本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 啟用安全標準
當您在 AWS Security Hub CSPM 中啟用安全標準時，Security Hub CSPM 會自動建立並啟用適用於該標準的所有控制項。Security Hub CSPM 也會開始執行安全檢查並產生控制項的問題清單。
若要最佳化問題清單的涵蓋範圍和準確性，請先在 中啟用和設定資源記錄， AWS Config 再啟用標準。當您設定資源記錄時，也請務必針對套用標準之控制項檢查的所有資源類型啟用它。否則，Security Hub CSPM 可能無法評估適當的資源，並為適用於標準的控制項產生準確的調查結果。如需詳細資訊，請參閱[啟用和設定 AWS Config Security Hub CSPM](securityhub-setup-prereqs.md)。
啟用標準之後，您可以停用 或稍後重新啟用適用於標準的個別控制項。如果您停用標準控制項，Security Hub CSPM 會停止產生控制項的問題清單。此外，Security Hub CSPM 會在計算標準的安全分數時忽略控制項。安全性分數是通過評估的控制項百分比，相對於適用於標準、已啟用且具有評估資料的控制項總數。
當您啟用標準時，Security Hub CSPM 會產生該標準的初步安全分數，通常在您第一次造訪 Security Hub CSPM 主控台上的**摘要**或**安全標準**頁面的 30 分鐘內。只有在您造訪 主控台上的這些頁面時，才會針對啟用的標準產生安全分數。此外，必須在 中設定資源記錄，才能顯示 AWS Config 分數。在中國區域和 中 AWS GovCloud (US) Regions，Security Hub CSPM 最多可能需要 24 小時才能產生標準的初步安全分數。Security Hub CSPM 產生初步分數後，它會每 24 小時更新一次分數。若要判斷上次更新安全分數的時間，您可以參考 Security Hub CSPM 為分數提供的時間戳記。如需詳細資訊，請參閱[計算安全分數](standards-security-score.md)。
啟用標準的方式取決於您是否使用[中央組態](central-configuration-intro.md)來管理多個 帳戶和 的 Security Hub CSPM AWS 區域。如果您想要在多帳戶、多區域環境中啟用標準，建議您使用中央組態。如果您將 Security Hub CSPM 與 整合，則可以使用中央組態 AWS Organizations。如果您不使用中央組態，則必須在每個帳戶和每個區域中分別啟用每個標準。
**Topics**
+ [在多個帳戶和 中啟用標準 AWS 區域](#enable-standards-central-configuration)
+ [在單一帳戶和 中啟用標準 AWS 區域](#securityhub-standard-enable-console)
+ [檢查標準的狀態](#standard-subscription-status)
## 在多個帳戶和 中啟用標準 AWS 區域
若要跨多個帳戶啟用和設定安全標準 AWS 區域，請使用[中央組態](central-configuration-intro.md)。透過中央組態，委派的 Security Hub CSPM 管理員可以建立啟用一或多個標準的 Security Hub CSPM 組態政策。然後，管理員可以將組態政策與個別帳戶、組織單位 (OUs) 或根帳戶建立關聯。組態政策會影響主要區域，也稱為*彙總區域*和所有連結的區域。
組態政策提供自訂選項。例如，您可以選擇只為一個 OU 啟用 AWS 基礎安全最佳實務 (FSBP) 標準。對於另一個 OU，您可以選擇同時啟用 FSBP 標準和 Center for Internet Security (CIS) AWS Foundations Benchmark v1.4.0 標準。如需建立啟用您指定之特定標準的組態政策的詳細資訊，請參閱 [建立和關聯組態政策](create-associate-policy.md)。
如果您使用中央組態，Security Hub CSPM 不會自動在新的或現有的帳戶中啟用任何標準。相反地，Security Hub CSPM 管理員會指定在為其組織建立 Security Hub CSPM 組態政策時，在不同帳戶中啟用哪些標準。Security Hub CSPM 提供建議的組態政策，其中僅啟用 FSBP 標準。如需詳細資訊，請參閱[組態政策的類型](configuration-policies-overview.md#policy-types)。
**注意**
Security Hub CSPM 管理員可以使用組態政策來啟用[AWS Control Tower 服務受管標準以外的任何標準](service-managed-standard-aws-control-tower.md)。若要啟用此標準，管理員必須 AWS Control Tower 直接使用 。他們還必須使用 AWS Control Tower 來啟用或停用集中管理帳戶在此標準中的個別控制項。
如果您希望某些帳戶為其自己的帳戶啟用和設定標準，Security Hub CSPM 管理員可以將這些帳戶指定為*自我管理帳戶*。自我管理帳戶必須在每個區域中分別啟用和設定標準。
## 在單一帳戶和 中啟用標準 AWS 區域
如果您不使用中央組態或擁有自我管理帳戶，則無法使用組態政策在多個帳戶或 中集中啟用安全標準 AWS 區域。不過，您可以在單一帳戶和區域中啟用標準。您可以使用 Security Hub CSPM 主控台或 Security Hub CSPM API 來執行此操作。
------
#### [ Security Hub CSPM console ]
請依照下列步驟，使用 Security Hub CSPM 主控台啟用一個帳戶和區域中的標準。
**在一個帳戶和區域中啟用標準**
1. 開啟位於 https：//[https://console.aws.amazon.com/securityhub/](https://console.aws.amazon.com/securityhub/) 的 AWS Security Hub CSPM 主控台。
1. 使用頁面右上角的 AWS 區域 選取器，選擇您要啟用標準的區域。
1. 在導覽窗格中，選擇**安全標準**。**安全標準**頁面列出 Security Hub CSPM 目前支援的所有標準。如果您已啟用標準，則標準的 區段會包含目前的安全分數和標準的其他詳細資訊。
1. 在您要啟用的標準區段中，選擇**啟用標準**。
若要在其他區域中啟用標準，請在每個其他區域中重複上述步驟。
------
#### [ Security Hub CSPM API ]
若要在單一帳戶和區域中以程式設計方式啟用標準，請使用 [https://docs.aws.amazon.com//securityhub/1.0/APIReference/API_BatchEnableStandards.html](https://docs.aws.amazon.com//securityhub/1.0/APIReference/API_BatchEnableStandards.html)操作。或者，如果您使用的是 AWS Command Line Interface (AWS CLI)，請執行 [https://docs.aws.amazon.com/cli/latest/reference/securityhub/batch-enable-standards.html](https://docs.aws.amazon.com/cli/latest/reference/securityhub/batch-enable-standards.html)命令。
在您的請求中，使用 `StandardsArn` 參數來指定您要啟用之標準的 Amazon Resource Name (ARN)。同時指定您的請求套用的區域。例如，下列命令會啟用 AWS 基礎安全最佳實務 (FSBP) 標準：
```
$ aws securityhub batch-enable-standards \
--standards-subscription-requests '{"StandardsArn":"arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0"}' \
--region us-east-1
```
其中 *arn：aws：securityhub：*us-east-1：：standards/aws-foundational-security-best-practices/v/1.0.0** 是美國東部 （維吉尼亞北部） 區域中 FSBP 標準的 ARN，而 *us-east-1* 是要在其中啟用它的區域。
若要取得標準的 ARN，請使用 [https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_DescribeStandards.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_DescribeStandards.html)操作，或者，如果您使用的是 AWS CLI，請執行 [https://docs.aws.amazon.com/cli/latest/reference/securityhub/describe-standards.html](https://docs.aws.amazon.com/cli/latest/reference/securityhub/describe-standards.html)命令。
若要先檢閱目前在帳戶中啟用的標準清單，您可以使用 [https://docs.aws.amazon.com//securityhub/1.0/APIReference/API_GetEnabledStandards.html](https://docs.aws.amazon.com//securityhub/1.0/APIReference/API_GetEnabledStandards.html)操作。如果您使用的是 AWS CLI，您可以執行 [get-enabled-standards](https://docs.aws.amazon.com/cli/latest/reference/securityhub/get-enabled-standards.html) 命令來擷取此清單。
------
啟用標準之後，Security Hub CSPM 會開始執行任務，以在帳戶和指定的區域中啟用標準。這包括建立適用於標準的所有控制項。若要監控這些任務的狀態，您可以檢查帳戶和區域的標準狀態。
## 檢查標準的狀態
當您為帳戶啟用安全標準時，Security Hub CSPM 會開始建立適用於帳戶中標準的所有控制項。Security Hub CSPM 也會執行其他任務，以啟用帳戶的標準，例如產生標準的初步安全分數。當 Security Hub CSPM 執行這些任務時，標準的狀態*Pending*適用於帳戶。然後，標準的狀態會通過其他狀態，您可以監控和檢查這些狀態。
**注意**
標準個別控制項的變更不會影響標準的整體狀態。例如，如果您啟用先前停用的控制項，您的變更不會影響標準的狀態。同樣地，如果您變更已啟用控制項的參數值，您的變更不會影響標準的狀態。
若要使用 Security Hub CSPM 主控台檢查標準的狀態，請在導覽窗格中選擇**安全標準**。**安全標準**頁面列出 Security Hub CSPM 目前支援的所有標準。如果 Security Hub CSPM 目前正在執行啟用標準的任務，則標準的 區段表示 Security Hub CSPM 仍在產生標準的安全分數。如果啟用標準，則標準的 區段會包含目前的分數。選擇**檢視結果**以檢閱其他詳細資訊，包括適用於標準之個別控制項的狀態。如需詳細資訊，請參閱[執行安全檢查的排程](securityhub-standards-schedule.md)。
若要使用 Security Hub CSPM API 以程式設計方式檢查標準的狀態，請使用 [https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetEnabledStandards.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetEnabledStandards.html)操作。在您的請求中，選擇性地使用 `StandardsSubscriptionArns` 參數來指定您要檢查其狀態的標準 Amazon Resource Name (ARN)。如果您使用的是 AWS Command Line Interface (AWS CLI)，您可以執行 [get-enabled-standards](https://docs.aws.amazon.com/cli/latest/reference/securityhub/get-enabled-standards.html) 命令來檢查標準的狀態。若要指定要檢查的標準 ARN，請使用 `standards-subscription-arns` 參數。若要決定要指定的 ARN，您可以使用 [https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_DescribeStandards.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_DescribeStandards.html)操作，或針對 AWS CLI執行 [https://docs.aws.amazon.com/cli/latest/reference/securityhub/describe-standards.html](https://docs.aws.amazon.com/cli/latest/reference/securityhub/describe-standards.html)命令。
如果您的請求成功，Security Hub CSPM 會以 物件陣列回應`StandardsSubscription`。*標準訂閱*是 Security Hub CSPM 為帳戶啟用標準時，在帳戶中建立 AWS 的資源。每個`StandardsSubscription`物件都會提供有關帳戶目前已啟用或正在啟用或停用之標準的詳細資訊。在每個物件中， `StandardsStatus` 欄位會指定帳戶的 標準目前狀態。
標準 (`StandardsStatus`) 的狀態可以是下列其中一項。
**PENDING**
Security Hub CSPM 目前正在執行任務，以啟用帳戶的 標準。這包括建立適用於標準的控制項，並為標準產生初步安全分數。Security Hub CSPM 可能需要幾分鐘的時間來完成所有任務。如果已為帳戶啟用標準，且 Security Hub CSPM 目前正在將新控制項新增至標準，則標準也可以具有此狀態。
如果標準具有此狀態，您可能無法擷取適用於標準之個別控制項的詳細資訊。此外，您可能無法設定或停用標準的個別控制項。例如，如果您嘗試使用 [https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_UpdateStandardsControl.html](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_UpdateStandardsControl.html)操作停用控制項，則會發生錯誤。
若要判斷您是否可以設定或以其他方式管理 標準的個別控制項，請參閱 `StandardsControlsUpdatable` 欄位的值。如果此欄位的值為 `READY_FOR_UPDATES`，您可以開始管理標準的個別控制項。否則，請等待 Security Hub CSPM 完成其他處理任務以啟用標準。
**READY**
帳戶目前已啟用標準。Security Hub CSPM 可以執行安全檢查，並針對適用於標準且目前啟用的所有控制項產生調查結果。Security Hub CSPM 也可以計算標準的安全分數。
如果標準具有此狀態，您可以擷取適用於標準之個別控制項的詳細資訊。此外，您可以設定、停用或重新啟用控制項。您也可以停用標準。
**INCOMPLETE**
Security Hub CSPM 無法完全為帳戶啟用標準。Security Hub CSPM 無法執行安全檢查，並針對適用於標準且目前已啟用的所有控制項產生調查結果。此外，Security Hub CSPM 無法計算標準的安全分數。
若要判斷未完全啟用標準的原因，請參閱 `StandardsStatusReason`陣列中的資訊。此陣列會指定導致 Security Hub CSPM 無法啟用標準的問題。如果發生內部錯誤，請嘗試再次為帳戶啟用 標準。對於其他類型的問題，[請檢查您的 AWS Config 設定](securityhub-setup-prereqs.md)。您也可以[停用您不想檢查的個別控制項](disable-controls-overview.md)，或完全停用標準。
**DELETING**
Security Hub CSPM 目前正在處理停用帳戶標準的請求。這包括停用適用於標準的控制項，以及移除相關聯的安全分數。Security Hub CSPM 可能需要幾分鐘的時間才能完成處理請求。
如果標準具有此狀態，則您無法重新啟用標準，或嘗試再次為帳戶停用該標準。Security Hub CSPM 必須先完成處理目前的請求。此外，您無法擷取適用於標準或管理控制項之個別控制項的詳細資訊。
**FAILED**
Security Hub CSPM 無法停用帳戶的 標準。當 Security Hub CSPM 嘗試停用標準時發生一或多個錯誤。此外，Security Hub CSPM 無法計算標準的安全分數。
若要判斷未完全停用標準的原因，請參閱`StandardsStatusReason`陣列中的資訊。此陣列會指定防止 Security Hub CSPM 停用標準的問題。
如果標準具有此狀態，則您無法擷取適用於標準或管理控制項之個別控制項的詳細資訊。不過，您可以重新啟用帳戶的 標準。如果您解決導致 Security Hub CSPM 無法停用標準的問題，您也可以嘗試再次停用標準。
如果標準的狀態為 `READY`，Security Hub CSPM 會執行安全檢查，並針對適用於標準且目前啟用的所有控制項產生問題清單。對於其他狀態，Security Hub CSPM 可能會執行檢查，並產生某些但並非所有已啟用控制項的問題清單。最多可能需要 24 小時才能產生或更新控制調查結果。如需詳細資訊，請參閱[執行安全檢查的排程](securityhub-standards-schedule.md)。