本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 安全性 AWS Security Hub CSPM 云安全 AWS 是重中之重。作为 AWS 客户，您可以受益于专为满足大多数安全敏感型组织的要求而构建的数据中心和网络架构。 安全是双方共同承担 AWS 的责任。[责任共担模式](https://aws.amazon.com/compliance/shared-responsibility-model/)将其描述为云*的* 安全性和云*中* 的安全性： + **云安全** — AWS 负责保护在 AWS 云中运行 AWS 服务的基础架构。 AWS 还为您提供可以安全使用的服务。作为 [AWS 合规性计划](https://aws.amazon.com/compliance/programs/)的一部分，第三方审核人员将定期测试和验证安全性的有效性。要了解适用于 AWS Security Hub CSPM的合规性计划，请参阅[合规性计划范围内的AWS 服务](https://aws.amazon.com/compliance/services-in-scope/)。 + **云端安全**-您的责任由您使用的 AWS 服务决定。您还需要对其他因素负责，包括您的数据的敏感性、您公司的要求以及适用的法律法规。 本文档可帮助您了解在使用 Security Hub CSPM 时如何应用责任共担模型。以下主题向您展示了如何配置 Security Hub CSPM 以满足您的安全和合规目标。您还将学习如何使用其他 AWS 服务来帮助您监控和保护您的 Security Hub CSPM 资源。 **Topics** + [中的数据保护 AWS Security Hub CSPM](data-protection.md) + [AWS Security Hub 的 Identity and Access 管理 CSPM](security-iam.md) + [合规性验证 AWS Security Hub CSPM](securityhub-compliance.md) + [Sec AWS urity Hub 中的弹性](disaster-recovery-resiliency.md) + [中的基础设施安全 AWS Security Hub CSPM](infrastructure-security.md) + [AWS Security Hub CSPM 和接口 VPC 终端节点 (AWS PrivateLink)](security-vpc-endpoints.md) # 中的数据保护 AWS Security Hub CSPM 分 AWS [担责任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)适用于中的数据保护 AWS Security Hub CSPM。如本模型所述 AWS ，负责保护运行所有内容的全球基础架构 AWS 云。您负责维护对托管在此基础结构上的内容的控制。您还负责您所使用的 AWS 服务 的安全配置和管理任务。有关数据隐私的更多信息，请参阅[数据隐私常见问题](https://aws.amazon.com/compliance/data-privacy-faq/)。有关欧洲数据保护的信息，请参阅 *AWS Security Blog* 上的 [AWS Shared Responsibility Model and GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 博客文章。 出于数据保护目的，我们建议您保护 AWS 账户 凭证并使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 设置个人用户。这样，每个用户只获得履行其工作职责所需的权限。还建议您通过以下方式保护数据： + 对每个账户使用多重身份验证（MFA）。 + 用于 SSL/TLS 与 AWS 资源通信。我们要求使用 TLS 1.2，建议使用 TLS 1.3。 + 使用设置 API 和用户活动日志 AWS CloudTrail。有关使用 CloudTrail 跟踪捕获 AWS 活动的信息，请参阅《*AWS CloudTrail 用户指南》*中的[使用跟 CloudTrail 踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解决方案以及其中的所有默认安全控件 AWS 服务。 + 使用高级托管安全服务（例如 Amazon Macie），它有助于发现和保护存储在 Amazon S3 中的敏感数据。 + 如果您在 AWS 通过命令行界面或 API 进行访问时需要经过 FIPS 140-3 验证的加密模块，请使用 FIPS 端点。有关可用的 FIPS 端点的更多信息，请参阅《美国联邦信息处理标准（FIPS）第 140-3 版》[https://aws.amazon.com/compliance/fips/](https://aws.amazon.com/compliance/fips/)。 强烈建议您切勿将机密信息或敏感信息（如您客户的电子邮件地址）放入标签或自由格式文本字段（如**名称**字段）。这包括你 AWS 服务 使用控制台、API 或与 Security Hub CSPM 或其他人合作时。 AWS CLI AWS SDKs在用于名称的标签或自由格式文本字段中输入的任何数据都可能会用于计费或诊断日志。如果您向外部服务器提供 URL，强烈建议您不要在网址中包含凭证信息来验证对该服务器的请求。 Security Hub CSPM 是一项多租户服务产品。为了确保数据保护，Security Hub CSPM 对静态数据和组件服务之间传输的数据进行加密。 # AWS Security Hub 的 Identity and Access 管理 CSPM AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制谁可以通过*身份验证*（登录）和*授权*（拥有权限）来使用 Security Hub 资源。您可以使用 IAM AWS 服务 ，无需支付额外费用。 **Topics** + [受众](#security_iam_audience) + [使用身份进行身份验证](#security_iam_authentication) + [使用策略管理访问](#security_iam_access-manage) + [Security Hub 如何与 IAM 协同工作](security_iam_service-with-iam.md) + [基于身份的策略示例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md) + [的服务相关角色 AWS Security Hub CSPM](using-service-linked-roles.md) + [AWS Security Hub 的托管策略](security-iam-awsmanpol.md) + [对 AWS Security Hub CSPM 身份和访问进行故障排除](security_iam_troubleshoot.md) ## 受众 您的使用方式 AWS Identity and Access Management (IAM) 因您的角色而异： + **服务用户**：如果您无法访问功能，请从管理员处请求权限（请参阅[对 AWS Security Hub CSPM 身份和访问进行故障排除](security_iam_troubleshoot.md)） + **服务管理员**：确定用户访问权限并提交权限请求（请参阅[Security Hub 如何与 IAM 协同工作](security_iam_service-with-iam.md)） + **IAM 管理员**：编写用于管理访问权限的策略（请参阅[基于身份的策略示例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)） ## 使用身份进行身份验证 身份验证是您 AWS 使用身份凭证登录的方式。您必须以 IAM 用户身份进行身份验证 AWS 账户根用户，或者通过担任 IAM 角色进行身份验证。 您可以使用来自身份源的证书 AWS IAM Identity Center （例如（IAM Identity Center）、单点登录身份验证或 Google/Facebook 证书，以联合身份登录。有关登录的更多信息，请参阅《AWS 登录 用户指南》**中的[如何登录您的 AWS 账户](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 对于编程访问， AWS 提供 SDK 和 CLI 来对请求进行加密签名。有关更多信息，请参阅*《IAM 用户指南》*中的[适用于 API 请求的AWS 签名版本 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 账户 root 用户 创建时 AWS 账户，首先会有一个名为 AWS 账户 *root 用户的*登录身份，该身份可以完全访问所有资源 AWS 服务 和资源。我们强烈建议不要使用根用户进行日常任务。有关需要根用户凭证的任务，请参阅《IAM 用户指南》**中的[需要根用户凭证的任务](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 联合身份 作为最佳实践，要求人类用户使用与身份提供商的联合身份验证才能 AWS 服务 使用临时证书进行访问。 *联合身份是指*来自您的企业目录、Web 身份提供商的用户 Directory Service ，或者 AWS 服务 使用来自身份源的凭据进行访问的用户。联合身份代入可提供临时凭证的角色。 要集中管理访问权限，建议使用。 AWS IAM Identity Center有关更多信息，请参阅《AWS IAM Identity Center 用户指南》**中的[什么是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 用户和群组 *[IAM 用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*是对某个人员或应用程序具有特定权限的一个身份。建议使用临时凭证，而非具有长期凭证的 IAM 用户。有关更多信息，请参阅 *IAM 用户指南*[中的要求人类用户使用身份提供商的联合身份验证才能 AWS 使用临时证书进行访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)。 [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)指定一组 IAM 用户，便于更轻松地对大量用户进行权限管理。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM 用户使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*是具有特定权限的身份，可提供临时凭证。您可以通过[从用户切换到 IAM 角色（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或调用 AWS CLI 或 AWS API 操作来代入角色。有关更多信息，请参阅《IAM 用户指南》**中的[担任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色对于联合用户访问、临时 IAM 用户权限、跨账户访问、跨服务访问以及在 Amazon EC2 上运行的应用程序非常有用。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用策略管理访问 您可以 AWS 通过创建策略并将其附加到 AWS 身份或资源来控制中的访问权限。策略定义了与身份或资源关联时的权限。 AWS 在委托人提出请求时评估这些政策。大多数策略都以 JSON 文档的 AWS 形式存储在中。有关 JSON 策略文档的更多信息，请参阅*《IAM 用户指南》*中的 [JSON 策略概述](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理员使用策略，通过定义哪个**主体**可以在什么**条件**下对哪些**资源**执行哪些**操作**来指定谁有权访问什么。 默认情况下，用户和角色没有权限。IAM 管理员创建 IAM 策略并将其添加到角色中，然后用户可以担任这些角色。IAM 策略定义权限，与执行操作所用的方法无关。 ### 基于身份的策略 基于身份的策略是您附加到身份（用户、组或角色）的 JSON 权限策略文档。这些策略控制身份可以执行什么操作、对哪些资源执行以及在什么条件下执行。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 基于身份的策略可以是*内联策略*（直接嵌入到单个身份中）或*托管策略*（附加到多个身份的独立策略）。要了解如何在托管策略和内联策略之间进行选择，请参阅*《IAM 用户指南》*中的[在托管策略与内联策略之间进行选择](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 基于资源的策略 基于资源的策略是附加到资源的 JSON 策略文档。示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用 IAM 中的 AWS 托管策略。 ### 其他策略类型 AWS 支持其他策略类型，这些策略类型可以设置更常见的策略类型授予的最大权限： + **权限边界** – 设置基于身份的策略可以授予 IAM 实体的最大权限。有关更多信息，请参阅《 IAM 用户指南》**中的 [IAM 实体的权限边界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服务控制策略 (SCPs)**-在中指定组织或组织单位的最大权限 AWS Organizations。有关更多信息，请参阅《AWS Organizations 用户指南》**中的[服务控制策略](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **资源控制策略 (RCPs)**-设置账户中资源的最大可用权限。有关更多信息，请参阅《*AWS Organizations 用户指南》*中的[资源控制策略 (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **会话策略** – 在为角色或联合用户创建临时会话时，作为参数传递的高级策略。有关更多信息，请参阅《IAM 用户指南》**中的[会话策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多个策略类型 当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解在涉及多种策略类型时如何 AWS 确定是否允许请求，请参阅 *IAM 用户指南*中的[策略评估逻辑](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # Security Hub 如何与 IAM 协同工作 在使用 AWS Identity and Access Management (IAM) 管理访问权限之前 AWS Security Hub CSPM，请先了解哪些 IAM 功能可用于 Security Hub CSPM。 **您可以搭配使用的 IAM 功能 AWS Security Hub CSPM** | IAM 功能 | Security Hub CSPM 支持 | | --- | --- | | [基于身份的策略](#security_iam_service-with-iam-id-based-policies) | 是 | | [基于资源的策略](#security_iam_service-with-iam-resource-based-policies) | 否 | | [策略操作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [策略资源](#security_iam_service-with-iam-id-based-policies-resources) | 否 | | [策略条件键](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [访问控制列表 (ACLs)](#security_iam_service-with-iam-acls) | 否 | | [基于属性的访问权限控制（ABAC）：策略中的标签](#security_iam_service-with-iam-tags) | 是 | | [临时凭证](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [转发访问会话（FAS）](#security_iam_service-with-iam-principal-permissions) | 是 | | [服务角色](#security_iam_service-with-iam-roles-service) | 否 | | [服务关联角色](#security_iam_service-with-iam-roles-service-linked) | 是 | 有关 Security Hub CSPM 和其他功能如何与大多数 IAM 功能 AWS 服务 配合使用的高级视图，请参阅AWS 服务 IAM *用户指南中的如何[与 IA](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) M* 配合使用。 ## Security Hub CSPM 的基于身份的策略 **支持基于身份的策略：**是 基于身份的策略是可附加到身份（如 IAM 用户、用户组或角色）的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。要了解可在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素引用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 Security Hub CSPM 支持基于身份的策略。有关更多信息，请参阅 [基于身份的策略示例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub CSPM 基于资源的策略 **支持基于资源的策略：**否 基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源，策略定义指定主体可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委托人可以包括账户、用户、角色、联合用户或 AWS 服务。 要启用跨账户访问，您可以将整个账户或其他账户中的 IAM 实体指定为基于资源的策略中的主体。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 Security Hub CSPM 不支持基于资源的策略。您不能将 IAM 策略直接附加到 Security Hub CSPM 资源。 ## Security Hub CSPM 的策略操作 **支持策略操作：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 JSON 策略的 `Action` 元素描述可用于在策略中允许或拒绝访问的操作。在策略中包含操作以授予执行关联操作的权限。 Security Hub CSPM 中的策略操作在操作前使用以下前缀： ``` securityhub: ``` 例如，要向用户授予启用 Security Hub CSPM（该操作与 Security Hub CSPM API 的`EnableSecurityHub`操作相对应的操作）的权限，请将该`securityhub:EnableSecurityHub`操作包含在他们的策略中。策略语句必须包含 `Action` 或 `NotAction` 元素。Security Hub CSPM 定义了自己的一组操作，这些操作描述了您可以使用此服务执行的任务。 ``` "Action": "securityhub:EnableSecurityHub" ``` 要在单个语句中指定多项操作，请使用逗号将它们隔开。例如： ``` "Action": [ "securityhub:EnableSecurityHub", "securityhub:BatchEnableStandards" ``` 您也可以使用通配符（\$1）指定多项操作。例如，要指定以单词 `Get` 开头的所有操作，包括以下操作： ``` "Action": "securityhub:Get*" ``` 但作为最佳实践，您应创建遵循最低权限 原则的策略。换句话说，您应创建仅包含执行特定任务所需的权限的策略。 用户必须具有对 `DescribeStandardsControl` 操作的访问权限才能访问 `BatchGetSecurityControls`、`BatchGetStandardsControlAssociations` 和 `ListStandardsControlAssociations`。 用户必须具有对 `UpdateStandardsControls` 操作的访问权限才能访问 `BatchUpdateStandardsControlAssociations` 和 `UpdateSecurityControl`。 有关 Security Hub CSPM 操作的列表，请参阅《*服务授权*参[考》 AWS Security Hub CSPM中定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)。有关指定 Security Hub CSPM 操作的策略示例，请参阅。[基于身份的策略示例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md) ## Security Hub CSPM 的策略资源 **支持策略资源：**否 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\$1) 指示语句应用于所有资源。 ``` "Resource": "*" ``` Security Hub CSPM 定义了以下资源类型： + 中心 + 产品 + 调查发现聚合器，也称为*跨区域聚合器* + 自动化规则 + 配置策略 您可以使用在策略中指定这些类型的资源 ARNs。 *有关 Security Hub CSPM 资源类型的列表以及每种资源类型的 ARN 语法，请参阅《服务授权参考》 AWS Security Hub CSPM中[定义的资源类型](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-resources-for-iam-policies)。*要了解您可以为每种资源指定哪些操作，请参阅《Service Authorization Reference》**中的 [Actions defined by AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)。有关指定资源的策略示例，请参阅 [基于身份的策略示例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub CSPM 的策略条件密钥 **支持特定于服务的策略条件键：**是 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Condition` 元素根据定义的条件指定语句何时执行。您可以创建使用[条件运算符](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 有关 Security Hub CSPM 条件键的列表，请参阅《*服务授权*参[考》 AWS Security Hub CSPM中的条件密钥](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-policy-keys)。要了解您可以对哪些操作和资源使用条件键，请参阅 [AWS Security Hub CSPM定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)。有关使用条件密钥的策略示例，请参阅 [基于身份的策略示例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub C ACLs SPM 中的访问控制列表 () **支持 ACLs：**否 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 Security Hub CSPM 不支持 ACLs，这意味着你无法将 ACL 附加到 Security Hub CSPM 资源。 ## 使用 Security Hub CSPM 实现基于属性的访问控制 (ABAC) **支持 ABAC（策略中的标签）：**是 基于属性的访问权限控制（ABAC）是一种授权策略，该策略基于称为标签的属性来定义权限。您可以将标签附加到 IAM 实体和 AWS 资源，然后设计 ABAC 策略以允许在委托人的标签与资源上的标签匹配时进行操作。 要基于标签控制访问，您需要使用 `aws:ResourceTag/key-name``aws:RequestTag/key-name` 或 `aws:TagKeys` 条件键在策略的[条件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中提供标签信息。 如果某个服务对于每种资源类型都支持所有这三个条件键，则对于该服务，该值为**是**。如果某个服务仅对于部分资源类型支持所有这三个条件键，则该值为**部分**。 有关 ABAC 的更多信息，请参阅《IAM 用户指南》**中的[使用 ABAC 授权定义权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。要查看设置 ABAC 步骤的教程，请参阅《IAM 用户指南》**中的[使用基于属性的访问权限控制（ABAC）](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 您可以将标签附加到 Security Hub CSPM 资源。您还可以通过在策略的 `Condition` 元素中提供标签信息，控制对资源的访问权限。 有关标记 Security Hub CSPM 资源的信息，请参阅。[标记 Security Hub 资源](tagging-resources.md)有关基于标签控制资源访问权的基于身份的策略示例，请参阅 [基于身份的策略示例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## 在 Security Hub CSPM 中使用临时证书 **支持临时凭证：**是 临时证书提供对 AWS 资源的短期访问权限，并且是在您使用联合身份或切换角色时自动创建的。 AWS 建议您动态生成临时证书，而不是使用长期访问密钥。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的临时安全凭证](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)和[使用 IAM 的。AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) 可以使用临时凭证进行联合身份验证登录，分派 IAM 角色或分派跨账户角色。您可以通过调用[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)或之类的 AWS STS API 操作来获取临时安全证书[GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html)。 Security Hub CSPM 支持使用临时证书。 ## Security Hub CSPM 的转发访问会话 **支持转发访问会话（FAS）：**是 转发访问会话 (FAS) 使用调用主体的权限 AWS 服务，再加上 AWS 服务 向下游服务发出请求的请求。有关发出 FAS 请求时的策略详情，请参阅[转发访问会话](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 例如， AWS 服务 当你将 Security Hub CSPM 与 AWS Organizations Organiations 中的组织集成以及为组织中的组织指定委派的 Security Hub CSPM 管理员帐户时，Security Hub CSPM 会向下游发出 FAS 请求。 对于其他任务，Security Hub CSPM 使用服务相关角色代表您执行操作。有关此角色的详细信息，请参阅[的服务相关角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 ## Security Hub CSPM 的服务角色 Security Hub CSPM 不担任或使用服务角色。为了代表您执行操作，Security Hub CSPM 使用服务相关角色。有关此角色的详细信息，请参阅[的服务相关角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 **警告** 更改服务角色的权限可能会给您使用 Security Hub CSPM 带来操作问题。仅当 Security Hub CSPM 提供相关指导时才编辑服务角色。 ## Security Hub CSPM 的服务相关角色 **支持服务关联角色：**是 服务相关角色是一种与服务相关联的 AWS 服务服务角色。服务可以代入代表您执行操作的角色。服务相关角色出现在您的中 AWS 账户 ，并且归服务所有。IAM 管理员可以查看但不能编辑服务关联角色的权限。 Security Hub CSPM 使用服务相关角色代表你执行操作。有关此角色的详细信息，请参阅[的服务相关角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 # 基于身份的策略示例 AWS Security Hub CSPM 默认情况下，用户和角色无权创建或修改 Security Hub CSPM 资源。他们也无法使用 AWS 管理控制台 AWS CLI、或 AWS API 执行任务。管理员必须创建 IAM policy，以便为用户和角色授予权限以对所需的指定资源执行特定的 API 操作。然后，管理员必须将这些策略附加到需要这些权限的用户或组。 要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅《IAM 用户指南》**中的[在 JSON 选项卡上创建策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [策略最佳实践](#security_iam_service-with-iam-policy-best-practices) + [使用 Security Hub CSPM 控制台](#security_iam_id-based-policy-examples-console) + [示例：允许用户查看自己的权限](#security_iam_id-based-policy-examples-view-own-permissions) + [示例：允许用户创建和管理配置策略](#security_iam_id-based-policy-examples-create-configuration-policy) + [示例：允许用户查看调查发现](#security_iam_id-based-policy-examples-view-findings) + [示例：允许用户创建和管理自动化规则](#security_iam_id-based-policy-examples-create-automation-rule) ## 策略最佳实践 基于身份的策略确定某个人是否可以创建、访问或删除您账户中的 Security Hub 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 Security Hub CSPM 控制台 要访问 AWS Security Hub CSPM 控制台，您必须拥有一组最低权限。这些权限必须允许您列出和查看有关您的 Security Hub CSPM 资源的详细信息。 AWS 账户如果创建比必需的最低权限更为严格的基于身份的策略，对于附加了该策略的实体（用户或角色），控制台将无法按预期正常运行。 对于仅调用 AWS CLI 或 AWS API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与其尝试执行的 API 操作相匹配的操作。 为确保这些用户和角色可以使用 Security Hub CSPM 控制台，还需要将以下 AWS 托管策略附加到该实体。有关更多信息，请参阅 *IAM 用户指南*中的[为用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ## 示例：允许用户查看自己的权限 该示例说明了您如何创建策略，以允许 IAM 用户查看附加到其用户身份的内联和托管策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 示例：允许用户创建和管理配置策略 此示例展示了如何创建 IAM 策略以允许用户创建、查看、更新和删除配置策略。此示例策略还允许用户启动、停止和查看策略关联。要使此 IAM 策略发挥作用，用户必须是组织委派的 Security Hub CSPM 管理员。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateAndUpdateConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:CreateConfigurationPolicy", "securityhub:UpdateConfigurationPolicy" ], "Resource": "*" }, { "Sid": "ViewConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:GetConfigurationPolicy", "securityhub:ListConfigurationPolicies" ], "Resource": "*" }, { "Sid": "DeleteConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:DeleteConfigurationPolicy" ], "Resource": "*" }, { "Sid": "ViewConfigurationPolicyAssociation", "Effect": "Allow", "Action": [ "securityhub:BatchGetConfigurationPolicyAssociations", "securityhub:GetConfigurationPolicyAssociation", "securityhub:ListConfigurationPolicyAssociations" ], "Resource": "*" }, { "Sid": "UpdateConfigurationPolicyAssociation", "Effect": "Allow", "Action": [ "securityhub:StartConfigurationPolicyAssociation", "securityhub:StartConfigurationPolicyDisassociation" ], "Resource": "*" } ] } ``` ------ ## 示例：允许用户查看调查发现 此示例说明如何创建允许用户查看 Security Hub CSPM 发现结果的 IAM 策略。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReviewFindings", "Effect": "Allow", "Action": [ "securityhub:GetFindings" ], "Resource": "*" } ] } ``` ------ ## 示例：允许用户创建和管理自动化规则 此示例说明如何创建允许用户创建、查看、更新和删除 Security Hub CSPM 自动化规则的 IAM 策略。要使此 IAM 策略发挥作用，用户必须是 Security Hub CSPM 管理员。要限制权限（例如，允许用户仅查看自动化规则），您可以移除创建、更新和删除权限。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateAndUpdateAutomationRules", "Effect": "Allow", "Action": [ "securityhub:CreateAutomationRule", "securityhub:BatchUpdateAutomationRules" ], "Resource": "*" }, { "Sid": "ViewAutomationRules", "Effect": "Allow", "Action": [ "securityhub:BatchGetAutomationRules", "securityhub:ListAutomationRules" ], "Resource": "*" }, { "Sid": "DeleteAutomationRules", "Effect": "Allow", "Action": [ "securityhub:BatchDeleteAutomationRules" ], "Resource": "*" } ] } ``` ------ # 的服务相关角色 AWS Security Hub CSPM AWS Security Hub CSPM 使用名`AWSServiceRoleForSecurityHub`为的 AWS Identity and Access Management (IAM) [服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)。此服务相关角色是一个 IAM 角色，直接链接到 Security Hub CSPM。它由 Security Hub CSPM 预定义，它包括 Security Hub CSPM 代表你调用其他资源 AWS 服务 和监控 AWS 资源所需的所有权限。Security Hub CSPM 在 Security AWS 区域 Hub CSPM 可用的所有地方都使用此服务相关角色。 服务相关角色使设置 Security Hub CSPM 变得更加容易，因为您不必手动添加必要的权限。Security Hub CSPM 定义了其服务相关角色的权限，除非另有定义，否则只有 Security Hub CSPM 可以担任该角色。定义的权限包括信任策略和权限策略，您不能将该权限策略附加到任何其他 IAM 实体。 要查看服务相关角色的详细信息，可以使用 Security Hub CSPM 控制台。在导航窗格中的**设置**下，选择**常规**。然后，在**服务权限**部分，选择**查看服务权限**。 只有在所有启用了 Security Hub CSPM 的区域中禁用 Security Hub CSPM 服务相关角色后，才能将其删除。这样可以保护您的 Security Hub CSPM 资源，因为您不会无意中删除访问这些资源的权限。 有关支持服务相关角色的其他服务的信息，请参阅《IAM 用户指南》**中[使用 IAM 的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，并查找**服务相关角色**列中显示为**是**的服务。选择带有链接的**是**可以查看该服务的服务相关角色文档。 **Topics** + [Security Hub CSPM 的服务相关角色权限](#slr-permissions) + [为 Security Hub CSPM 创建服务相关角色](#create-slr) + [编辑 Security Hub CSPM 的服务相关角色](#edit-slr) + [删除 Security Hub CSPM 的服务相关角色](#delete-slr) + [Sec AWS urity Hub V2 的服务相关角色](#slr-permissions-v2) ## Security Hub CSPM 的服务相关角色权限 Security Hub CSPM 使用名为的服务相关角色。`AWSServiceRoleForSecurityHub`这是访问您的资源所需的 AWS Security Hub CSPM 服务相关角色。此服务相关角色允许 Security Hub CSPM 执行任务，例如从他人那里接收调查结果， AWS 服务 并配置必要的 AWS Config 基础架构以运行控制安全检查。`AWSServiceRoleForSecurityHub` 服务关联角色信任 `securityhub.amazonaws.com` 服务来代入角色。 `AWSServiceRoleForSecurityHub` 服务相关角色使用托管策略 [`AWSSecurityHubServiceRolePolicy`](security-iam-awsmanpol.md#security-iam-awsmanpol-awssecurityhubservicerolepolicy)。 必须授予权限，允许 IAM 身份（如角色、组或用户）创建、编辑或删除服务相关角色。要成功创建`AWSServiceRoleForSecurityHub`服务相关角色，您用于访问 Security Hub CSPM 的 IAM 身份必须具有所需的权限。要授予所需的权限，请将以下策略附加到 IAM 身份。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ## 为 Security Hub CSPM 创建服务相关角色 当您首次启用 Security Hub CSPM 或在以前未启用 Security Hub CSPM 的区域启用该角色时，系统会自动创建`AWSServiceRoleForSecurityHub`服务相关角色。您还可以使用 IAM 控制台、IAM API 或 IAM API 创建 `AWSServiceRoleForSecurityHub` 服务相关角色。有关手动创建角色的更多信息，请参阅 *IAM 用户指南*中的[创建服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。 **重要** 为 Security Hub CSPM 管理员账户创建的服务相关角色不适用于关联的 Security Hub CSPM 成员账户。 ## 编辑 Security Hub CSPM 的服务相关角色 Security Hub CSPM 不允许你编辑`AWSServiceRoleForSecurityHub`服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 删除 Security Hub CSPM 的服务相关角色 如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。 当你禁用 Security Hub CSPM 时，Security Hub CSPM 不会自动为你删除`AWSServiceRoleForSecurityHub`服务相关角色。如果您再次启用 Security Hub CSPM，则该服务可以重新开始使用现有的服务相关角色。如果您不再需要使用 Security Hub CSPM，则可以手动删除服务相关角色。 **重要** 在删除`AWSServiceRoleForSecurityHub`服务相关角色之前，必须先在启用该角色的所有区域禁用 Security Hub CSPM。有关更多信息，请参阅 [禁用 Security Hub CSPM](securityhub-disable.md)。如果您在尝试删除服务相关角色时未禁用 Security Hub CSPM，则删除将失败。 要删除 `AWSServiceRoleForSecurityHub` 服务相关角色，您可以使用 IAM 控制台、IAM CLI 或 IAM API。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 ## Sec AWS urity Hub V2 的服务相关角色 使用名`AWSServiceRoleForSecurityHubV2`为的服务相关角色。此服务相关角色允许您代表您的组织管理 AWS Config 规则和资源。`AWSServiceRoleForSecurityHubV2` 服务关联角色信任 `securityhub.amazonaws.com` 服务来代入角色。 `AWSServiceRoleForSecurityHubV2` 服务相关角色使用托管策略 [`AWSSecurityHubV2ServiceRolePolicy`](security-iam-awsmanpol.md#security-iam-awsmanpol-awssecurityhubv2servicerolepolicy)。 **权限详细信息** 该策略包含以下权限： + `cloudwatch`— 允许该角色检索指标数据以支持资源的计量功能。 + `config`— 允许该角色管理与服务相关的资源配置记录器，包括对全局 AWS Config 记录器的支持。 + `ecr`— 允许该角色检索有关 Amazon Elastic Container Registry 映像和存储库的信息，以支持计量功能。 + `iam`— 允许该角色为其创建服务相关角色 AWS Config 并检索账户信息以支持计量功能。 + `lambda`— 允许角色检索 AWS Lambda 功能信息以支持计量功能。 + `organizations`— 允许该角色检索组织的帐户和组织单位 (OU) 信息。 + `securityhub`— 允许该角色管理配置。 + `tag`— 允许角色检索有关资源标签的信息。 必须授予权限，允许 IAM 身份（如角色、组或用户）创建、编辑或删除服务相关角色。要成功创建`AWSServiceRoleForSecurityHubV2`服务相关角色，您用于访问的 IAM 身份必须具有所需的权限。要授予所需的权限，请将以下策略附加到 IAM 身份。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ### 为 Sec AWS urity Hub V2 创建服务相关角色 当您首次启用`AWSServiceRoleForSecurityHubV2`服务相关角色或在以前未启用该角色的地区启用服务相关角色时，系统会自动创建该角色。您还可以使用 IAM 控制台、IAM API 或 IAM API 创建 `AWSServiceRoleForSecurityHubV2` 服务相关角色。有关手动创建角色的更多信息，请参阅 *IAM 用户指南*中的[创建服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。 **重要** 为管理员账户创建的服务相关角色不适用于关联的成员账户。 ### 编辑 Sec AWS urity Hub V2 的服务相关角色 不允许您编辑`AWSServiceRoleForSecurityHubV2`服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。但是可以使用 IAM 编辑角色说明。有关更多信息，请参阅《IAM 用户指南》**中的[编辑服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ### 删除 Sec AWS urity Hub V2 的服务相关角色 如果您不再需要使用某个需要服务相关角色的功能或服务，我们建议您删除该角色。这样您就没有未被主动监控或维护的未使用实体。 禁用后，不会自动为您删除`AWSServiceRoleForSecurityHubV2`服务相关角色。如果您再次启用，则该服务可以重新开始使用现有的服务相关角色。如果您不再需要使用，则可以手动删除服务相关角色。 **重要** 在删除`AWSServiceRoleForSecurityHubV2`服务相关角色之前，必须先在所有启用该角色的区域中将其禁用。有关更多信息，请参阅 [禁用 Security Hub CSPM](securityhub-disable.md)。如果在您尝试删除服务相关角色时未禁用 ，删除将失败。 要删除 `AWSServiceRoleForSecurityHubV2` 服务相关角色，您可以使用 IAM 控制台、IAM CLI 或 IAM API。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务关联角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 # AWS Security Hub 的托管策略 AWS 托管策略是由创建和管理的独立策略 AWS。 AWS 托管策略旨在为许多常见用例提供权限，以便您可以开始为用户、组和角色分配权限。 请记住， AWS 托管策略可能不会为您的特定用例授予最低权限权限，因为它们可供所有 AWS 客户使用。我们建议通过定义特定于使用案例的[客户管理型策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)来进一步减少权限。 您无法更改 AWS 托管策略中定义的权限。如果 AWS 更新 AWS 托管策略中定义的权限，则更新会影响该策略所关联的所有委托人身份（用户、组和角色）。 AWS 最有可能在启动新的 API 或现有服务可以使用新 AWS 服务 的 API 操作时更新 AWS 托管策略。 有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管式策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 托管策略：AWSSecurityHubFullAccess 您可以将 `AWSSecurityHubFullAccess` 策略附加到 IAM 身份。 此策略授予管理权限，允许主体完全访问所有 Security Hub CSPM 操作。在主体为其账户手动启用 Security Hub CSPM 之前，必须将此策略附加到主体。例如，拥有这些权限的主体可以查看和更新调查发现的状态。他们还可以配置自定义见解、启用集成以及启用和禁用标准和控件。管理员账户的主体也可以管理成员账户。 **权限详细信息** 该策略包含以下权限： + `securityhub` – 允许主体完全访问所有 Security Hub CSPM 操作。 + `guardduty`— 允许委托人在 Amazon 中对探测器、组织管理员管理、成员账户管理和组织范围的配置进行完整的生命周期管理。 GuardDuty这包括 API 操作： GetDetector、 ListDetector、 CreateDetector、 UpdateDetector、 DeleteDetector、 EnableOrganizationAdminAccount、、 ListOrganizationAdminAccounts、 CreateMembers、 UpdateOrganizationConfiguration、 DescribeOrganizationConfiguration。 + `iam`— 允许委托人为 Security Hub CSPM 和 Security Hub 创建服务相关角色并获取角色、策略和策略版本。 + `inspector`— 允许委托人在 Amazon Inspector 中获取有关账户状态的信息、启用或禁用、委派管理员管理以及执行组织配置管理。这包括 API 操作： BatchGetAccountStatus、启用、禁用 EnableDelegatedAdminAccount、 DisableDelegatedAdminAccount、、 ListDelegatedAdminAccounts、 UpdateOrganizationConfiguration、 DescribeOrganizationConfiguration。 + `pricing`— 允许校长获取 AWS 服务 和产品的价目表。 + `account`— 允许委托人获取有关账户区域的信息，以支持 Security Hub 中的区域管理。 要查看此策略的权限，请参阅《AWS 托管式策略参考》**中的 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubFullAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubFullAccess.html)。 ## AWS 托管策略：AWSSecurityHubReadOnlyAccess 您可以将 `AWSSecurityHubReadOnlyAccess` 策略附加到 IAM 身份。 此策略授予只读权限，允许用户查看 Security Hub CSPM 中的信息。附加了此策略的主体无法在 Security Hub CSPM 中进行任何更新。例如，拥有这些权限的主体可以查看与其账户关联的调查发现列表，但不能改变调查发现的状态。他们可以查看见解的结果，但不能创建或配置自定义见解。他们无法配置控件或产品集成。 **权限详细信息** 该策略包含以下权限： + `securityhub`：允许用户执行返回项目列表或项目详细信息的操作。这包括以`Get`、`List` 或 `Describe` 开头的 API 操作。 要查看此策略的权限，请参阅《AWS 托管式策略参考》**中的 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubReadOnlyAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubReadOnlyAccess.html)。 ## AWS 托管策略：AWSSecurityHubOrganizationsAccess 您可以将 `AWSSecurityHubOrganizationsAccess` 策略附加到 IAM 身份。 该策略授予管理权限，允许其为中的组织启用和管理 Security Hub、Security Hub CSPM、Amazon GuardDuty 和 Amazon Inspector。 AWS Organizations该策略的权限允许组织管理账户为 Security Hub、Security Hub CSPM、Amazon GuardDuty 和 Amazon Inspector 指定委托管理员账户。它们还允许委派管理员账户将组织账户启用为成员账户。 此策略仅为提供权限 AWS Organizations。组织管理账户和委派管理员账户也需要关联操作的权限。这些权限可以使用 `AWSSecurityHubFullAccess` 管理策略来授予。 在管理账户中创建或更新委派管理员策略需要此策略中未提供的其他权限。要执行这些操作，建议为策略添加权限`organizations:PutResourcePolicy`或附加 AWSOrganizationsFullAccess 策略。 **权限详细信息** 该策略包含以下权限： + `organizations:ListAccounts`：允许主体检索属于某个组织的账户列表。 + `organizations:DescribeOrganization`：允许主体检索有关组织的信息。 + `organizations:ListRoots`：允许主体列出组织的根。 + `organizations:ListDelegatedAdministrators`：允许主体列出组织的委派管理员。 + `organizations:ListAWSServiceAccessForOrganization`— 允许委托人列出组织使用 AWS 服务 的。 + `organizations:ListOrganizationalUnitsForParent`：允许主体列出父组织单元（OU）的子 OU。 + `organizations:ListAccountsForParent`：允许主体列出父 OU 的子账户。 + `organizations:ListParents`— 列出作为指定子 OU 或帐户的直系父级的根单位或组织单位 (OUs)。 + `organizations:DescribeAccount` – 让委托人可以检索有关企业中某个账户的信息。 + `organizations:DescribeOrganizationalUnit`：允许主体检索有关组织中某个 OU 的信息。 + `organizations:ListPolicies` – 检索指定类型的组织中所有策略的列表。 + `organizations:ListPoliciesForTarget` – 列出直接附加到指定的目标根、组织单元（OU）或账户的策略。 + `organizations:ListTargetsForPolicy`— 列出指定策略所关联的所有根目录、组织单位 (OUs) 和帐户。 + `organizations:EnableAWSServiceAccess` – 允许主体启用与 Organions 的集成。 + `organizations:RegisterDelegatedAdministrator` – 允许主体指定委派管理员账户。 + `organizations:DeregisterDelegatedAdministrator` – 允许主体移除委派管理员账户。 + `organizations:DescribePolicy` – 检索有关策略的信息。 + `organizations:DescribeEffectivePolicy` – 返回指定的策略类型和账户的有效策略的内容。 + `organizations:CreatePolicy`— 创建指定类型的策略，您可以将其附加到根帐户、组织单位 (OU) 或个人 AWS 账户。 + `organizations:UpdatePolicy` – 使用新的名称、描述或内容更新现有策略。 + `organizations:DeletePolicy` – 从您的组织中删除指定的策略。 + `organizations:AttachPolicy` – 将策略附加到根、组织单元（OU）或单个账户。 + `organizations:DetachPolicy` – 将策略从目标根、组织单元（OU）或账户分离。 + `organizations:EnablePolicyType` – 在根中启用一种策略类型。 + `organizations:DisablePolicyType` – 在根中禁用一种组织策略类型。 + `organizations:TagResource` – 将一个或多个标签添加到指定的资源。 + `organizations:UntagResource` – 从指定的资源中移除具有指定密钥的任何标签。 + `organizations:ListTagsForResource` – 列出附加到指定资源的标签。 + `organizations:DescribeResourcePolicy`— 检索有关资源策略的信息。 要查看此策略的权限，请参阅《AWS 托管式策略参考》**中的 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubOrganizationsAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubOrganizationsAccess.html)。 ## AWS 托管策略：AWSSecurityHubServiceRolePolicy 您不能将 `AWSSecurityHubServiceRolePolicy` 附加到自己的 IAM 实体。此策略附加到服务相关角色，允许 Security Hub CSPM 代表您执行操作。有关更多信息，请参阅 [的服务相关角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 此策略授予管理权限，允许服务相关角色为 Security Hub CSPM 控件执行运行安全检查等任务。 **权限详细信息** 该策略包含以下权限： + `cloudtrail`— 检索有关 CloudTrail 路径的信息。 + `cloudwatch`— 检索当前 CloudWatch 警报。 + `logs`— 检索 CloudWatch 日志的指标筛选器。 + `sns`：检索 SNS 主题的订阅列表。 + `config`— 检索有关配置记录器、资源和 AWS Config 规则的信息。还允许服务相关角色创建和删除 AWS Config 规则，并根据规则运行评估。 + `iam` – 检索和生成账户的凭证报告。 + `organizations`：检索组织的账户和组织单元（OU）信息。 + `securityhub` – 检索有关如何配置 Security Hub CSPM 服务、标准和控件的信息。 + `tag`：检索有关资源标签的信息。 要查看此策略的权限，请参阅《AWS 托管式策略参考》**中的 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubServiceRolePolicy.html)。 ## AWS 托管策略：AWSSecurityHubV2ServiceRolePolicy **注意** Security Hub 目前为预览版，可能会发生变化。 此策略允许 Security Hub 代表您管理组织中的 AWS Config 规则和 Security Hub 资源。此附加到服务相关角色的策略允许服务代表您执行操作。您无法将此策略附加到 IAM 身份。有关更多信息，请参阅 [的服务相关角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 **权限详细信息** 该策略包含以下权限： + `cloudwatch`— 检索指标数据以支持 Security Hub 资源的计量功能。 + `config`— 管理 Security Hub 资源的服务相关配置记录器，包括支持全局 Config 记录器。 + `ecr`— 检索有关 Amazon Elastic Container Registry 镜像和存储库的信息，以支持 + `iam`— 为其创建服务相关角色 AWS Config 并检索账户信息以支持计量功能。 + `lambda`— 检索 AWS Lambda 功能信息以支持计量功能。 + `organizations`：检索组织的账户和组织单元（OU）信息。 + `securityhub` – 管理 Security Hub 配置。 + `tag`：检索有关资源标签的信息。 要查看此策略的权限，请参阅《AWS 托管式策略参考》**中的 [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubV2ServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubV2ServiceRolePolicy.html)。 ## Security Hub 对 AWS 托管策略的更新 下表提供了自该服务开始跟踪这些更改以来对 Sec AWS urity Hub 和 Security Hub CSPM AWS 托管策略的更新的详细信息。有关策略更新的自动提醒，请订阅 [Security Hub 文档历史记录](doc-history.md)页面上的 RSS 源。 | 更改 | 描述 | 日期 | | --- | --- | --- | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) - 更新的策略 | Security Hub 更新了策略，添加了描述支持 Security Hub 功能的资源策略的权限。Security Hub 目前为预览版，可能会发生变化。 | 2025 年 11 月 12 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess) - 更新的策略 | Security Hub 更新了政策，增加了管理 GuardDuty、Amazon Inspector 和账户管理方面的功能，以支持 Security Hub 的功能。Security Hub 目前为预览版，可能会发生变化。 | 2025 年 11 月 17 日 | | [AWSSecurityHubv2 ServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubv2servicerolepolicy) — 更新了政策 | Security Hub 更新了政策，增加了亚马逊弹性容器注册表 AWS Lambda、亚马逊的计量功能 CloudWatch，并 AWS Identity and Access Management 支持 Security Hub 的功能。此更新还增加了对全局 AWS Config 录音机的支持。Security Hub 目前为预览版，可能会发生变化。 | 2025 年 11 月 5 日 | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess)：对现有策略的更新 | Security Hub 为策略添加了新的权限。这些权限允许组织管理层为组织启用和管理 Security Hub 和 Security Hub CSPM。 | 2025 年 6 月 17 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess)：对现有策略的更新 | Security Hub CSPM 新增了权限，允许主体为 Security Hub 创建服务相关角色。 | 2025 年 6 月 17 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess)— 更新现有政策 | Security Hub CSPM 更新了政策，以获取 AWS 服务 和产品的定价详情。 | 2024 年 4 月 24 日 | | [AWSSecurityHubReadOnlyAccess](#security-iam-awsmanpol-awssecurityhubreadonlyaccess)— 更新现有政策 | Security Hub CSPM 通过添加 Sid 字段更新了此托管策略。 | 2024 年 2 月 22 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess)— 更新现有政策 | Security Hub CSPM 更新了政策，因此它可以确定账户中是否启用了亚马逊 GuardDuty 和亚马逊 Inspector。这可以帮助客户汇集来自多个 AWS 服务与安全相关的信息。 | 2023 年 11 月 16 日 | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess)— 更新现有政策 | Security Hub CSPM 更新了授予额外权限的策略，允许以只读方式访问 AWS Organizations 委派管理员功能。这包括根目录、组织单位 (OUs)、帐户、组织结构和服务访问权限等详细信息。 | 2023 年 11 月 16 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)：对现有策略的更新 | Security Hub CSPM 添加了 BatchGetSecurityControls、DisassociateFromAdministratorAccount 和 UpdateSecurityControl 权限，用于读取和更新可自定义的安全控件属性。 | 2023 年 11 月 26 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)：对现有策略的更新 | Security Hub CSPM 添加了 tag:GetResources 权限，以读取与调查发现相关的资源标签。 | 2023 年 11 月 7 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)：对现有策略的更新 | Security Hub CSPM 添加了 BatchGetStandardsControlAssociations 权限，以获取有关标准中控件的启用状态的信息。 | 2023 年 9 月 27 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)：对现有策略的更新 | Security Hub CSPM 增加了获取 AWS Organizations 数据以及读取和更新 Security Hub CSPM 配置的新权限，包括标准和控制。 | 2023 年 9 月 20 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)：对现有策略的更新 | Security Hub CSPM 将现有 config:DescribeConfigRuleEvaluationStatus 权限移至策略中的另一条语句。该 config:DescribeConfigRuleEvaluationStatus 权限现已应用于所有资源。 | 2023 年 3 月 17 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)：对现有策略的更新 | Security Hub CSPM 将现有 config:PutEvaluations 权限移至策略中的另一条语句。该 config:PutEvaluations 权限现已应用于所有资源。 | 2021 年 7 月 14 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)：对现有策略的更新 | Security Hub CSPM 添加了一项新权限，允许服务相关角色将评估结果传递给 AWS Config。 | 2021 年 6 月 29 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy)— 已添加到托管策略列表中 | 添加了有关托管策略的信息 AWSSecurityHubServiceRolePolicy，该策略由 Security Hub CSPM 服务相关角色使用。 | 2021 年 6 月 11 日 | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess)— 新政策 | Security Hub CSPM 添加了一项新策略，该策略授予 Security Hub CSPM 与 Organizations 集成所需的权限。 | 2021 年 3 月 15 日 | | Security Hub CSPM 开始跟踪更改 | Security Hub CSPM 开始跟踪其 AWS 托管策略的更改。 | 2021 年 3 月 15 日 | # 对 AWS Security Hub CSPM 身份和访问进行故障排除 使用以下信息来帮助您诊断和修复在使用 AWS Security Hub CSPM 和 IAM 时可能遇到的常见问题。 **Topics** + [我无权在 Security Hub CSPM 中执行操作](#security_iam_troubleshoot-no-permissions) + [我无权执行 iam：PassRole](#security_iam_troubleshoot-passrole) + [我想以编程方式访问 Security Hub CSPM](#security_iam_troubleshoot-access-keys) + [我是一名管理员，想允许其他人访问 Security Hub CSPM](#security_iam_troubleshoot-admin-delegate) + [我想允许我以外的人访问我 AWS 账户 的 Security Hub CSPM 资源](#security_iam_troubleshoot-cross-account-access) ## 我无权在 Security Hub CSPM 中执行操作 如果 AWS 管理控制台 告诉您您无权执行某项操作，则必须联系管理员寻求帮助。管理员是向您提供登录凭证的人。 当用户`mateojackson`尝试使用控制台查看有关某的详细信息*widget*但没有`securityhub:GetWidget`权限时，就会出现以下示例错误。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: securityhub:GetWidget on resource: my-example-widget ``` 在这种情况下，Mateo 请求他的管理员更新其策略，以允许他使用 `securityhub:GetWidget` 操作访问 `my-example-widget` 资源。 ## 我无权执行 iam：PassRole 如果您收到一个错误，表明您无权执行 `iam:PassRole` 操作，则必须更新策略以允许您将角色传递给 Security Hub。 有些 AWS 服务 允许您将现有角色传递给该服务，而不是创建新的服务角色或服务相关角色。为此，您必须具有将角色传递到服务的权限。 当名为 `marymajor` 的 IAM 用户尝试使用控制台在 Security Hub 中执行操作时，会发生以下示例错误。但是，服务必须具有服务角色所授予的权限才可执行此操作。Mary 不具有将角色传递到服务的权限。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在这种情况下，必须更新 Mary 的策略以允许她执行 `iam:PassRole` 操作。 如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。 ## 我想以编程方式访问 Security Hub CSPM 如果用户想在 AWS 外部进行交互，则需要编程访问权限 AWS 管理控制台。授予编程访问权限的方式取决于正在访问的用户类型 AWS。 要向用户授予编程式访问权限，请选择以下选项之一。 **** | 哪个用户需要编程式访问权限？ | 目的 | 方式 | | --- | --- | --- | | IAM | （推荐）使用控制台凭证作为临时凭证，签署对 AWS CLI AWS SDKs、或的编程请求 AWS APIs。 | 按照您希望使用的界面的说明进行操作。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/securityhub/latest/userguide/security_iam_troubleshoot.html) | | 人力身份 （在 IAM Identity Center 中管理的用户） | 使用临时证书签署向 AWS CLI AWS SDKs、或发出的编程请求 AWS APIs。 | 按照您希望使用的界面的说明进行操作。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/securityhub/latest/userguide/security_iam_troubleshoot.html) | | IAM | 使用临时证书签署向 AWS CLI AWS SDKs、或发出的编程请求 AWS APIs。 | 按照 IAM 用户指南中的将[临时证书与 AWS 资源配合使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_use-resources.html)中的说明进行操作。 | | IAM | （不推荐使用）使用长期凭证签署向 AWS CLI AWS SDKs、或发出的编程请求 AWS APIs。 | 按照您希望使用的界面的说明进行操作。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_cn/securityhub/latest/userguide/security_iam_troubleshoot.html) | ## 我是一名管理员，想允许其他人访问 Security Hub CSPM 要提供访问权限，请为您的用户、组或角色添加权限： + 中的用户和群组 AWS IAM Identity Center： 创建权限集合。按照《AWS IAM Identity Center 用户指南》**中[创建权限集](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtocreatepermissionset.html)的说明进行操作。 + 通过身份提供者在 IAM 中托管的用户： 创建适用于身份联合验证的角色。按照《IAM 用户指南》**中[针对第三方身份提供者创建角色（联合身份验证）](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-idp.html)的说明进行操作。 + IAM 用户： + 创建您的用户可以担任的角色。按照《IAM 用户指南》**中[为 IAM 用户创建角色](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-user.html)的说明进行操作。 + （不推荐使用）将策略直接附加到用户或将用户添加到用户组。按照《IAM 用户指南》**中[向用户添加权限（控制台）](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)中的说明进行操作。 ## 我想允许我以外的人访问我 AWS 账户 的 Security Hub CSPM 资源 您可以创建一个角色，以便其他账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以代入角色。对于支持基于资源的策略或访问控制列表 (ACLs) 的服务，您可以使用这些策略向人们授予访问您的资源的权限。 要了解更多信息，请参阅以下内容： + 要了解 Security Hub 是否支持这些功能，请参阅 [Security Hub 如何与 IAM 协同工作](security_iam_service-with-iam.md)。 + 要了解如何提供对您拥有的资源的访问权限 AWS 账户 ，请参阅 [IAM 用户*指南中的向您拥有 AWS 账户 的另一个 IAM 用户*提供访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)权限。 + 要了解如何向第三方提供对您的资源的访问[权限 AWS 账户，请参阅 *IAM 用户指南*中的向第三方提供](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)访问权限。 AWS 账户 + 要了解如何通过身份联合验证提供访问权限，请参阅《IAM 用户指南》**中的[为经过外部身份验证的用户（身份联合验证）提供访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 要了解使用角色和基于资源的策略进行跨账户访问之间的差别，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 合规性验证 AWS Security Hub CSPM 要了解是否属于特定合规计划的范围，请参阅AWS 服务 “[按合规计划划分的范围](https://aws.amazon.com/compliance/services-in-scope/)” ”，然后选择您感兴趣的合规计划。 AWS 服务 有关一般信息，请参阅[AWS 合规计划AWS](https://aws.amazon.com/compliance/programs/)。 您可以使用下载第三方审计报告 AWS Artifact。有关更多信息，请参阅中的 “[下载报告” 中的 “ AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 您在使用 AWS 服务 时的合规责任取决于您的数据的敏感性、贵公司的合规目标以及适用的法律和法规。有关您在使用时的合规责任的更多信息 AWS 服务，请参阅[AWS 安全文档](https://docs.aws.amazon.com/security/)。 # Sec AWS urity Hub 中的弹性 AWS 全球基础设施是围绕 AWS 区域 可用区构建的。各区域提供多个在物理上独立且隔离的可用区，这些可用区通过延迟低、吞吐量高且冗余性高的网络连接在一起。利用可用区，您可以设计和操作在可用区之间无中断地自动实现故障转移的应用程序和数据库。与传统的单个或多个数据中心基础设施相比，可用区具有更高的可用性、容错能力和可扩展性。 有关 AWS 区域 和可用区的更多信息，请参阅[AWS 全球基础设施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # 中的基础设施安全 AWS Security Hub CSPM 作为一项托管服务 AWS Security Hub CSPM ，受 AWS 全球网络安全的保护。有关 AWS 安全服务以及如何 AWS 保护基础设施的信息，请参阅[AWS 云安全](https://aws.amazon.com/security/)。要使用基础设施安全的最佳实践来设计您的 AWS 环境，请参阅 S * AWS ecurity Pillar Well-Architected Fram* ework 中的[基础设施保护](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 已发布的 API 调用通过网络访问 Security Hub CSPM。客户端必须支持以下内容： + 传输层安全性协议（TLS）。我们要求使用 TLS 1.2，建议使用 TLS 1.3。 + 具有完全向前保密（PFS）的密码套件，例如 DHE（临时 Diffie-Hellman）或 ECDHE（临时椭圆曲线 Diffie-Hellman）。大多数现代系统（如 Java 7 及更高版本）都支持这些模式。 # AWS Security Hub CSPM 和接口 VPC 终端节点 (AWS PrivateLink) 您可以通过创建接*口 VPC 终端节点在您 AWS Security Hub CSPM 的 VPC* 和之间建立私有连接。接口端点由一项技术提供支持 [AWS PrivateLink](https://aws.amazon.com/privatelink)，该技术使您 APIs 无需互联网网关、NAT 设备、VPN 连接或 Direct C AWS onnect 连接即可私密访问 Security Hub CSPM。您的 VPC 中的实例不需要公有 IP 地址即可与 Security Hub CSP APIs M 通信。您的 VPC 和 Security Hub CSPM 之间的流量不会离开亚马逊网络。 每个接口端点均由子网中的一个或多个[弹性网络接口](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html)表示。有关更多信息，请参阅《*Amazon Virtual Private Cloud 指南》中的[AWS 服务 使用接口 VPC 终端节点访问](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html)和*。 ## Security Hub CSPM VPC 终端节点的注意事项 在为 Security Hub CSPM 设置接口 VPC 终端节点之前，请务必查看[亚马逊虚拟私有云](https://docs.aws.amazon.com/vpc/latest/privatelink/what-is-privatelink.html)指南中的先决条件和其他信息。 Security Hub CSPM 支持从你的 VPC 调用其所有 API 操作。 ## 为 Security Hub CSPM 创建接口 VPC 终端节点 您可以使用亚马逊 VPC 控制台或 AWS Command Line Interface ()AWS CLI为 Security Hub CSPM 服务创建 VPC 终端节点。有关更多信息，请参阅《Amazon Virtual Private Cloud 指南》**中的[创建 VPC 端点](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint)。 使用以下服务名称为 Security Hub CSPM 创建 VPC 终端节点： `com.amazonaws.region.securityhub` 适*region*用的地区代码在哪里 AWS 区域。 如果您为终端节点启用私有 DNS，则可以使用该区域的默认 DNS 名称向 Security Hub CSPM 发出 API 请求，`securityhub.us-east-1.amazonaws.com`例如美国东部（弗吉尼亚北部）区域。 ## 为 Security Hub CSPM 创建 VPC 终端节点策略 您可以将终端节点策略附加到控制对 Security Hub CSPM 的访问权限的 VPC 终端节点。该策略指定以下信息： + 可执行操作的主体。 + 可执行的操作。 + 可对其执行操作的资源。 有关更多信息，请参阅《Amazon Virtual Private Cloud 指南》**中的[使用端点策略控制对 VPC 端点的访问](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)。 **示例：Security Hub CSPM 操作的 VPC 终端节点策略** 以下是 Security Hub CSPM 的端点策略示例。当连接到端点时，此策略允许所有委托人访问所有资源上列出的 Security Hub CSPM 操作。 ``` { "Statement":[ { "Principal":"*", "Effect":"Allow", "Action":[ "securityhub:getFindings", "securityhub:getEnabledStandards", "securityhub:getInsights" ], "Resource":"*" } ] } ``` ## 共享子网 您无法在与您共享的子网中创建、描述、修改或删除 VPC 端点。但是，您可以在与您共享的子网中使用 VPC 端点。有关 VPC 共享的信息，请参阅《Amazon Virtual Private Cloud 指南》**中的[与其他账户共享 VPC 子网](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-sharing.html)。