As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Visualizando o status e os detalhes da política de configuração
O AWS Security Hub administrador delegado pode visualizar as políticas de configuração de uma organização e seus detalhes. Isso inclui a quais contas e unidades organizacionais (OUs) uma política está associada.
Para obter informações básicas sobre os benefícios da configuração central e como ela funciona, consulteEntendendo a configuração central no Security Hub.
Escolha seu método preferido e siga as etapas para visualizar suas políticas de configuração.
Revisando o status de associação de uma política de configuração
As seguintes API operações de configuração central retornam um campo chamadoAssociationStatus:
BatchGetConfigurationPolicyAssociationsGetConfigurationPolicyAssociationListConfigurationPolicyAssociationsStartConfigurationPolicyAssociation
Esse campo é retornado quando a configuração subjacente é uma política de configuração e quando é um comportamento autogerenciado.
O valor de AssociationStatus indica se uma associação de política está pendente ou em estado de êxito ou fracasso. Pode demorar até 24 horas para que o status mude de PENDING para SUCCESS ou FAILURE. O status da associação de uma OU principal ou da raiz depende do status de seus filhos. Se o status de associação de todos os filhos for SUCCESS, o status de associação dos pais será SUCCESS. Se o status de associação de um ou mais filhos for FAILED, o status de associação dos pais será FAILED.
O valor de AssociationStatus também depende de todas as regiões. Se a associação obtiver êxito na região inicial e em todas as regiões vinculadas, o valor de AssociationStatus será SUCCESS. Se a associação falhar em uma ou mais dessas regiões, o valor de AssociationStatus será FAILED.
O comportamento a seguir também afeta o valor de AssociationStatus:
Se o destino for uma OU pai ou a raiz, ela terá um
AssociationStatusdeSUCCESSouFAILEDsomente quando todos os filhos tiverem um statusSUCCESSouFAILED. Se o status de associação de uma conta secundária ou OU mudar (por exemplo, quando uma região vinculada for adicionada ou removida) depois que você associar o pai a uma configuração pela primeira vez, a alteração não atualizará o status de associação do pai, a menos que você a invoqueStartConfigurationPolicyAssociationAPI novamente.Se o destino for uma conta, ela terá um
AssociationStatusdeSUCCESSouFAILEDsomente se a associação tiver um resultado deSUCCESSouFAILEDna região inicial e em todas as regiões vinculadas. Se o status de associação de uma conta de destino mudar (por exemplo, quando uma região vinculada for adicionada ou removida) depois que você a associar pela primeira vez a uma configuração, seu status de associação será atualizado. No entanto, a alteração não atualiza o status de associação do pai, a menos que você invoque oStartConfigurationPolicyAssociationAPI novamente.
Se você adicionar uma nova região vinculada, o Security Hub replicará suas associações existentes que estiverem em um estado PENDING, SUCCESS ou FAILED na nova região.
Solução de problemas de falha de associação
Em AWS Security Hub, uma associação de política de configuração pode falhar pelos seguintes motivos comuns.
A conta de gerenciamento da Organizations não é um membro — Se você quiser associar uma política de configuração à conta de gerenciamento da Organizations, essa conta já deve estar AWS Security Hub habilitada. Isso torna a conta de gerenciamento uma conta-membro na organização.
AWS Config não está habilitado ou configurado corretamente — Para habilitar padrões em uma política de configuração, AWS Config ela deve estar habilitada e configurada para registrar recursos relevantes.
É necessário associar a partir da conta de administrador delegado — Você só pode associar uma política às contas de destino e OUs quando estiver conectado à conta de administrador delegada do Security Hub.
É necessário associar a partir da região de origem — Você só pode associar uma política às contas de destino e OUs quando estiver conectado à sua região de origem.
Região de adesão não habilitada: a associação de políticas falhará para uma conta-membro ou OU em uma região vinculada se for uma região de adesão que o administrador delegado não tenha habilitado. É possível tentar novamente depois de habilitar a região a partir da conta de administrador delegado.
Conta-membro suspensa: a associação de políticas falhará se você tentar associar uma política a uma conta-membro suspensa.
