恢复为默认控制参数值 - AWS Security Hub
在多个账户和区域中恢复为默认控制参数在单个账户和区域中恢复到默认控制参数

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

恢复为默认控制参数值

控制参数可以具有 AWS Security Hub 定义的默认值。有时，Security Hub 会更新参数的默认值以反映不断演变的安全最佳实践。如果您还没有为控制参数指定自定义值，则该控件会自动跟踪这些更新并使用新的默认值。

您可以恢复为使用控件的默认参数值。还原说明取决于您是否在 Security Hub 中使用中央配置。中央配置是一项功能，委派的 Security Hub 管理员可以使用它来跨 AWS 区域账户和组织单位配置 Security Hub 功能（OUs）。

注意

并非所有控制参数都有默认的 Security Hub 值。在此类情况下，当 ValueType 的值设定为 DEFAULT 时，Security Hub 不会使用特定的默认值。Security Hub 会在没有自定义值的情况下，忽略该参数。

在多个账户和区域中恢复为默认控制参数

如果您使用中央配置，则可以恢复多个集中管理账户以及主区域和关联区域OUs中的控制参数。

选择您的首选方法，然后按照以下步骤，使用中心配置在多个账户和区域中恢复为默认参数值。

Security Hub console
在多个账户和区域中恢复为默认控制参数值（控制台）

  1. 打开 AWS Security Hub 控制台，网址为https://console.aws.amazon.com/securityhub/。

    使用主区域中委托 Security Hub 管理员账户的凭证登录。

  2. 在导航窗格中，选择设置和配置。

  3. 选择策略选项卡。

  4. 选择一个策略，然后选择编辑。

  5. 在自定义策略下，控件部分显示了您为其指定自定义参数的控件列表。

  6. 找到具有一个或多个要恢复的参数值的控件。然后，选择删除以恢复为默认值。

  7. 在 “帐户” 部分中，验证要应用策略的账户或OUs账户。

  8. 选择下一步。

  9. 再次检查您的更改，确认正确无误。完成后，选择保存策略并应用。在您的主区域和所有关联区域中，此操作将覆盖与OUs该配置策略关联的账户的现有配置设置。账户和OUs可以通过直接应用或从父级继承来与配置策略相关联。

Security Hub API
在多个账户和区域中恢复为默认控制参数值 (API)

  1. 调用 UpdateConfigurationPolicyAPI来自家乡地区的委派管理员账户。

  2. 在该Identifier字段中，提供您要更新的政策的 Amazon 资源名称 (ARN) 或 ID。

  3. 对于 SecurityControlCustomParameters 对象，请提供要为其恢复一个或多个参数的每个控件的标识符。

  4. 在 Parameters 对象中，为要恢复的每个参数提供 DEFAULT 作为 ValueType 字段的值。当 ValueType 设置为 DEFAULT 时，无需为该 Value 字段提供值。如果您的请求中包含了值，Security Hub 会将其忽略。如果您的请求省略了控件支持的参数，则该参数将保留其当前值。

警告

如果在 SecurityControlCustomParameters 字段中省略控件对象，Security Hub 会将该控件的所有自定义参数恢复为其默认值。SecurityControlCustomParameters 的列表完全为空会将所有控件的自定义参数恢复为其默认值。

例如，以下 AWS CLI 命令将的daysToExpiration控制参数恢复ACM.1为其在指定配置策略中的默认值。此示例是针对 Linux、macOS 或 Unix 进行格式化的，它使用反斜杠 (\) 行继续符来提高可读性。

$ aws securityhub create-configuration-policy \
--region us-east-1 \
--identifier "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111" \
--name "TestConfigurationPolicy" \
--description "Updated configuration policy" \
--updated-reason "Revert ACM.1 parameter to default value"
--configuration-policy '{"SecurityHub": {"ServiceEnabled": true, "EnabledStandardIdentifiers": ["arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0","arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"],"SecurityControlsConfiguration":{"DisabledSecurityControlIdentifiers": ["CloudTrail.2"], "SecurityControlCustomParameters": [{"SecurityControlId": "ACM.1", "Parameters": {"daysToExpiration": {"ValueType": "DEFAULT"}}}]}}}'

在单个账户和区域中恢复到默认控制参数

如果您不使用中心配置或拥有自行管理账户，则可以恢复为每次在一个区域中使用账户的默认参数值。

选择您的首选方法，然后按照以下步骤在单个区域中将您的账户恢复为默认参数值。要在其他区域中恢复为默认参数值，请在每个其他区域中重复这些步骤。

注意

如果您禁用 Security Hub，则您的自定义控制参数将被重置。如果您将来再次启用 Security Hub，则所有控件最开始都将使用默认参数值。

Security Hub console
在一个账户和区域中恢复为默认控制参数值（控制台）

  1. 打开 AWS Security Hub 控制台，网址为https://console.aws.amazon.com/securityhub/。

  2. 在导航窗格中，选择控件。选择要恢复为默认值的参数。

  3. 在 Parameters 选项卡上，选择控制参数旁边的自定义。然后，选择删除自定义。此参数现在使用默认的 Security Hub 值，并会跟踪未来的默认值更新。

  4. 对要恢复的每个参数值重复上述步骤。

Security Hub API
在一个账户和区域中恢复为默认控制参数值 (API)

  1. 调用 UpdateSecurityControl API.

  2. 对于SecurityControlId，请提供要恢复其参数的控件的ARN或 ID。

  3. 在 Parameters 对象中，为要恢复的每个参数提供 DEFAULT 作为 ValueType 字段的值。当 ValueType 设置为 DEFAULT 时，无需为该 Value 字段提供值。如果您的请求中包含了值，Security Hub 会将其忽略。

  4. （可选）对于 LastUpdateReason，提供恢复为默认参数值的原因。

例如，以下 AWS CLI 命令将的daysToExpiration控制参数恢复ACM.1为其默认值。此示例是针对 Linux、macOS 或 Unix 进行格式化的，它使用反斜杠 (\) 行继续符来提高可读性。

$ aws securityhub update-security-control \
--region us-east-1 \
--security-control-id ACM.1 \
--parameters '{"daysToExpiration": {"ValueType": "DEFAULT"}}' \
--last-update-reason "New internal requirement"