建立和關聯組態政策 - AWS Security Hub

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

建立和關聯組態政策

委派的 AWS Security Hub 管理員帳戶可以建立組態政策，以指定 Security Hub、標準和控制項在指定帳戶和組織單位 () 中的設定方式OUs。只有在委派管理員將其與至少一個帳戶或組織單位 (OUs) 或根建立關聯之後，組態政策才會生效。委派管理員也可以將自我管理組態與帳戶、 OUs或根建立關聯。

如果這是您第一次建立組態政策，我們建議您先檢閱 組態政策如何在 Security Hub 中運作。

選擇您偏好的存取方法，並依照步驟建立組態政策或自我管理組態並建立關聯。使用 Security Hub 主控台時，您可以將組態與多個帳戶或OUs同時建立關聯。使用 Security Hub API或 時 AWS CLI，您可以在每個請求中只將組態與一個帳戶或 OU 建立關聯。

注意

如果您使用中央組態，Security Hub 會自動停用涉及主要區域以外所有區域中全域資源的控制項。您選擇啟用的其他控制項，在可用的所有區域中啟用組態政策。若要將這些控制項的問題清單限制為僅一個區域，您可以更新您的 AWS Config 記錄器設定，並關閉主要區域以外的所有區域中的全域資源記錄。

如果主區域中不支援涉及全域資源的已啟用控制項，Security Hub 會嘗試在支援控制項的一個連結區域中啟用控制項。使用中央組態，您缺乏主區域或任何連結區域無法使用之控制項的涵蓋範圍。

如需涉及全域資源的控制項清單，請參閱 使用全域資源的控制項。

Security Hub console
建立和關聯組態政策

  1. 在 開啟 AWS Security Hub 主控台https://console.aws.amazon.com/securityhub/。

    使用主要區域中委派 Security Hub 管理員帳戶的登入資料登入。

  2. 在導覽窗格中，選擇組態和政策索引標籤。然後，選擇建立政策。

  3. 在設定組織頁面上，如果這是您第一次建立組態政策，您會在組態類型下看到三個選項。如果您已建立至少一個組態政策，則只會看到自訂政策選項。

    • 選擇在整個組織中使用 AWS 建議的 Security Hub 組態，以使用我們的建議政策。建議的政策會在所有組織帳戶中啟用 Security Hub、啟用 AWS 基礎安全最佳實務 (FSBP) 標準，以及啟用所有新的和現有的FSBP控制項。控制項使用預設參數值。

    • 選擇我尚未準備好進行設定，以便稍後建立組態政策。

    • 選擇自訂政策以建立自訂組態政策。指定是否要啟用或停用 Security Hub、要啟用哪些標準，以及要在這些標準中啟用哪些控制項。或者，為支援自訂參數的一或多個已啟用控制項指定自訂參數值。

  4. 在帳戶區段中，選擇您要套用組態政策的目標帳戶OUs、 或根帳戶。

    • 如果您想要將組態政策套用至根帳戶，請選擇所有帳戶。這包括OUs組織中未套用或繼承其他政策的所有帳戶和 。

    • 如果您想要將組態政策套用至特定帳戶或 ，請選擇特定帳戶OUs。輸入帳戶 IDs，或從OUs組織結構中選取帳戶和 。建立政策時，您最多可以將政策套用到 15 個目標 （帳戶OUs、 或根）。若要指定較大的數字，請在建立後編輯您的政策，並將其套用至其他目標。

    • 選擇委派管理員，僅將組態政策套用至目前的委派管理員帳戶。

  5. 選擇 Next (下一步)。

  6. 在檢閱和套用頁面上，檢閱您的組態政策詳細資訊。然後，選擇建立政策並套用。在主區域和連結區域中，此動作會覆寫與此組態政策相關聯的帳戶的現有組態設定。帳戶可能會透過應用程式或從父節點繼承，與組態政策相關聯。除非明確排除、自我管理或使用不同的組態政策，否則套用目標OUs的子帳戶和 將自動繼承此組態政策。

Security Hub API
建立和關聯組態政策

  1. 叫用 CreateConfigurationPolicy API 從主區域中的 Security Hub 委派管理員帳戶。

  2. 對於 Name，請提供組態政策的唯一名稱。或者，對於 Description，提供組態政策的描述。

  3. 針對 ServiceEnabled 欄位，指定您是否希望在此組態政策中啟用或停用 Security Hub。

  4. 針對 EnabledStandardIdentifiers 欄位，指定您要在此組態政策中啟用哪些 Security Hub 標準。

  5. 針對 SecurityControlsConfiguration 物件，指定您要在此組態政策中啟用或停用哪些控制項。選擇 EnabledSecurityControlIdentifiers 表示已啟用指定的控制項。屬於已啟用標準 （包括新發行的控制項） 的其他控制項會停用。選擇 DisabledSecurityControlIdentifiers 表示已停用指定的控制項。已啟用標準 （包括新發行的控制項） 的其他控制項也會啟用。

  6. 或者，對於 SecurityControlCustomParameters 欄位，指定您要自訂參數的已啟用控制項。CUSTOM 為 ValueType 欄位提供 ，並為 Value 欄位提供自訂參數值。該值必須是正確的資料類型，且在 Security Hub 指定的有效範圍內。僅選取控制項支援自訂參數值。如需詳細資訊，請參閱了解 Security Hub 中的控制參數。

  7. 若要將組態政策套用至 帳戶或 OUs，請叫用 StartConfigurationPolicyAssociation API 從主區域中的 Security Hub 委派管理員帳戶。

  8. 針對 ConfigurationPolicyIdentifier 欄位，提供政策的 Amazon Resource Name (ARN) 或通用唯一識別碼 (UUID)。ARN 和 UUID會由 CreateConfigurationPolicy 傳回API。對於自我管理組態， ConfigurationPolicyIdentifier 欄位等於 SELF_MANAGED_SECURITY_HUB。

  9. 針對 Target 欄位，提供您希望此組態政策套用的 OU、帳戶或根 ID。每個API請求只能提供一個目標。所選目標OUs的子帳戶 和 將自動繼承此組態政策，除非它們是自我管理或使用不同的組態政策。

建立組態政策的API請求範例：

{
    "Name": "SampleConfigurationPolicy",
    "Description": "Configuration policy for production accounts",
    "ConfigurationPolicy": {
        "SecurityHub": {
             "ServiceEnabled": true,
             "EnabledStandardIdentifiers": [
                    "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0",
                    "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"
                ],
            "SecurityControlsConfiguration": {
                "DisabledSecurityControlIdentifiers": [
                    "CloudTrail.2"
                ],
                "SecurityControlCustomParameters": [
                    {
                        "SecurityControlId": "ACM.1",
                        "Parameters": {
                            "daysToExpiration": {
                                "ValueType": "CUSTOM",
                                "Value": {
                                    "Integer": 15
                                }
                            }
                        }
                    }
                ]
            }
        }
    }
}

建立組態政策關聯的API請求範例：

{
    "ConfigurationPolicyIdentifier": "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Target": {"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}
}
AWS CLI
建立和關聯組態政策

  1. 執行 create-configuration-policy 來自主區域中 Security Hub 委派管理員帳戶的 命令。

  2. 對於 name，請提供組態政策的唯一名稱。或者，對於 description，提供組態政策的描述。

  3. 針對 ServiceEnabled 欄位，指定您是否希望在此組態政策中啟用或停用 Security Hub。

  4. 針對 EnabledStandardIdentifiers 欄位，指定您要在此組態政策中啟用哪些 Security Hub 標準。

  5. 針對 SecurityControlsConfiguration 欄位，指定您要在此組態政策中啟用或停用哪些控制項。選擇 EnabledSecurityControlIdentifiers 表示已啟用指定的控制項。屬於已啟用標準 （包括新發行的控制項） 的其他控制項會停用。選擇 DisabledSecurityControlIdentifiers 表示已停用指定的控制項。會啟用適用於已啟用標準 （包括新發行的控制項） 的其他控制項。

  6. 或者，對於 SecurityControlCustomParameters 欄位，指定您要自訂參數的已啟用控制項。CUSTOM 為 ValueType 欄位提供 ，並為 Value 欄位提供自訂參數值。該值必須是正確的資料類型，且在 Security Hub 指定的有效範圍內。僅選取控制項支援自訂參數值。如需詳細資訊，請參閱了解 Security Hub 中的控制參數。

  7. 若要將組態政策套用至帳戶或 OUs，請執行 start-configuration-policy-association 來自主區域中 Security Hub 委派管理員帳戶的 命令。

  8. 針對 configuration-policy-identifier 欄位，提供組態政策的 Amazon Resource Name (ARN) 或 ID。此 ARN和 ID 由 create-configuration-policy命令傳回。

  9. 針對 target 欄位，提供您要套用此組態政策的 OU、帳戶或根 ID。每次執行 命令時，您只能提供一個目標。所選目標的子項會自動繼承此組態政策，除非它們是自我管理或使用不同的組態政策。

建立組態政策的範例命令：

aws securityhub --region us-east-1 create-configuration-policy \
--name "SampleConfigurationPolicy" \
--description "Configuration policy for production accounts" \
--configuration-policy '{"SecurityHub": {"ServiceEnabled": true, "EnabledStandardIdentifiers": ["arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0","arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"],"SecurityControlsConfiguration":{"DisabledSecurityControlIdentifiers": ["CloudTrail.2"], "SecurityControlCustomParameters": [{"SecurityControlId": "ACM.1", "Parameters": {"daysToExpiration": {"ValueType": "CUSTOM", "Value": {"Integer": 15}}}}]}}}'

建立組態政策關聯的命令範例：

aws securityhub --region us-east-1 start-configuration-policy-association \
--configuration-policy-identifier "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111" \
--target '{"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}'

StartConfigurationPolicyAssociation API 會傳回名為 的欄位AssociationStatus。此欄位會告訴您政策關聯是待定還是處於成功或失敗狀態。狀態從 變更為 PENDINGSUCCESS或 最多可能需要 24 小時FAILURE。如需關聯狀態的詳細資訊，請參閱檢閱組態政策的關聯狀態。