As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Comparar metas gerenciadas centralmente e autogerenciadas
Quando você ativa a configuração central, o AWS Security Hub administrador delegado pode designar cada conta da organização, unidade organizacional (OU) e raiz como gerenciada centralmente ou autogerenciada. O tipo de gerenciamento de um alvo determina como você pode especificar suas configurações do Security Hub.
Para obter informações contextuais sobre os benefícios da configuração central e como ela funciona, consulte Entender a configuração central no Security Hub.
Esta seção explica as diferenças entre uma designação gerenciada centralmente e autogerenciada, e como escolher o tipo de gerenciamento de uma conta, de uma UO ou da raiz.
- Autogerenciado
O proprietário de uma conta autogerenciada, OU ou raiz deve definir suas configurações separadamente em cada uma Região da AWS. O administrador delegado não pode criar políticas de configuração para alvos autogerenciados.
- Gerenciada centralmente
Somente o administrador delegado do Security Hub pode definir as configurações das contas gerenciadas centralmente ou da raiz na região de origem e nas regiões vinculadas. OUs As políticas de configuração podem ser associadas a contas gerenciadas centralmente e. OUs
O administrador delegado pode alternar o status de um alvo entre autogerenciado e gerenciado centralmente. Por padrão, todas as contas e UO são autogerenciadas quando você inicia a configuração central por meio do Security HubAPI. No console, o tipo de gerenciamento dependerá da sua primeira política de configuração. As contas OUs que você associa à sua primeira política são gerenciadas centralmente. Outras contas e OUs são autogerenciadas por padrão.
Se você associar uma política de configuração a uma conta autogerenciada anteriormente, as configurações da política substituirão a designação autogerenciada. A conta passará a ser gerenciada centralmente e adotará as configurações refletidas na política de configuração.
Se você alterar uma conta gerenciada centralmente para uma conta autogerenciada, as configurações que foram aplicadas anteriormente à conta por meio de uma política de configuração permanecerão em vigor. Por exemplo, uma conta gerenciada centralmente poderia inicialmente ser associada a uma política que habilitasse o Security Hub, habilitasse o AWS Foundational Security Best Practices v1.0.0 e desabilitasse .1. CloudTrail Se você designar a conta como autogerenciada, todas as configurações permanecerão inalteradas. No entanto, o proprietário da conta pode alterar de forma independente as configurações da conta daqui para frente.
A criança conta e OUs pode herdar o comportamento autogerenciado de um pai autogerenciado, da mesma forma que contas secundárias e OUs pode herdar políticas de configuração de um pai gerenciado centralmente. Para obter mais informações, consulte Associação de políticas por meio de aplicação e herança.
Uma conta autogerenciada ou UO não pode herdar uma política de configuração de um nó superior ou da raiz. Por exemplo, se você quiser que todas as contas e OUs em sua organização herdem uma política de configuração da raiz, você deve alterar o tipo de gerenciamento dos nós autogerenciados para gerenciados centralmente.
Opções para definir configurações em contas autogerenciadas
As contas autogerenciadas devem definir suas próprias configurações separadamente em cada região.
Os proprietários de contas autogerenciadas podem invocar as seguintes operações do Security Hub API em cada região para definir suas configurações:
EnableSecurityHubeDisableSecurityHubpara habilitar ou desabilitar o serviço do Security Hub (se uma conta autogerenciada tiver um administrador delegado do Security Hub, o administrador deverá desassociar a conta antes que o proprietário da conta possa desabilitar o Security Hub).BatchEnableStandardseBatchDisableStandardspara habilitar ou desabilitar padrõesBatchUpdateStandardsControlAssociationsouUpdateStandardsControlpara habilitar ou desabilitar
As contas autogerenciadas também podem usar as operações *Invitations e *Members. Porém, recomendamos que as contas autogerenciadas não usem essas operações. As associações de políticas podem não funcionar se uma conta-membro tiver seus os próprios membros e eles fizerem parte de uma organização diferente da organização do administrador delegado.
Para obter descrições das API ações do Security Hub, consulte a AWS Security Hub APIReferência.
As contas autogerenciadas também podem usar o console do Security Hub ou AWS CLI definir suas configurações em cada região.
As contas autogerenciadas não podem invocar nenhuma APIs relacionada às políticas de configuração e associações de políticas do Security Hub. Somente o administrador delegado pode invocar a configuração central APIs e usar políticas de configuração para configurar contas gerenciadas centralmente.
Escolher o tipo de gerenciamento de um alvo
Escolha seu método preferido e siga as etapas para designar uma conta ou UO como gerenciada centralmente ou autogerenciada no AWS Security Hub.
