As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Gerenciando várias contas com AWS Organizations em Security Lake

Você pode usar o Amazon Security Lake para coletar registros e eventos de segurança de várias Contas da AWS. Para ajudar a automatizar e simplificar o gerenciamento de várias contas, é altamente recomendável que você integre o Security Lake com o AWS Organizations.

Em Organizações, a conta que você usa para criar a organização é chamada conta de gerenciamento. Para integrar o Security Lake com o Organizations, a conta de gerenciamento deve designar uma conta delegada de administrador do Security Lake para a organização.

O administrador delegado do Security Lake pode ativar o Security Lake e definir as configurações do Security Lake para as contas-membro. O administrador delegado pode coletar registros e eventos em toda a organização em todos os Regiões da AWS lugares em que o Security Lake está ativado (independentemente do endpoint regional que ele esteja usando no momento). O administrador delegado também pode configurar o Security Lake para coletar automaticamente dados de log e eventos para novas contas da organização.

O administrador delegado do Security Lake tem acesso ao log e dados de eventos das contas-membros associadas. Assim, eles podem configurar o Security Lake para coletar dados pertencentes às contas-membro associadas. Eles também podem conceder aos assinantes permissão para consumir dados pertencentes às contas-membro associadas.

Para habilitar o Security Lake para várias contas em uma organização, a conta de gerenciamento da organização deve primeiro designar uma conta delegada de administrador do Security Lake para a organização. O administrador delegado pode então ativar e configurar o Security Lake para a organização.

Para obter mais informações sobre como configurar organizações, consulte Criar e gerenciar uma organização no Guia do usuário do AWS Organizations .

Considerações importantes para administradores delegados do Security Lake

Permissões do IAM necessárias para designar um administrador delegado

Ao designar o administrador delegado do Security Lake, você deve ter permissões para habilitar o Security Lake e usar determinadas operações de AWS Organizations API listadas na declaração de política a seguir.

Você pode adicionar a seguinte declaração ao final de uma política AWS Identity and Access Management (IAM) para conceder essas permissões.

{
    "Sid": "Grant permissions to designate a delegated Security Lake administrator",
    "Effect": "Allow",
    "Action": [
        "securitylake:RegisterDataLakeDelegatedAdministrator",
        "organizations:EnableAWSServiceAccess",
        "organizations:RegisterDelegatedAdministrator",
        "organizations:ListAccounts",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization"
    ],
    "Resource": "*"
}

Com designar o administrador delegado do Security Lake e adicionar contas de membros

Escolha seu método de acesso para designar uma conta de administrador do delegada do Security Lake para a sua organização. Somente a conta de gerenciamento da organização pode designar a conta do administrador delegado para sua organização. A conta de gerenciamento da organização não pode ser a conta do administrador delegado da própria organização.

Console

1. Abra o console do Security Lake em https://console.aws.amazon.com/securitylake/.

   Faça login usando as credenciais da conta de gerenciamento da sua organização.

2. • Se o Security Lake ainda não estiver ativado, selecione Começar e, em seguida, designe o administrador delegado do Security Lake na página Ativar Security Lake.

   • Se o Security Lake já estiver ativado, designe o administrador delegado do Security Lake na página Configurações.

3. Em Delegar administração para outra conta, insira o Conta da AWS ID de 12 dígitos da sua conta do Log Archive.

   Recomendamos usar o Log Archive como administrador delegado do Security Lake. Para obter mais informações, consulte Considerações importantes para administradores delegados do Security Lake.

4. Selecione Delegar. Se o Security Lake ainda não estiver habilitado, designar um administrador delegado habilitará o Security Lake para essa conta na região atual.

API

Para designar programaticamente o administrador delegado, use a RegisterDataLakeDelegatedAdministrator operação da API Security Lake. Você deve invocar a operação a partir da conta de gerenciamento da organização. Se você estiver usando o AWS CLI, execute o register-data-lake-delegated-administrator comando na conta de gerenciamento da organização. Em sua solicitação, use o accountId parâmetro para especificar o ID da conta de 12 dígitos do Conta da AWS para designar como a conta de administrador delegada da organização.

Por exemplo, o AWS CLI comando a seguir designa o administrador delegado. Este exemplo está formatado para Linux, macOS ou Unix e usa o caractere de continuação de linha “barra invertida (\)” para melhorar a legibilidade.

$ aws securitylake register-data-lake-delegated-administrator \
--account-id 123456789012

O administrador delegado também pode optar por automatizar a coleta de dados de logs e eventos da AWS de novas contas da organização. Com essa configuração, o Security Lake é ativado automaticamente em novas contas quando as contas são adicionadas à organização em AWS Organizations. Como administrador delegado, você pode habilitar essa configuração usando a CreateDataLakeOrganizationConfiguration operação da API Security Lake ou, se estiver usando a AWS CLI, executando o create-data-lake-organization-configuration comando. Em sua solicitação, você também pode especificar determinadas configurações para novas contas.

Por exemplo, o AWS CLI comando a seguir ativa automaticamente o Security Lake e a coleta de registros de consultas do resolvedor do Amazon Route 53, AWS Security Hub CSPM descobertas e registros de fluxo do Amazon Virtual Private Cloud (Amazon VPC) em novas contas da organização. Este exemplo está formatado para Linux, macOS ou Unix e usa o caractere de continuação de linha “barra invertida (\)” para melhorar a legibilidade.

$ aws securitylake create-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"ROUTE53"},{"sourceName":"SH_FINDINGS"},{"sourceName":"VPC_FLOW"}]}]'

Após a conta de gerenciamento da organização designar o administrador delegado, o administrador pode ativar e configurar o Security Lake para a organização. Isso inclui ativar e configurar o Security Lake para coletar dados de AWS log e eventos para contas individuais na organização. Para obter mais informações, consulte Coletando dados de Serviços da AWS em Security Lake.

Você pode usar a GetDataLakeOrganizationConfiguration operação para obter detalhes sobre a configuração atual da sua organização para novas contas de membros.

Editando a configuração de ativação automática para novas contas da organização

Um administrador delegado do Security Lake pode visualizar e editar as configurações de ativação automática das contas quando elas ingressam na sua organização. O Security Lake ingere dados com base nessas configurações somente para novas contas, não para contas existentes.

Use as etapas a seguir para editar a configuração das novas contas da organização:

Como remover o administrador delegado do Security Lake

Apenas a conta de gerenciamento da organização pode remover o administrador delegado do Security Lake da organização. Se desejar alterar o administrador delegado da organização, remova o administrador delegado atual e, em seguida, designe o novo administrador delegado.

Não é possível alterar ou remover o administrador delegado usando o console do Security Lake. Essas tarefas só podem ser executadas por programação.

Para remover programaticamente o administrador delegado, use a DeregisterDataLakeDelegatedAdministrator operação da API Security Lake. Você deve invocar a operação a partir da conta de gerenciamento da organização. O Se você estiver usando o AWS CLI, execute o deregister-data-lake-delegated-administrator comando na conta de gerenciamento da organização.

Por exemplo, o AWS CLI comando a seguir remove o administrador delegado do Security Lake.

$ aws securitylake deregister-data-lake-delegated-administrator

Para manter a designação de administrador delegado, mas alterar as configurações automáticas das novas contas membros, use a DeleteDataLakeOrganizationConfiguration operação da API Security Lake ou, se estiver usando o AWS CLIdelete-data-lake-organization-configuration comando. Somente o administrador delegado pode alterar essas configurações para a organização.

Por exemplo, o AWS CLI comando a seguir interrompe a coleta automática de descobertas do Security Hub CSPM de novas contas de membros que ingressam na organização. As novas contas de membros não contribuirão com as descobertas do Security Hub CSPM para o data lake depois que o administrador delegado invocar essa operação. Este exemplo está formatado para Linux, macOS ou Unix e usa o caractere de continuação de linha “barra invertida (\)” para melhorar a legibilidade.

$ aws securitylake delete-data-lake-organization-configuration \
--auto-enable-new-account '[{"region":"us-east-1","sources":[{"sourceName":"SH_FINDINGS"}]}]'

Acesso confiável do Security Lake

Depois de configurar o Security Lake para uma organização, a conta AWS Organizations de gerenciamento pode habilitar o acesso confiável com o Security Lake. O acesso confiável permite que o Security Lake crie uma função vinculada a serviços do IAM e execute tarefas na organização e nas contas em seu nome. Para obter mais informações, consulte Usar o AWS Organizations com outro Serviços da AWS no Guia do usuário do AWS Organizations .

Como usuário da conta de gerenciamento da organização, você pode desativar o acesso confiável para o Security Lake no AWS Organizations. Para obter instruções sobre como desativar o acesso confiável, consulte Como ativar ou desativar o acesso confiável no Guia do usuário do AWS Organizations .

Recomendamos desativar o acesso confiável se o administrador delegado Conta da AWS estiver suspenso, isolado ou fechado.