {
            "Sid": "AWSSecurityHubReadOnlyAccess",
            "Effect": "Allow",
            "Action": [
                "securityhub:Get*",
                "securityhub:List*",
                "securityhub:BatchGet*",
                "securityhub:Describe*"
            ],
            "Resource": "*"
        }
    ]
}

AWS 관리형 정책: AWSSecurityHubOrganizationsAccess

AWSSecurityHubOrganizationsAccess 정책을 IAM 보안 인증에 연결할 수 있습니다.

이 정책은 Security Hub와 Organizations의 통합을 지원하는 데 필요한 관리자 권한을 AWS Organizations에서 부여합니다.

이러한 권한을 통해 조직 관리 계정은 Security Hub의 위임된 관리자 계정을 지정할 수 있습니다. 또한, 위임된 Security Hub 관리자 계정을 통해 조직 계정을 멤버 계정으로 활성화할 수 있습니다.

이 정책은 Organizations에 대한 권한만 제공합니다. 조직 관리 계정과 위임된 Security Hub 관리자 계정에도 Security Hub의 관련 작업에 대한 권한이 필요합니다. AWSSecurityHubFullAccess 관리형 정책을 사용하여 이러한 권한을 부여할 수 있습니다.

권한 세부 정보

이 정책에는 다음 권한이 포함되어 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "OrganizationPermissions",
            "Effect": "Allow",
            "Action": [
                "organizations:ListAccounts",
                "organizations:DescribeOrganization",
                "organizations:ListRoots",
                "organizations:ListDelegatedAdministrators",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:ListOrganizationalUnitsForParent",
                "organizations:ListAccountsForParent",
                "organizations:DescribeAccount",
                "organizations:DescribeOrganizationalUnit"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OrganizationPermissionsEnable",
            "Effect": "Allow",
            "Action": "organizations:EnableAWSServiceAccess",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": "securityhub.amazonaws.com"
                }
            }
        },
        {
            "Sid": "OrganizationPermissionsDelegatedAdmin",
            "Effect": "Allow",
            "Action": [
                "organizations:RegisterDelegatedAdministrator",
                "organizations:DeregisterDelegatedAdministrator"
            ],
            "Resource": "arn:aws:organizations::*:account/o-*/*",
            "Condition": {
            "StringEquals": {
                "organizations:ServicePrincipal": "securityhub.amazonaws.com"
                }
            }
        }
    ]
}

AWS 관리형 정책: AWSSecurityHubServiceRolePolicy

AWSSecurityHubServiceRolePolicy를 IAM 엔티티에 연결할 수 없습니다. 이 정책은 Security Hub에서 사용자를 대신하여 작업을 수행할 수 있도록 서비스 연결 역할에 연결되어 있습니다. 자세한 내용은 Security Hub의 서비스 연결 역할 섹션을 참조하세요.

이 정책은 서비스 연결 역할이 Security Hub 제어 기능에 대한 보안 검사를 수행할 수 있도록 하는 관리 권한을 부여합니다.

권한 세부 정보

이 정책에는 다음을 할 수 있는 권한이 포함되어 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [ 
        {
            "Sid": "SecurityHubServiceRolePermissions",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:DescribeTrails",
                "cloudtrail:GetTrailStatus",
                "cloudtrail:GetEventSelectors",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:DescribeAlarmsForMetric",
                "logs:DescribeMetricFilters",
                "sns:ListSubscriptionsByTopic",
                "config:DescribeConfigurationRecorders",
                "config:DescribeConfigurationRecorderStatus",
                "config:DescribeConfigRules",
                "config:DescribeConfigRuleEvaluationStatus",
                "config:BatchGetResourceConfig",
                "config:SelectResourceConfig",
                "iam:GenerateCredentialReport",
                "organizations:ListAccounts",
                "config:PutEvaluations",
                "tag:GetResources",
                "iam:GetCredentialReport",
                "organizations:DescribeAccount",
                "organizations:DescribeOrganization",
                "organizations:ListChildren",
                "organizations:ListAWSServiceAccessForOrganization",
                "organizations:DescribeOrganizationalUnit",
                "securityhub:BatchDisableStandards",
                "securityhub:BatchEnableStandards",
                "securityhub:BatchUpdateStandardsControlAssociations",
                "securityhub:BatchGetSecurityControls",
                "securityhub:BatchGetStandardsControlAssociations",
                "securityhub:CreateMembers",
                "securityhub:DeleteMembers",
                "securityhub:DescribeHub",
                "securityhub:DescribeOrganizationConfiguration",
                "securityhub:DescribeStandards",
                "securityhub:DescribeStandardsControls",
                "securityhub:DisassociateFromAdministratorAccount",
                "securityhub:DisassociateMembers",
                "securityhub:DisableSecurityHub",
                "securityhub:EnableSecurityHub",
                "securityhub:GetEnabledStandards",
                "securityhub:ListStandardsControlAssociations",
                "securityhub:ListSecurityControlDefinitions",
                "securityhub:UpdateOrganizationConfiguration",
                "securityhub:UpdateSecurityControl",
                "securityhub:UpdateSecurityHubConfiguration",
                "securityhub:UpdateStandardsControl",
                "tag:GetResources"
            ],
            "Resource": "*"
        },
        {
            "Sid": "SecurityHubServiceRoleConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "config:PutConfigRule",
                "config:DeleteConfigRule",
                "config:GetComplianceDetailsByConfigRule"
            ],
            "Resource": "arn:aws:config:*:*:config-rule/aws-service-rule/*securityhub*"
        },
        {
            "Sid": "SecurityHubServiceRoleOrganizationsPermissions",
            "Effect": "Allow",
            "Action": [
                "organizations:ListDelegatedAdministrators"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "organizations:ServicePrincipal": [
                        "securityhub.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

AWS 관리형 정책에 대한 Security Hub 업데이트

이 서비스가 해당 변경 사항을 추적하기 시작한 이후 Security Hub용 AWS 관리형 정책 업데이트에 대한 세부 정보를 확인합니다. 이 페이지의 변경 사항에 대한 자동 알림을 받으려면 Security Hub 문서 기록 페이지에서 RSS 피드를 구독하세요.