本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 中的安全性 AWS Security Hub CSPM 的雲端安全 AWS 是最高優先順序。身為 AWS 客戶，您可以受益於資料中心和網路架構，這些架構是為了滿足最安全敏感組織的需求而建置。 安全性是 AWS 與您之間的共同責任。[‬共同責任模型‭](https://aws.amazon.com/compliance/shared-responsibility-model/)‬ 將此描述為雲端*‬的‭*‬安全和雲端*‬內*‬的安全： + **雲端的安全性** – AWS 負責保護在 Cloud AWS 中執行 AWS 服務的基礎設施。 AWS 也為您提供可安全使用的服務。在 [AWS 合規計畫](https://aws.amazon.com/compliance/programs/)中，第三方稽核員會定期測試並驗證我們的安全功效。若要進一步瞭解適用於 AWS Security Hub CSPM的合規計劃，請參閱 [合規計劃範圍內的AWS 服務](https://aws.amazon.com/compliance/services-in-scope/)。 + **雲端的安全性** – 您的責任取決於您使用 AWS 的服務。您也必須對其他因素負責，包括資料的機密性、您公司的要求和適用法律和法規。 本文件可協助您了解如何在使用 Security Hub CSPM 時套用共同責任模型。下列主題說明如何設定 Security Hub CSPM 以符合您的安全與合規目標。您也會了解如何使用其他 AWS 服務來協助您監控和保護 Security Hub CSPM 資源。 **Topics** + [中的資料保護 AWS Security Hub CSPM](data-protection.md) + [AWS Security Hub CSPM 的 Identity and Access Management](security-iam.md) + [的合規驗證 AWS Security Hub CSPM](securityhub-compliance.md) + [AWS Security Hub 中的彈性](disaster-recovery-resiliency.md) + [中的基礎設施安全 AWS Security Hub CSPM](infrastructure-security.md) + [AWS Security Hub CSPM 和介面 VPC 端點 (AWS PrivateLink)](security-vpc-endpoints.md) # 中的資料保護 AWS Security Hub CSPM AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 中的資料保護 AWS Security Hub CSPM。如此模型所述， AWS 負責保護執行所有 的 全球基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 Security Hub CSPM 或使用 AWS 服務 主控台、API AWS CLI或其他 AWS SDKs 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 Security Hub CSPM 是多租戶服務產品。為了確保資料保護，Security Hub CSPM 會加密靜態資料和元件服務之間傳輸中的資料。 # AWS Security Hub CSPM 的 Identity and Access Management AWS Identity and Access Management (IAM) 是一種 AWS 服務 ，可協助管理員安全地控制對 AWS 資源的存取。IAM 管理員可控制誰可以*進行身分驗證* （登入） 和*授權* （具有許可），以使用 Security Hub 資源。IAM 是您可以免費使用 AWS 服務 的 。 **Topics** + [目標對象](#security_iam_audience) + [使用身分驗證](#security_iam_authentication) + [使用政策管理存取權](#security_iam_access-manage) + [Security Hub 如何與 IAM 搭配使用](security_iam_service-with-iam.md) + [的身分型政策範例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md) + [的服務連結角色 AWS Security Hub CSPM](using-service-linked-roles.md) + [AWS Security Hub 的 受管政策](security-iam-awsmanpol.md) + [對 AWS Security Hub CSPM 身分和存取進行故障診斷](security_iam_troubleshoot.md) ## 目標對象 使用方式 AWS Identity and Access Management (IAM) 會根據您的角色而有所不同： + **服務使用者** — 若無法存取某些功能，請向管理員申請所需許可 (請參閱 [對 AWS Security Hub CSPM 身分和存取進行故障診斷](security_iam_troubleshoot.md)) + **服務管理員** — 負責設定使用者存取權並提交相關許可請求 (請參閱 [Security Hub 如何與 IAM 搭配使用](security_iam_service-with-iam.md)) + **IAM 管理員** — 撰寫政策以管理存取控制 (請參閱 [的身分型政策範例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)) ## 使用身分驗證 身分驗證是您 AWS 使用身分憑證登入 的方式。您必須以 AWS 帳戶根使用者、IAM 使用者或擔任 IAM 角色身分進行身分驗證。 您可以使用身分來源的登入資料，例如 AWS IAM Identity Center (IAM Identity Center)、單一登入身分驗證或 Google/Facebook 登入資料，以聯合身分的形式登入。如需有關登入的詳細資訊，請參閱《AWS 登入 使用者指南》**中的[如何登入您的 AWS 帳戶](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 對於程式設計存取， AWS 提供 SDK 和 CLI 以密碼編譯方式簽署請求。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [API 請求的AWS 第 4 版簽署程序](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 帳戶 根使用者 當您建立 時 AWS 帳戶，您會從一個名為 AWS 帳戶 *theroot 使用者的*登入身分開始，該身分具有對所有 AWS 服務 和資源的完整存取權。強烈建議不要使用根使用者來執行日常任務。有關需要根使用者憑證的任務，請參閱《IAM 使用者指南》**中的[需要根使用者憑證的任務](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 聯合身分 最佳實務是要求人類使用者使用聯合身分提供者，以 AWS 服務 使用臨時憑證存取 。 *聯合身分*是您企業目錄、Web 身分提供者的使用者，或使用來自身分來源的 AWS 服務 憑證存取 Directory Service 。聯合身分會擔任角色，而該角色會提供臨時憑證。 若需集中化管理存取權限，建議使用 AWS IAM Identity Center。如需詳細資訊，請參閱 *AWS IAM Identity Center 使用者指南*中的[什麼是 IAM Identity Center？](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)。 ### IAM 使用者和群組 *IAM 使用者*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)是一種身分具備單人或應用程式的特定許可權。建議以臨時憑證取代具備長期憑證的 IAM 使用者。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[要求人類使用者使用聯合身分提供者，以 AWS 使用臨時憑證存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) 。 [IAM 群組](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)**會指定 IAM 使用者集合，使管理大量使用者的許可權更加輕鬆。如需詳細資訊，請參閱《IAM 使用者指南》**中的 [IAM 使用者的使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *IAM 角色*[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)的身分具有特定許可權，其可以提供臨時憑證。您可以透過[從使用者切換到 IAM 角色 （主控台） ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或呼叫 AWS CLI 或 AWS API 操作來擔任角色。如需詳細資訊，請參閱《IAM 使用者指南》**中的[擔任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色適用於聯合身分使用者存取、臨時 IAM 使用者許可、跨帳戶存取權與跨服務存取，以及在 Amazon EC2 執行的應用程式。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用政策管理存取權 您可以透過建立政策並將其連接到身分或資源 AWS 來控制 AWS 中的存取。政策定義與身分或資源相關聯的許可。當委託人提出請求時 AWS ， 會評估這些政策。大多數政策會以 JSON 文件 AWS 的形式存放在 中。如需進一步了解 JSON 政策文件，請參閱《*IAM 使用者指南*》中的 [JSON 政策概觀](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理員會使用政策，透過定義哪些**主體**可在哪些**條件**下對哪些**資源**執行**動作**，以指定可存取的範圍。 預設情況下，使用者和角色沒有許可。IAM 管理員會建立 IAM 政策並將其新增至角色，供使用者後續擔任。IAM 政策定義動作的許可，無論採用何種方式執行。 ### 身分型政策 身分型政策是附加至身分 (使用者、使用者群組或角色) 的 JSON 許可政策文件。這類政策控制身分可對哪些資源執行哪些動作，以及適用的條件。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 身分型政策可分為*內嵌政策* (直接內嵌於單一身分) 與*受管政策* (可附加至多個身分的獨立政策)。如需了解如何在受管政策及內嵌政策之間做選擇，請參閱《IAM 使用者指南》**中的[在受管政策與內嵌政策之間選擇](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 資源型政策 資源型政策是附加到資源的 JSON 政策文件。範例包括 IAM *角色信任政策*與 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 資源型政策是位於該服務中的內嵌政策。您無法在資源型政策中使用來自 IAM 的 AWS 受管政策。 ### 其他政策類型 AWS 支援其他政策類型，可設定更多常見政策類型授予的最大許可： + **許可界限** — 設定身分型政策可授與 IAM 實體的最大許可。如需詳細資訊，請參閱《 IAM 使用者指南》**中的 [IAM 實體許可界限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服務控制政策 (SCP)** — 為 AWS Organizations中的組織或組織單位指定最大許可。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[服務控制政策](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **資源控制政策 (RCP)** — 設定您帳戶中資源可用許可的上限。如需詳細資訊，請參閱《AWS Organizations 使用者指南》**中的[資源控制政策 (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **工作階段政策** — 在以程式設計方式為角色或聯合身分使用者建立臨時工作階段時，以參數形式傳遞的進階政策。如需詳細資訊，請參《*IAM 使用者指南*》中的[工作階段政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多種政策類型 當多種類型的政策適用於請求時，產生的許可會更複雜而無法理解。若要了解如何 AWS 在涉及多個政策類型時決定是否允許請求，請參閱《*IAM 使用者指南*》中的[政策評估邏輯](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 # Security Hub 如何與 IAM 搭配使用 在您使用 AWS Identity and Access Management (IAM) 來管理對 的存取之前 AWS Security Hub CSPM，請先了解哪些 IAM 功能可與 Security Hub CSPM 搭配使用。 **您可以搭配 使用的 IAM 功能 AWS Security Hub CSPM** | IAM 功能 | Security Hub CSPM 支援 | | --- | --- | | [身分型政策](#security_iam_service-with-iam-id-based-policies) | 是 | | [資源型政策](#security_iam_service-with-iam-resource-based-policies) | 否 | | [政策動作](#security_iam_service-with-iam-id-based-policies-actions) | 是 | | [政策資源](#security_iam_service-with-iam-id-based-policies-resources) | 否 | | [政策條件索引鍵](#security_iam_service-with-iam-id-based-policies-conditionkeys) | 是 | | [存取控制清單 (ACL)](#security_iam_service-with-iam-acls) | 否 | | [屬性型存取控制 (ABAC) – 政策中的標籤](#security_iam_service-with-iam-tags) | 是 | | [臨時憑證](#security_iam_service-with-iam-roles-tempcreds) | 是 | | [轉送存取工作階段 (FAS)](#security_iam_service-with-iam-principal-permissions) | 是 | | [服務角色](#security_iam_service-with-iam-roles-service) | 否 | | [服務連結角色](#security_iam_service-with-iam-roles-service-linked) | 是 | 如需 Security Hub CSPM 和其他 如何與大多數 IAM 功能 AWS 服務 搭配使用的高階檢視，請參閱《[AWS 服務 IAM 使用者指南》中的 與 IAM 搭配使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 ** ## Security Hub CSPM 的身分型政策 **支援身分型政策：**是 身分型政策是可以附加到身分 (例如 IAM 使用者、使用者群組或角色) 的 JSON 許可政策文件。這些政策可控制身分在何種條件下能對哪些資源執行哪些動作。如需了解如何建立身分型政策，請參閱《*IAM 使用者指南*》中的[透過客戶管理政策定義自訂 IAM 許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。如要了解您在 JSON 政策中使用的所有元素，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 Security Hub CSPM 支援以身分為基礎的政策。如需詳細資訊，請參閱[的身分型政策範例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub CSPM 的資源型政策 **支援資源型政策：**否 資源型政策是附加到資源的 JSON 政策文件。資源型政策的最常見範例是 IAM *角色信任政策*和 Amazon S3 *儲存貯體政策*。在支援資源型政策的服務中，服務管理員可以使用它們來控制對特定資源的存取權限。對於附加政策的資源，政策會定義指定的主體可以對該資源執行的動作以及在何種條件下執行的動作。您必須在資源型政策中[指定主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。委託人可以包含帳戶、使用者、角色、聯合身分使用者或 AWS 服務。 如需啟用跨帳戶存取權，您可以在其他帳戶內指定所有帳戶或 IAM 實體作為資源型政策的主體。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的快帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 Security Hub CSPM 不支援以資源為基礎的政策。您無法將 IAM 政策直接連接至 Security Hub CSPM 資源。 ## Security Hub CSPM 的政策動作 **支援政策動作：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 JSON 政策的 `Action` 元素描述您可以用來允許或拒絕政策中存取的動作。政策會使用動作來授予執行相關聯動作的許可。 Security Hub CSPM 中的政策動作在動作之前使用下列字首： ``` securityhub: ``` 例如，若要授予使用者啟用 Security Hub CSPM 的許可，這是對應至 Security Hub CSPM API `EnableSecurityHub`操作的動作，請在其政策中包含 `securityhub:EnableSecurityHub`動作。政策陳述式必須包含 `Action` 或 `NotAction` 元素。Security Hub CSPM 定義自己的一組動作，描述您可以使用此服務執行的任務。 ``` "Action": "securityhub:EnableSecurityHub" ``` 若要在單一陳述式中指定多個動作，請用逗號分隔。例如： ``` "Action": [ "securityhub:EnableSecurityHub", "securityhub:BatchEnableStandards" ``` 您也可以使用萬用字元 (\$1) 指定多個動作。例如，若要指定開頭是 `Get` 文字的所有動作，請包含以下動作： ``` "Action": "securityhub:Get*" ``` 但是，根據最佳實務，您應該定義遵循「最低權限」原則的政策。換句話說，您應建立其中只包含執行特定任務所需許可的政策。 使用者必須能夠存取 `DescribeStandardsControl`操作，才能存取 `BatchGetSecurityControls`、 `BatchGetStandardsControlAssociations`和 `ListStandardsControlAssociations`。 使用者必須能夠存取 `UpdateStandardsControls`操作，才能存取 `BatchUpdateStandardsControlAssociations`、 和 `UpdateSecurityControl`。 如需 Security Hub CSPM 動作的清單，請參閱《*服務授權參考*》中的 [定義的動作 AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)。如需指定 Security Hub CSPM 動作的政策範例，請參閱 [的身分型政策範例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub CSPM 的政策資源 **支援政策資源：**否 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` Security Hub CSPM 定義下列資源類型： + Hub (樞紐) + 產品 + 尋找彙總工具，也稱為*跨區域彙總工具* + 自動化規則 + 組態政策 您可以使用 ARNs 在政策中指定這些類型的資源。 如需 Security Hub CSPM 資源類型和每個類型的 ARN 語法清單，請參閱*《服務授權參考*》中的 [定義的資源類型 AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-resources-for-iam-policies)。若要了解您可以為每種資源類型指定哪些動作，請參閱*《服務授權參考*》中的 [定義的動作 AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)。如需指定資源的政策範例，請參閱 [的身分型政策範例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub CSPM 的政策條件索引鍵 **支援服務特定政策條件金鑰：**是 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 如需 Security Hub CSPM 條件金鑰的清單，請參閱《*服務授權參考*》中的 [的條件金鑰 AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-policy-keys)。若要了解您可搭配哪些動作和資源使用條件索引鍵，請參閱 [定義的動作 AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)。如需使用條件索引鍵的政策範例，請參閱 [的身分型政策範例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub CSPM 中的存取控制清單 (ACLs) **支援 ACL：**否 存取控制清單 (ACL) 可控制哪些主體 (帳戶成員、使用者或角色) 擁有存取某資源的許可。ACL 類似於資源型政策，但它們不使用 JSON 政策文件格式。 Security Hub CSPM 不支援 ACLs，這表示您無法將 ACL 連接至 Security Hub CSPM 資源。 ## 使用 Security Hub CSPM 的屬性型存取控制 (ABAC) **支援 ABAC (政策中的標籤)：**是 屬性型存取控制 (ABAC) 是一種授權策略，依據稱為標籤的屬性來定義許可。您可以將標籤連接至 IAM 實體 AWS 和資源，然後設計 ABAC 政策，以便在委託人的標籤符合資源上的標籤時允許操作。 如需根據標籤控制存取，請使用 `aws:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件索引鍵，在政策的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。 如果服務支援每個資源類型的全部三個條件金鑰，則對該服務而言，值為 **Yes**。如果服務僅支援某些資源類型的全部三個條件金鑰，則值為 **Partial**。 如需 ABAC 的詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 ABAC 授權定義許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。如要查看含有設定 ABAC 步驟的教學課程，請參閱《*IAM 使用者指南*》中的[使用屬性型存取控制 (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)。 您可以將標籤連接至 Security Hub CSPM 資源。您也可以在政策的 `Condition`元素中提供標籤資訊，以控制對 資源的存取。 如需標記 Security Hub CSPM 資源的資訊，請參閱 [標記 Security Hub 資源](tagging-resources.md)。如需根據標籤控制資源存取的身分型政策範例，請參閱 [的身分型政策範例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## 搭配 Security Hub CSPM 使用臨時憑證 **支援臨時憑證：**是 臨時登入資料提供 AWS 資源的短期存取權，當您使用聯合或切換角色時會自動建立。 AWS 建議您動態產生臨時登入資料，而不是使用長期存取金鑰。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的臨時安全憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)與[可與 IAM 搭配運作的AWS 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。 Security Hub CSPM 支援使用臨時登入資料。 ## 轉送 Security Hub CSPM 的存取工作階段 **支援轉寄存取工作階段 (FAS)：**是 轉送存取工作階段 (FAS) 使用呼叫 的委託人許可 AWS 服務，結合 AWS 服務 請求向下游服務提出請求。如需提出 FAS 請求時的政策詳細資訊，請參閱[轉發存取工作階段](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)。 例如， AWS 服務 當您將 Security Hub CSPM 與 整合時 AWS Organizations ，以及當您為 Organizations 中的組織指定委派 Security Hub CSPM 管理員帳戶時，Security Hub CSPM 會向下游發出 FAS 請求。 對於其他任務，Security Hub CSPM 使用服務連結角色代表您執行動作。如需此角色的詳細資訊，請參閱 [的服務連結角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 ## Security Hub CSPM 的服務角色 Security Hub CSPM 不會擔任或使用服務角色。若要代表您執行動作，Security Hub CSPM 會使用服務連結角色。如需此角色的詳細資訊，請參閱 [的服務連結角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 **警告** 變更服務角色的許可可能會在您使用 Security Hub CSPM 時產生操作問題。只有在 Security Hub CSPM 提供指引時，才能編輯服務角色。 ## Security Hub CSPM 的服務連結角色 **支援服務連結角色：**是 服務連結角色是連結至 的一種服務角色 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會出現在您的 中 AWS 帳戶 ，並由服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 Security Hub CSPM 使用服務連結角色代表您執行動作。如需此角色的詳細資訊，請參閱 [的服務連結角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 # 的身分型政策範例 AWS Security Hub CSPM 根據預設，使用者和角色沒有建立或修改 Security Hub CSPM 資源的許可。他們也無法使用 AWS 管理主控台 AWS CLI或 AWS API 執行任務。管理員必須建立 IAM 政策，授與使用者和角色在指定資源上執行特定 API 操作所需的許可。管理員接著必須將這些政策連接至需要這些許可的使用者或群組。 若要了解如何使用這些範例 JSON 政策文件建立 IAM 身分型政策，請參閱 *IAM 使用者指南*中的[在 JSON 索引標籤上建立政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [政策最佳實務](#security_iam_service-with-iam-policy-best-practices) + [使用 Security Hub CSPM 主控台](#security_iam_id-based-policy-examples-console) + [範例：允許使用者檢視他們自己的許可](#security_iam_id-based-policy-examples-view-own-permissions) + [範例：允許使用者建立和管理組態政策](#security_iam_id-based-policy-examples-create-configuration-policy) + [範例：允許使用者檢視問題清單](#security_iam_id-based-policy-examples-view-findings) + [範例：允許使用者建立和管理自動化規則](#security_iam_id-based-policy-examples-create-automation-rule) ## 政策最佳實務 身分型政策會判斷您帳戶中的某個人員是否可以建立、存取或刪除 Security Hub 資源。這些動作可能會讓您的 AWS 帳戶產生費用。當您建立或編輯身分型政策時，請遵循下列準則及建議事項： + **開始使用 AWS 受管政策並邁向最低權限許可** – 若要開始將許可授予您的使用者和工作負載，請使用將許可授予許多常見使用案例的 *AWS 受管政策*。它們可在您的 中使用 AWS 帳戶。我們建議您定義特定於使用案例 AWS 的客戶受管政策，以進一步減少許可。如需更多資訊，請參閱《*IAM 使用者指南*》中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[任務職能的AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **套用最低權限許可** – 設定 IAM 政策的許可時，請僅授予執行任務所需的許可。為實現此目的，您可以定義在特定條件下可以對特定資源採取的動作，這也稱為*最低權限許可*。如需使用 IAM 套用許可的更多相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 中的政策和許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 政策中的條件進一步限制存取權** – 您可以將條件新增至政策，以限制動作和資源的存取。例如，您可以撰寫政策條件，指定必須使用 SSL 傳送所有請求。如果透過特定 例如 使用服務動作 AWS 服務，您也可以使用條件來授予其存取權 CloudFormation。如需詳細資訊，請參閱《*IAM 使用者指南*》中的 [IAM JSON 政策元素：條件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 驗證 IAM 政策，確保許可安全且可正常運作** – IAM Access Analyzer 驗證新政策和現有政策，確保這些政策遵從 IAM 政策語言 (JSON) 和 IAM 最佳實務。IAM Access Analyzer 提供 100 多項政策檢查及切實可行的建議，可協助您撰寫安全且實用的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[使用 IAM Access Analyzer 驗證政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重要素驗證 (MFA)** – 如果您的案例需要 IAM 使用者或 中的根使用者 AWS 帳戶，請開啟 MFA 以提高安全性。如需在呼叫 API 操作時請求 MFA，請將 MFA 條件新增至您的政策。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[透過 MFA 的安全 API 存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 如需 IAM 中最佳實務的相關資訊，請參閱《*IAM 使用者指南*》中的 [IAM 安全最佳實務](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用 Security Hub CSPM 主控台 若要存取 AWS Security Hub CSPM 主控台，您必須擁有一組最低許可。這些許可必須允許您列出和檢視 中 Security Hub CSPM 資源的詳細資訊 AWS 帳戶。如果您建立比最基本必要許可更嚴格的身分型政策，則對於具有該政策的實體 (使用者或角色) 而言，主控台就無法如預期運作。 對於僅呼叫 AWS CLI 或 AWS API 的使用者，您不需要允許最低主控台許可。反之，只需允許存取符合他們嘗試執行之 API 操作的動作就可以了。 為了確保這些使用者和角色可以使用 Security Hub CSPM 主控台，請將下列 AWS 受管政策連接到實體。如需詳細資訊，請參閱《IAM 使用者指南》**中的[新增許可到使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ## 範例：允許使用者檢視他們自己的許可 此範例會示範如何建立政策，允許 IAM 使用者檢視連接到他們使用者身分的內嵌及受管政策。此政策包含在主控台或使用 或 AWS CLI AWS API 以程式設計方式完成此動作的許可。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 範例：允許使用者建立和管理組態政策 此範例示範如何建立 IAM 政策，允許使用者建立、檢視、更新和刪除組態政策。此範例政策也允許使用者啟動、停止和檢視政策關聯。若要讓此 IAM 政策正常運作，使用者必須是組織的委派 Security Hub CSPM 管理員。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateAndUpdateConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:CreateConfigurationPolicy", "securityhub:UpdateConfigurationPolicy" ], "Resource": "*" }, { "Sid": "ViewConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:GetConfigurationPolicy", "securityhub:ListConfigurationPolicies" ], "Resource": "*" }, { "Sid": "DeleteConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:DeleteConfigurationPolicy" ], "Resource": "*" }, { "Sid": "ViewConfigurationPolicyAssociation", "Effect": "Allow", "Action": [ "securityhub:BatchGetConfigurationPolicyAssociations", "securityhub:GetConfigurationPolicyAssociation", "securityhub:ListConfigurationPolicyAssociations" ], "Resource": "*" }, { "Sid": "UpdateConfigurationPolicyAssociation", "Effect": "Allow", "Action": [ "securityhub:StartConfigurationPolicyAssociation", "securityhub:StartConfigurationPolicyDisassociation" ], "Resource": "*" } ] } ``` ------ ## 範例：允許使用者檢視問題清單 此範例示範如何建立 IAM 政策，允許使用者檢視 Security Hub CSPM 問題清單。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReviewFindings", "Effect": "Allow", "Action": [ "securityhub:GetFindings" ], "Resource": "*" } ] } ``` ------ ## 範例：允許使用者建立和管理自動化規則 此範例示範如何建立 IAM 政策，允許使用者建立、檢視、更新和刪除 Security Hub CSPM 自動化規則。若要讓此 IAM 政策正常運作，使用者必須是 Security Hub CSPM 管理員。若要限制許可，例如，只允許使用者檢視自動化規則，您可以移除建立、更新和刪除許可。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateAndUpdateAutomationRules", "Effect": "Allow", "Action": [ "securityhub:CreateAutomationRule", "securityhub:BatchUpdateAutomationRules" ], "Resource": "*" }, { "Sid": "ViewAutomationRules", "Effect": "Allow", "Action": [ "securityhub:BatchGetAutomationRules", "securityhub:ListAutomationRules" ], "Resource": "*" }, { "Sid": "DeleteAutomationRules", "Effect": "Allow", "Action": [ "securityhub:BatchDeleteAutomationRules" ], "Resource": "*" } ] } ``` ------ # 的服務連結角色 AWS Security Hub CSPM AWS Security Hub CSPM 使用名為 的 AWS Identity and Access Management (IAM) [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)`AWSServiceRoleForSecurityHub`。此服務連結角色是直接連結至 Security Hub CSPM 的 IAM 角色。它由 Security Hub CSPM 預先定義，並包含 Security Hub CSPM 代表您呼叫其他 AWS 服務 和監控 AWS 資源所需的所有許可。Security Hub CSPM 會在提供 AWS 區域 Security Hub CSPM 的所有 中使用此服務連結角色。 服務連結角色可讓您更輕鬆地設定 Security Hub CSPM，因為您不必手動新增必要的許可。Security Hub CSPM 定義其服務連結角色的許可，除非另有定義，否則只有 Security Hub CSPM 可以擔任該角色。定義的許可包括信任政策和許可政策，您無法將該許可政策連接到任何其他 IAM 實體。 若要檢閱服務連結角色的詳細資訊，您可以使用 Security Hub CSPM 主控台。在導覽窗格中，選擇**設定**下的**一般**。然後，在**服務許可**區段中，選擇**檢視服務許可**。 只有在啟用 Security Hub CSPM 的所有區域中停用 Security Hub CSPM 之後，才能刪除 Security Hub CSPM 服務連結角色。這可保護您的 Security Hub CSPM 資源，因為您不會不小心移除存取這些資源的許可。 如需有關支援服務連結角色的其他 服務的資訊，請參閱《[AWS IAM 使用者指南》中的與 IAM 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)，並在**服務連結角色**欄中尋找具有**是**的服務。 **選擇有連結的**是**，以檢閱該服務的服務連結角色文件。 **Topics** + [Security Hub CSPM 的服務連結角色許可](#slr-permissions) + [為 Security Hub CSPM 建立服務連結角色](#create-slr) + [編輯 Security Hub CSPM 的服務連結角色](#edit-slr) + [刪除 Security Hub CSPM 的服務連結角色](#delete-slr) + [AWS Security Hub V2 的服務連結角色](#slr-permissions-v2) ## Security Hub CSPM 的服務連結角色許可 Security Hub CSPM 使用名為 的服務連結角色`AWSServiceRoleForSecurityHub`。這是 AWS Security Hub CSPM 存取 資源所需的服務連結角色。此服務連結角色可讓 Security Hub CSPM 執行任務，例如從其他 接收問題清單， AWS 服務 並設定必要的 AWS Config 基礎設施來執行控制項的安全檢查。`AWSServiceRoleForSecurityHub` 服務連結角色信任 `securityhub.amazonaws.com` 服務來擔任該角色。 `AWSServiceRoleForSecurityHub` 服務連結角色使用受管政策 [`AWSSecurityHubServiceRolePolicy`](security-iam-awsmanpol.md#security-iam-awsmanpol-awssecurityhubservicerolepolicy)。 您必須授予許可，以允許 IAM 身分 （例如角色、群組或使用者） 建立、編輯或刪除服務連結角色。若要成功建立`AWSServiceRoleForSecurityHub`服務連結角色，您用來存取 Security Hub CSPM 的 IAM 身分必須具有必要的許可。若要授予必要許可，請將下列政策連接至 IAM 身分。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ## 為 Security Hub CSPM 建立服務連結角色 `AWSServiceRoleForSecurityHub` 服務連結角色會在您第一次啟用 Security Hub CSPM 時自動建立，或在先前未啟用該角色的區域中啟用 Security Hub CSPM。您也可以使用 IAM 主控台、IAM CLI 或 IAM API 手動建立`AWSServiceRoleForSecurityHub`服務連結角色。如需有關手動建立角色的詳細資訊，請參閱《IAM 使用者指南》**中的[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。 **重要** 為 Security Hub CSPM 管理員帳戶建立的服務連結角色不適用於相關聯的 Security Hub CSPM 成員帳戶。 ## 編輯 Security Hub CSPM 的服務連結角色 Security Hub CSPM 不允許您編輯`AWSServiceRoleForSecurityHub`服務連結角色。因為可能有各種實體會參考服務連結角色，所以您無法在建立角色之後變更其名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ## 刪除 Security Hub CSPM 的服務連結角色 若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。這樣就不會有未積極監控或維護的未使用實體。 當您停用 Security Hub CSPM 時，Security Hub CSPM 不會自動為您刪除`AWSServiceRoleForSecurityHub`服務連結角色。如果您再次啟用 Security Hub CSPM，則服務可以再次開始使用現有的服務連結角色。如果您不再需要使用 Security Hub CSPM，您可以手動刪除服務連結角色。 **重要** 刪除`AWSServiceRoleForSecurityHub`服務連結角色之前，您必須先在啟用該角色的所有區域中停用 Security Hub CSPM。如需詳細資訊，請參閱[停用 Security Hub CSPM](securityhub-disable.md)。如果您在嘗試刪除服務連結角色時未停用 Security Hub CSPM，則刪除會失敗。 若要刪除`AWSServiceRoleForSecurityHub`服務連結角色，您可以使用 IAM 主控台、IAM CLI 或 IAM API。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 ## AWS Security Hub V2 的服務連結角色 使用名為 的服務連結角色`AWSServiceRoleForSecurityHubV2`。此服務連結角色允許 代表您管理組織的 AWS Config 規則和資源。`AWSServiceRoleForSecurityHubV2` 服務連結角色信任 `securityhub.amazonaws.com` 服務來擔任該角色。 `AWSServiceRoleForSecurityHubV2` 服務連結角色使用受管政策 [`AWSSecurityHubV2ServiceRolePolicy`](security-iam-awsmanpol.md#security-iam-awsmanpol-awssecurityhubv2servicerolepolicy)。 **許可詳細資訊** 此政策包含以下許可： + `cloudwatch` – 允許角色擷取指標資料，以支援資源的計量功能。 + `config` – 允許角色管理 資源的服務連結組態記錄器，包括對全域 AWS Config 記錄器的支援。 + `ecr` – 允許角色擷取有關 Amazon Elastic Container Registry 映像和儲存庫的資訊，以支援計量功能。 + `iam` – 允許角色為 建立服務連結角色， AWS Config 並擷取帳戶資訊以支援計量功能。 + `lambda` – 允許角色擷取 AWS Lambda 函數資訊以支援計量功能。 + `organizations` – 允許角色擷取組織的帳戶和組織單位 (OU) 資訊。 + `securityhub` – 允許角色管理組態。 + `tag` – 允許角色擷取資源標籤的相關資訊。 您必須授予許可，以允許 IAM 身分 （例如角色、群組或使用者） 建立、編輯或刪除服務連結角色。若要成功建立`AWSServiceRoleForSecurityHubV2`服務連結角色，您用來存取的 IAM 身分必須具有必要的許可。若要授予必要許可，請將下列政策連接至 IAM 身分。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ### 為 AWS Security Hub V2 建立服務連結角色 當您第一次啟用 或在先前未啟用的服務連結角色區域中啟用 時，會自動建立`AWSServiceRoleForSecurityHubV2`服務連結角色。您也可以使用 IAM 主控台、IAM CLI 或 IAM API 手動建立`AWSServiceRoleForSecurityHubV2`服務連結角色。如需有關手動建立角色的詳細資訊，請參閱《IAM 使用者指南》**中的[建立服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。 **重要** 為管理員帳戶建立的服務連結角色不適用於相關聯的成員帳戶。 ### 編輯 AWS Security Hub V2 的服務連結角色 不允許您編輯`AWSServiceRoleForSecurityHubV2`服務連結角色。因為可能有各種實體會參考服務連結角色，所以您無法在建立角色之後變更其名稱。然而，您可使用 IAM 來編輯角色描述。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[編輯服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)。 ### 刪除 AWS Security Hub V2 的服務連結角色 若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。這樣就不會有未積極監控或維護的未使用實體。 當您停用 時， 不會自動為您刪除`AWSServiceRoleForSecurityHubV2`服務連結角色。如果您再次啟用 ，則服務可以再次開始使用現有的服務連結角色。如果您不再需要使用 ，您可以手動刪除服務連結角色。 **重要** 刪除`AWSServiceRoleForSecurityHubV2`服務連結角色之前，您必須先在啟用該角色的所有區域中停用 。如需詳細資訊，請參閱[停用 Security Hub CSPM](securityhub-disable.md)。當您嘗試刪除服務連結角色時，如未停用 ，刪除會失敗。 若要刪除`AWSServiceRoleForSecurityHubV2`服務連結角色，您可以使用 IAM 主控台、IAM CLI 或 IAM API。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[刪除服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 # AWS Security Hub 的 受管政策 AWS 受管政策是由 AWS AWS 受管政策建立和管理的獨立政策旨在為許多常用案例提供許可，以便您可以開始將許可指派給使用者、群組和角色。 請記住， AWS 受管政策可能不會授予特定使用案例的最低權限許可，因為這些許可可供所有 AWS 客戶使用。我們建議您定義特定於使用案例的[客戶管理政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)，以便進一步減少許可。 您無法變更 AWS 受管政策中定義的許可。如果 AWS 更新受 AWS 管政策中定義的許可，則更新會影響政策連接的所有主體身分 （使用者、群組和角色）。當新的 AWS 服務 啟動或新的 API 操作可供現有服務使用時， AWS 最有可能更新 AWS 受管政策。 如需詳細資訊，請參閱 *IAM 使用者指南*中的 [AWS 受管政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 ## AWS 受管政策： AWSSecurityHubFullAccess 您可將 `AWSSecurityHubFullAccess` 政策連接到 IAM 身分。 此政策會授予管理許可，允許委託人完整存取所有 Security Hub CSPM 動作。此政策必須連接到委託人，才能為其帳戶手動啟用 Security Hub CSPM。例如，具有這些許可的主體可以檢視和更新調查結果的狀態。他們也可以設定自訂洞見、啟用整合，以及啟用和停用標準和控制項。管理員帳戶的主體也可以管理成員帳戶。 **許可詳細資訊** 此政策包含以下許可： + `securityhub` – 允許主體完整存取所有 Security Hub CSPM 動作。 + `guardduty` – 允許主體在 Amazon GuardDuty 中執行偵測器、組織管理員管理、成員帳戶管理以及全組織組態的完整生命週期管理。這包括 API 動作：GetDetector、ListDetector、CreateDetector、UpdateDetector、DeleteDetector、EnableOrganizationAdminAccount、ListOrganizationAdminAccounts、CreateMembers、UpdateOrganizationConfiguration、DescribeOrganizationConfiguration。 + `iam` – 允許主體為 Security Hub CSPM 和 Security Hub 建立服務連結角色，並取得角色、政策和政策版本。 + `inspector` – 允許主體取得帳戶狀態的相關資訊、啟用或停用、委派管理員管理，以及在 Amazon Inspector 中執行組織組態管理。這包括 API 動作：BatchGetAccountStatus、Enable、Disable、EnableDelegatedAdminAccount、DisableDelegatedAdminAccount、ListDelegatedAdminAccounts、UpdateOrganizationConfiguration、DescribeOrganizationConfiguration。 + `pricing` – 允許主體取得 AWS 服務 和 產品的價目表。 + `account` – 允許主體取得帳戶區域的相關資訊，以支援 Security Hub 中的區域管理。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubFullAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubFullAccess.html)》中的 。 ## AWS 受管政策： AWSSecurityHubReadOnlyAccess 您可將 `AWSSecurityHubReadOnlyAccess` 政策連接到 IAM 身分。 此政策授予唯讀許可，允許使用者檢視 Security Hub CSPM 中的資訊。附加此政策的委託人無法在 Security Hub CSPM 中進行任何更新。例如，具有這些許可的主體可以檢視與其帳戶相關聯的問題清單，但無法變更問題清單的狀態。他們可以檢視洞見的結果，但無法建立或設定自訂洞見。他們無法設定控制項或產品整合。 **許可詳細資訊** 此政策包含以下許可： + `securityhub` – 允許使用者執行傳回項目清單或項目詳細資訊的動作。這包括以 `Get`、 `List`或 開頭的 API 操作`Describe`。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubReadOnlyAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubReadOnlyAccess.html)》中的 。 ## AWS 受管政策： AWSSecurityHubOrganizationsAccess 您可將 `AWSSecurityHubOrganizationsAccess` 政策連接到 IAM 身分。 此政策授予管理許可，以啟用和管理 中組織的 Security Hub、Security Hub CSPM、Amazon GuardDuty 和 Amazon Inspector AWS Organizations。此政策的許可允許組織管理帳戶指定 Security Hub、Security Hub CSPM、Amazon GuardDuty 和 Amazon Inspector 的委派管理員帳戶。它們也允許委派管理員帳戶將組織帳戶啟用為成員帳戶。 此政策僅提供 的許可 AWS Organizations。組織管理帳戶和委派管理員帳戶也需要相關聯動作的許可。您可以使用 `AWSSecurityHubFullAccess`受管政策授予這些許可。 在管理帳戶中建立或更新委派管理員政策需要此政策中未提供的其他許可。若要執行這些動作，建議新增許可`organizations:PutResourcePolicy`或連接 AWSOrganizationsFullAccess 政策。 **許可詳細資訊** 此政策包含以下許可： + `organizations:ListAccounts` – 允許主體擷取屬於組織一部分的帳戶清單。 + `organizations:DescribeOrganization` – 允許主體擷取組織的相關資訊。 + `organizations:ListRoots` – 允許主體列出組織的根目錄。 + `organizations:ListDelegatedAdministrators` – 允許主體列出組織的委派管理員。 + `organizations:ListAWSServiceAccessForOrganization` – 允許主體列出 AWS 服務 組織使用的 。 + `organizations:ListOrganizationalUnitsForParent` – 允許主體列出父 OU 的子組織單位 (OU)。 + `organizations:ListAccountsForParent` – 允許主體列出父 OU 的子帳戶。 + `organizations:ListParents` – 列出做為指定子 OUs 或帳戶直接父項的根或組織單位 (OU)。 + `organizations:DescribeAccount` – 允許主體擷取組織中帳戶的相關資訊。 + `organizations:DescribeOrganizationalUnit` – 允許主體擷取組織中 OU 的相關資訊。 + `organizations:ListPolicies` – 擷取組織中指定類型的所有政策清單。 + `organizations:ListPoliciesForTarget` – 列出直接連接到指定目標根目錄、組織單位 (OU) 或帳戶的政策。 + `organizations:ListTargetsForPolicy` – 列出指定政策連接的所有根目錄、組織單位 (OUs) 和帳戶。 + `organizations:EnableAWSServiceAccess` – 允許主體啟用與 Organizations 的整合。 + `organizations:RegisterDelegatedAdministrator` – 允許主體指定委派的管理員帳戶。 + `organizations:DeregisterDelegatedAdministrator` – 允許主體移除委派的管理員帳戶。 + `organizations:DescribePolicy` – 擷取政策的相關資訊。 + `organizations:DescribeEffectivePolicy` – 傳回指定政策類型和帳戶的有效政策內容。 + `organizations:CreatePolicy` – 建立可連接至根目錄、組織單位 (OU) 或個別 AWS 帳戶之指定類型的政策。 + `organizations:UpdatePolicy` – 使用新名稱、描述或內容更新現有政策。 + `organizations:DeletePolicy` – 從您的組織刪除指定的政策。 + `organizations:AttachPolicy` – 將政策連接至根帳戶、組織單位 (OU) 或個別帳戶。 + `organizations:DetachPolicy` – 從目標根目錄、組織單位 (OU) 或帳戶分離政策。 + `organizations:EnablePolicyType` – 在根目錄中啟用政策類型。 + `organizations:DisablePolicyType` – 在根目錄中停用組織政策類型。 + `organizations:TagResource` – 將一或多個標籤新增至指定的資源。 + `organizations:UntagResource` – 從指定的資源移除具有指定金鑰的任何標籤。 + `organizations:ListTagsForResource` – 列出連接至指定資源的標籤。 + `organizations:DescribeResourcePolicy` – 擷取資源政策的相關資訊。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubOrganizationsAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubOrganizationsAccess.html)》中的 。 ## AWS 受管政策： AWSSecurityHubServiceRolePolicy 您不得將 `AWSSecurityHubServiceRolePolicy` 連接到 IAM 實體。此政策會連接到服務連結角色，允許 Security Hub CSPM 代表您執行動作。如需詳細資訊，請參閱[的服務連結角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 此政策會授予管理許可，允許服務連結角色執行任務，例如執行 Security Hub CSPM 控制項的安全檢查。 **許可詳細資訊** 此政策包含以下許可： + `cloudtrail` – 擷取 CloudTrail 追蹤的相關資訊。 + `cloudwatch` – 擷取目前的 CloudWatch 警示。 + `logs` – 擷取 CloudWatch 日誌的指標篩選條件。 + `sns` – 擷取 SNS 主題的訂閱清單。 + `config` – 擷取組態記錄器、資源和 AWS Config 規則的相關資訊。也允許服務連結角色建立和刪除 AWS Config 規則，並根據規則執行評估。 + `iam` – 擷取和產生帳戶的登入資料報告。 + `organizations` – 擷取組織的帳戶和組織單位 (OU) 資訊。 + `securityhub` – 擷取如何設定 Security Hub CSPM 服務、標準和控制項的相關資訊。 + `tag` – 擷取資源標籤的相關資訊。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubServiceRolePolicy.html)》中的 。 ## AWS 受管政策： AWSSecurityHubV2ServiceRolePolicy **注意** Security Hub 處於預覽版本，可能會有所變更。 此政策允許 Security Hub 代表您管理組織的 AWS Config 規則和 Security Hub 資源。此政策會連接到服務連結角色，允許服務代表您執行動作。無法將此政策附接到 IAM 身分。如需詳細資訊，請參閱[的服務連結角色 AWS Security Hub CSPM](using-service-linked-roles.md)。 **許可詳細資訊** 此政策包含以下許可： + `cloudwatch` – 擷取指標資料以支援 Security Hub 資源的計量功能。 + `config` – 管理 Security Hub 資源的服務連結組態記錄器，包括對全域 Config 記錄器的支援。 + `ecr` – 擷取有關 Amazon Elastic Container Registry 映像和儲存庫的資訊，以支援計量功能。 + `iam` – 建立 的服務連結角色， AWS Config 並擷取帳戶資訊以支援計量功能。 + `lambda` – 擷取 AWS Lambda 函數資訊以支援計量功能。 + `organizations` – 擷取組織的帳戶和組織單位 (OU) 資訊。 + `securityhub` – 管理 Security Hub 組態。 + `tag` – 擷取資源標籤的相關資訊。 若要檢閱此政策的許可，請參閱《 *AWS 受管政策參考指南*[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubV2ServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubV2ServiceRolePolicy.html)》中的 。 ## AWS 受管政策的 Security Hub 更新 下表提供自此服務開始追蹤這些變更以來， AWS Security Hub 和 Security Hub CSPM AWS 受管政策更新的詳細資訊。如需政策更新的自動提醒，請訂閱 [Security Hub 文件歷史記錄](doc-history.md)頁面上的 RSS 摘要。 | 變更 | 描述 | Date | | --- | --- | --- | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) – 更新的政策 | Security Hub 已更新政策，新增描述資源政策以支援 Security Hub 功能的許可。Security Hub 處於預覽版本，可能會有所變更。 | 2025 年 11 月 12 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess) – 更新的政策 | Security Hub 已更新政策，新增管理 GuardDuty、Amazon Inspector 和帳戶管理的功能，以支援 Security Hub 功能。Security Hub 處於預覽版本，可能會有所變更。 | 2025 年 11 月 17 日 | | [AWSSecurityHubV2ServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubv2servicerolepolicy) – 已更新政策 | Security Hub 已更新政策，為 Amazon Elastic Container Registry AWS Lambda、Amazon CloudWatch 和 新增計量功能 AWS Identity and Access Management ，以支援 Security Hub 功能。更新也新增了對全域 AWS Config 記錄器的支援。Security Hub 處於預覽版本，可能會有所變更。 | 2025 年 11 月 5 日 | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) – 更新現有政策 | Security Hub 已將新許可新增至政策。許可允許組織管理為組織啟用和管理 Security Hub 和 Security Hub CSPM。 | 2025 年 6 月 17 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess) – 更新現有政策 | Security Hub CSPM 新增了新的許可，允許主體為 Security Hub 建立服務連結角色。 | 2025 年 6 月 17 日 | | [AWSSecurityHubFullAccess ](#security-iam-awsmanpol-awssecurityhubfullaccess) – 更新現有政策 | Security Hub CSPM 已更新政策，以取得 AWS 服務 和 產品的定價詳細資訊。 | 2024 年 4 月 24 日 | | [AWSSecurityHubReadOnlyAccess ](#security-iam-awsmanpol-awssecurityhubreadonlyaccess) – 更新現有政策 | Security Hub CSPM 透過新增Sid欄位來更新此受管政策。 | 2024 年 2 月 22 日 | | [AWSSecurityHubFullAccess ](#security-iam-awsmanpol-awssecurityhubfullaccess) – 更新現有政策 | Security Hub CSPM 已更新政策，因此可以判斷帳戶中是否啟用 Amazon GuardDuty 和 Amazon Inspector。這有助於客戶整合來自多個 的安全相關資訊 AWS 服務。 | 2023 年 11 月 16 日 | | [AWSSecurityHubOrganizationsAccess ](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) – 更新現有政策 | Security Hub CSPM 已更新政策，授予其他許可，以允許對委派管理員功能進行 AWS Organizations 唯讀存取。這包括根目錄、組織單位 OUs)、帳戶、組織結構和服務存取等詳細資訊。 | 2023 年 11 月 16 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 更新至現有政策 | Security Hub CSPM 新增了 BatchGetSecurityControls、 和 UpdateSecurityControl許可DisassociateFromAdministratorAccount，以讀取和更新可自訂的安全控制屬性。 | 2023 年 11 月 26 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 更新至現有政策 | Security Hub CSPM 新增了讀取與問題清單相關資源標籤的tag:GetResources許可。 | 2023 年 11 月 7 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 更新至現有政策 | Security Hub CSPM 新增BatchGetStandardsControlAssociations了許可，以取得有關標準中控制項啟用狀態的資訊。 | 2023 年 9 月 27 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 更新至現有政策 | Security Hub CSPM 新增了取得 AWS Organizations 資料以及讀取和更新 Security Hub CSPM 組態的新許可，包括標準和控制項。 | 2023 年 9 月 20 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 更新至現有政策 | Security Hub CSPM 將現有config:DescribeConfigRuleEvaluationStatus許可移至政策中的不同陳述式。config:DescribeConfigRuleEvaluationStatus 許可現在會套用至所有資源。 | 2023 年 3 月 17 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 更新至現有政策 | Security Hub CSPM 將現有config:PutEvaluations許可移至政策中的不同陳述式。config:PutEvaluations 許可現在會套用至所有資源。 | 2021 年 7 月 14 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 更新至現有政策 | Security Hub CSPM 新增了允許服務連結角色將評估結果交付至其中的許可 AWS Config。 | 2021 年 6 月 29 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 已新增至受管政策清單 | 新增了受管政策 AWSSecurityHubServiceRolePolicy 的相關資訊，由 Security Hub CSPM 服務連結角色使用。 | 2021 年 6 月 11 日 | | [AWSSecurityHubOrganizationsAccess ](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) – 新政策 | Security Hub CSPM 新增了一項新政策，授予 Security Hub CSPM 與 Organizations 整合所需的許可。 | 2021 年 3 月 15 日 | | Security Hub CSPM 已開始追蹤變更 | Security Hub CSPM 開始追蹤其 AWS 受管政策的變更。 | 2021 年 3 月 15 日 | # 對 AWS Security Hub CSPM 身分和存取進行故障診斷 使用以下資訊來協助您診斷和修正使用 AWS Security Hub CSPM 和 IAM 時可能遇到的常見問題。 **Topics** + [我無權在 Security Hub CSPM 中執行動作](#security_iam_troubleshoot-no-permissions) + [我未獲得執行 iam:PassRole 的授權](#security_iam_troubleshoot-passrole) + [我想要以程式設計方式存取 Security Hub CSPM](#security_iam_troubleshoot-access-keys) + [我是管理員，想要允許其他人存取 Security Hub CSPM](#security_iam_troubleshoot-admin-delegate) + [我想要允許 以外的人員 AWS 帳戶 存取我的 Security Hub CSPM 資源](#security_iam_troubleshoot-cross-account-access) ## 我無權在 Security Hub CSPM 中執行動作 如果 AWS 管理主控台 告知您無權執行 動作，則必須聯絡您的管理員尋求協助。您的管理員是為您提供簽署憑證的人員。 當使用者`mateojackson`嘗試使用主控台檢視*小工具*的詳細資訊，但沒有`securityhub:GetWidget`許可時，會發生下列範例錯誤。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: securityhub:GetWidget on resource: my-example-widget ``` 在此情況下，Mateo 會請求管理員更新他的政策，允許他使用 `my-example-widget` 動作存取 `securityhub:GetWidget` 資源。 ## 我未獲得執行 iam:PassRole 的授權 如果您收到錯誤，告知您無權執行 `iam:PassRole`動作，您的政策必須更新，以允許您將角色傳遞至 Security Hub。 有些 AWS 服務 可讓您將現有角色傳遞給該服務，而不是建立新的服務角色或服務連結角色。如需執行此作業，您必須擁有將角色傳遞至該服務的許可。 當名為 的 IAM `marymajor` 使用者嘗試使用主控台在 Security Hub 中執行動作時，會發生下列範例錯誤。但是，動作請求服務具備服務角色授予的許可。Mary 沒有將角色傳遞給服務的許可。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在這種情況下，Mary 的政策必須更新，允許她執行 `iam:PassRole` 動作。 如果您需要協助，請聯絡您的 AWS 管理員。您的管理員提供您的簽署憑證。 ## 我想要以程式設計方式存取 Security Hub CSPM 如果使用者想要與 AWS 外部互動，則需要程式設計存取 AWS 管理主控台。授予程式設計存取權的方式取決於正在存取的使用者類型 AWS。 若要授予使用者程式設計存取權，請選擇下列其中一個選項。 **** | 哪個使用者需要程式設計存取權？ | 到 | 根據 | | --- | --- | --- | | IAM | （建議） 使用主控台登入資料做為臨時登入資料，以簽署對 AWS CLI、 AWS SDKs程式設計請求。 AWS APIs | 請依照您要使用的介面所提供的指示操作。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/securityhub/latest/userguide/security_iam_troubleshoot.html) | | 人力資源身分 (IAM Identity Center 中管理的使用者) | 使用暫時登入資料簽署對 AWS CLI、 AWS SDKs程式設計請求。 AWS APIs | 請依照您要使用的介面所提供的指示操作。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/securityhub/latest/userguide/security_iam_troubleshoot.html) | | IAM | 使用暫時登入資料簽署對 AWS CLI、 AWS SDKs程式設計請求。 AWS APIs | 遵循《IAM 使用者指南》中[將臨時登入資料與 AWS 資源](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_use-resources.html)搭配使用的指示。 | | IAM | (不建議使用)使用長期憑證簽署對 AWS CLI、 AWS SDKs程式設計請求。 AWS APIs | 請依照您要使用的介面所提供的指示操作。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/securityhub/latest/userguide/security_iam_troubleshoot.html) | ## 我是管理員，想要允許其他人存取 Security Hub CSPM 若要提供存取權，請新增權限至您的使用者、群組或角色： + 中的使用者和群組 AWS IAM Identity Center： 建立權限合集。請按照《*AWS IAM Identity Center 使用者指南*》中的[建立權限合集](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtocreatepermissionset.html)說明進行操作。 + 透過身分提供者在 IAM 中管理的使用者： 建立聯合身分的角色。遵循《*IAM 使用者指南*》的[為第三方身分提供者 (聯合) 建立角色](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-idp.html)中的指示。 + IAM 使用者： + 建立您的使用者可擔任的角色。請按照《*IAM 使用者指南*》的[為 IAM 使用者建立角色](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-user.html)中的指示。 + (不建議) 將政策直接附加至使用者，或將使用者新增至使用者群組。請遵循《*IAM 使用者指南*》的[新增許可到使用者 (主控台)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) 中的指示。 ## 我想要允許 以外的人員 AWS 帳戶 存取我的 Security Hub CSPM 資源 您可以建立一個角色，讓其他帳戶中的使用者或您組織外部的人員存取您的資源。您可以指定要允許哪些信任物件取得該角色。針對支援基於資源的政策或存取控制清單 (ACL) 的服務，您可以使用那些政策來授予人員存取您的資源的許可。 如需進一步了解，請參閱以下內容： + 若要了解 Security Hub 是否支援這些功能，請參閱 [Security Hub 如何與 IAM 搭配使用](security_iam_service-with-iam.md)。 + 若要了解如何 AWS 帳戶 在您擁有的 資源之間提供存取權，請參閱《[IAM 使用者指南》中的在您擁有 AWS 帳戶 的另一個 IAM 使用者中提供存取權](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)。 ** + 若要了解如何將資源的存取權提供給第三方 AWS 帳戶，請參閱《*IAM 使用者指南*》中的[將存取權提供給第三方 AWS 帳戶 擁有](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)。 + 如需了解如何透過聯合身分提供存取權，請參閱《*IAM 使用者指南*》中的[將存取權提供給在外部進行身分驗證的使用者 (聯合身分)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 如需了解使用角色和資源型政策進行跨帳戶存取之間的差異，請參閱《*IAM 使用者指南*》中的 [IAM 中的跨帳戶資源存取](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 的合規驗證 AWS Security Hub CSPM 若要了解 AWS 服務 是否在特定合規計劃範圍內，請參閱[AWS 服務 合規計劃範圍內](https://aws.amazon.com/compliance/services-in-scope/)然後選擇您感興趣的合規計劃。如需一般資訊，請參閱[AWS 合規計劃](https://aws.amazon.com/compliance/programs/)。 您可以使用 下載第三方稽核報告 AWS Artifact。如需詳細資訊，請參閱[下載報告 in AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html) 您使用 時的合規責任 AWS 服務 取決於資料的機密性、您公司的合規目標，以及適用的法律和法規。如需使用 時合規責任的詳細資訊 AWS 服務，請參閱 [AWS 安全文件](https://docs.aws.amazon.com/security/)。 # AWS Security Hub 中的彈性 AWS 全球基礎設施是以 AWS 區域 和可用區域為基礎建置。區域提供多個分開且隔離的實際可用區域，並以低延遲、高輸送量和高度備援網路連線相互連結。透過可用區域，您可以設計與操作的應用程式和資料庫，在可用區域之間自動容錯移轉而不會發生中斷。可用區域的可用性、容錯能力和擴展能力，均較單一或多個資料中心的傳統基礎設施還高。 如需 AWS 區域 和可用區域的詳細資訊，請參閱 [AWS 全球基礎設施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # 中的基礎設施安全 AWS Security Hub CSPM 作為受管服務， AWS Security Hub CSPM 受到 AWS 全球網路安全的保護。如需 AWS 安全服務以及如何 AWS 保護基礎設施的資訊，請參閱[AWS 雲端安全](https://aws.amazon.com/security/)。若要使用基礎設施安全的最佳實務來設計您的 AWS 環境，請參閱*安全支柱 AWS Well-Architected Framework* 中的[基礎設施保護](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)。 您可以使用 AWS 發佈的 API 呼叫，透過網路存取 Security Hub CSPM。使用者端必須支援下列專案： + Transport Layer Security (TLS)。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 具備完美轉送私密(PFS)的密碼套件，例如 DHE (Ephemeral Diffie-Hellman)或 ECDHE (Elliptic Curve Ephemeral Diffie-Hellman)。現代系統(如 Java 7 和更新版本)大多會支援這些模式。 # AWS Security Hub CSPM 和介面 VPC 端點 (AWS PrivateLink) 您可以建立介面 VPC *端點*， AWS Security Hub CSPM 在 VPC 和 之間建立私有連線。介面端點採用 [AWS PrivateLink](https://aws.amazon.com/privatelink)技術，可讓您在沒有網際網路閘道、NAT 裝置、VPN 連線或 AWS Direct Connect 連線的情況下，私下存取 Security Hub CSPM APIs。VPC 中的執行個體不需要公有 IP 地址，即可與 Security Hub CSPM APIs 通訊。VPC 和 Security Hub CSPM 之間的流量不會離開 Amazon 網路。 每個介面端點都是由您子網路中的一或多個[彈性網路介面](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html)表示。如需詳細資訊，請參閱[《Amazon Virtual Private Cloud 指南》中的 AWS 服務 使用介面 VPC 端點存取](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html) 。 *Amazon Virtual Private Cloud * ## Security Hub CSPM VPC 端點的考量事項 設定 Security Hub CSPM 的介面 VPC 端點之前，請務必檢閱 [Amazon Virtual Private Cloud 指南](https://docs.aws.amazon.com/vpc/latest/privatelink/what-is-privatelink.html)中的先決條件和其他資訊。 Security Hub CSPM 支援從您的 VPC 呼叫其所有 API 動作。 ## 為 Security Hub CSPM 建立介面 VPC 端點 您可以使用 Amazon VPC 主控台或 AWS Command Line Interface () 為 Security Hub CSPM 服務建立 VPC 端點AWS CLI。如需詳細資訊，請參閱《*Amazon Virtual Private Cloud 指南*》中的[建立 VPC 端點](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint)。 使用下列服務名稱建立 Security Hub CSPM 的 VPC 端點： `com.amazonaws.region.securityhub` 其中 *region* 是適用 的區域代碼 AWS 區域。 如果您為端點啟用私有 DNS，您可以使用 區域的預設 DNS 名稱向 Security Hub CSPM 提出 API 請求，例如，美國東部 `securityhub.us-east-1.amazonaws.com` （維吉尼亞北部） 區域。 ## 為 Security Hub CSPM 建立 VPC 端點政策 您可以將端點政策連接至控制 Security Hub CSPM 存取的 VPC 端點。此政策會指定下列資訊： + 可執行動作的主體。 + 可執行的動作。 + 可供執行動作的資源。 如需詳細資訊，請參閱《*Amazon Virtual Private Cloud 指南》中的*[使用端點政策控制對 VPC 端點的存取](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)。 **範例：Security Hub CSPM 動作的 VPC 端點政策** 以下是 Security Hub CSPM 的端點政策範例。連接到端點時，此政策會授予所有資源上所有委託人的所列 Security Hub CSPM 動作的存取權。 ``` { "Statement":[ { "Principal":"*", "Effect":"Allow", "Action":[ "securityhub:getFindings", "securityhub:getEnabledStandards", "securityhub:getInsights" ], "Resource":"*" } ] } ``` ## 共用子網路 無法在與您共用的子網路中建立、描述、修改或刪除 VPC 端點。不過，可以在與您共用的子網路中使用 VPC 端點。如需 VPC 共用的相關資訊，請參閱《*Amazon Virtual Private Cloud 指南*》中的[與其他帳戶共用 VPC 子網路](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-sharing.html)。