本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

启用和配置 AWS Config 适用于 Security Hub CSPM

AWS Security Hub CSPM 使用 AWS Config 规则来运行安全检查并生成大多数控件的调查结果。 AWS Config 提供了中 AWS 资源配置的详细视图 AWS 账户。它使用规则为您的资源建立基准配置，并使用配置记录器来检测特定资源是否违反了规则的条件。

有些规则（称为托 AWS Config 管规则）是由预定义和开发的 AWS Config。其他规则是 Security Hub CSPM 开发的自定义 AWS Config 规则。 AWS Config Security Hub CSPM 用于控制的规则称为服务相关规则。 Service-linked AWS 服务 诸如 Security Hub CSPM 之类的规则允许在你的 AWS Config 账户中创建规则。

如果您同时启用了 S AWS ecurity Hub CSPM 和 Security Hub，Security Hub CSPM 会自动创建与服务相关的配置记录器来评估您的安全控制措施。您无需手动启用或配置 AWS Config。有关更多信息，请参阅 使用与服务相关的配置记录器。

如果您在未启用 Security Hub 的情况下启用了 Security Hub CSPM，则必须手动启用 AWS Config 并打开资源记录。有关更多信息，请参阅 手动配置 AWS Config。

使用与服务相关的配置记录器

当你同时启用 S AWS ecurity Hub CSPM 和 Security Hub 时，Security Hub CSPM 会自动在你的账户和区域中创建和管理与服务相关的配置记录器。您无需手动启用或配置 AWS Config。

此配置记录器的名称是AWSConfigurationRecorderForSecurityHubCSPM。Security Hub CSPM 为同时启用 Security Hub CSPM 和 Security Hub 的每个账户和区域创建相应的服务相关配置记录器。当你为新版本启用 Security Hub CSPM 时， AWS 账户 AWS 区域 Security Hub CSPM 会自动创建与服务相关的配置记录器。

Security Hub CSPM 管理与服务相关的配置记录器的资源配置，确保为与 Security Hub 支持的控件相关的所有资源启用录制。有关所需资源的列表，请参阅必填 AWS Config 控制结果的资源。

当 Security Hub CSPM 创建此与服务相关的配置记录器时，Security Hub 不会在中使用客户管理的配置记录器。 AWS Config

有关配置记录器的更多信息，请参阅《AWS Config 开发人员指南》中的使用配置记录器。

手动配置 AWS Config

当您在未启用 Security Hub 的情况下启用 Security Hub CSPM 时，以下步骤适用。在这种情况下，您必须 AWS Config 为您的账户启用资源记录，并针对已启用的控件评估的资源类型开启资源记录。完成此操作后，Security Hub CSPM 会创建相应的 AWS Config 规则并开始运行安全检查以生成调查结果。

启用和配置前的注意事项 AWS Config

要在 Security Hub CSPM 中接收控制结果， AWS Config 必须在每个启用 Security Hub CSPM AWS 区域 的地方为你的账户启用控制结果。如果您将 Security Hub CSPM 用于多账户环境，则必须在每个区域中为管理员账户和所有成员账户启用 AWS Config 。

我们强烈建议您在启用任何 Security Hub CSPM 标准和控件 AWS Config 之前，先开启资源记录功能。这有助于确保您的控件调查发现准确无误。

要开启资源记录功能 AWS Config，您必须具有足够的权限才能记录附加到配置记录器的 AWS Identity and Access Management (IAM) 角色中的资源。此外，请确保任何 IAM 策略或 AWS Organizations 策略都不会 AWS Config 阻止您获得记录资源的权限。Security Hub CSPM 控件直接评估资源配置，不考虑 AWS Organizations 策略。有关 AWS Config 记录的更多信息，请参阅《AWS Config 开发人员指南》中的使用配置记录器。

如果您在 Security Hub CSPM 中启用了标准但尚未启用 AWS Config，则 Security Hub CSPM 会尝试按照以下计划创建与服务相关的 AWS Config 规则：

如果您使用集中配置，则每次将启用一个或多个标准的配置策略与账户、组织单位 (OU) 或根关联时，Security Hub CSPM 还会尝试创建与服务相关的 AWS Config 规则。

在中录制资源 AWS Config

启用后 AWS Config，必须指定要 AWS Config 配置记录器记录哪些 AWS 资源。通过服务相关规则，配置记录器允许 Security Hub CSPM 检测对您的资源配置所做的更改。

要使 Security Hub CSPM 生成准确的控件调查发现，您必须在 AWS Config 中为与已启用的控件对应的资源类型启用记录。它主要启用具有变更已触发计划类型的控件，这些控件需要资源记录。某些具有定期计划类型的控件也需要资源记录。有关这些控件及其对应资源的列表，请参阅必填 AWS Config 控制结果的资源。

默认情况下，会 AWS Config 记录它在运行时发现的所有支持的区域资源。 AWS 区域 要接收所有 Security Hub CSPM 控制结果，还必须配置 AWS Config 为记录全局资源。为了节省成本，我们建议仅在一个区域内记录全局资源。如果您使用中心配置或跨区域聚合，则此区域应是您的主区域。

在中 AWS Config，您可以在连续记录和每日记录资源状态变化之间进行选择。如果您选择每日记录，则如果资源状态发生变化，则会在每 24 小时结束时 AWS Config 提供资源配置数据。如果没有任何更改，则不会传送任何数据。这可能会延迟变更触发的控件的 Security Hub CSPM 调查发现的生成，直到 24 小时期限结束。

有关 AWS Config 录制的更多信息，请参阅《AWS Config 开发者指南》中的录制 AWS 资源。

启用和配置的方法 AWS Config

您可以通过以下任一方式启用 AWS Config 和开启资源记录：

有关更多信息，请参阅AWS 安全博客上的以下博客文章：针对 Security Hub CSPM AWS Config 进行 AWS 优化，以有效管理您的云安全状况。

成本注意事项

Security Hub CSPM 可以通过更新 AWS Config 配置项目来影响您的AWS::Config::ResourceCompliance配置记录器成本。每当与 AWS Config 规则关联的 Security Hub CSPM 控件更改合规状态、启用或禁用或更新参数时，都会进行更新。如果您仅将 AWS Config 配置记录器用于 Security Hub CSPM，并且不将此配置项目用于其他用途，我们建议您在中关闭其录制功能。 AWS Config这可以降低您的 AWS Config 成本。您无需为安全检查记录 AWS::Config::ResourceCompliance 即可在 Security Hub CSPM 中工作。

有关与资源记录关联的成本的信息，请参阅 AWS Security Hub CSPM 定价和 AWS Config 定价。

了解 Config.1 控件

在 Security Hub CSPM 中，如果 AWS Config 禁用，该Config.1控件会在你的账户中生成FAILED调查结果。如果 AWS Config 启用了资源记录但未开启资源记录，它还会在您的账户中生成FAILED调查结果。

如果已启用 AWS Config 且资源记录已开启，但未为已启用的控件所检查的资源类型开启资源记录，则 Security Hub CSPM 会为控件生成FAILED查找结果。 Config.1 除了此 FAILED 调查发现外，Security Hub CSPM 还会针对已启用控件以及该控件检查的资源类型生成 WARNING 调查发现。例如，如果您启用KMS.5控件但未为其开启资源记录 AWS KMS keys，则 Security Hub CSPM 会为该 Config.1 控件生成FAILED查找结果。Security Hub CSPM 还会生成 KMS.5控件和您的 KMS 密钥的WARNING调查结果。

要接收 Config.1 控件的PASSED调查结果，请为所有与已启用控件对应的资源类型启用资源记录。同时禁用您的组织不需要的控件。这有助于确保您的安全控件检查中没有配置漏洞。它还有助于确保您收到有关错误配置的资源的准确调查发现。

如果您是某个组织的 Security Hub CSPM 委派管理员，则必须为您的账户和成员账户正确配置 AWS Config 记录。如果您使用跨区域聚合，则必须在主区域和所有关联区域中正确配置 AWS Config 录制。关联区域中无需记录全局资源。

生成服务相关规则

对于每个使用服务相关 AWS Config 规则的控件，Security Hub CSPM 都会在您的环境中创建所需规则的实例。 AWS

这些服务相关规则特定于 Security Hub CSPM。即使已存在相同规则的其他实例，Security Hub CSPM 也会创建这些服务相关规则。服务相关规则在原始规则名称前添加 securityhub，并在规则名称后添加唯一标识符。例如，对于 AWS Config 托管规则vpc-flow-logs-enabled，服务相关规则的名称可能是。securityhub-vpc-flow-logs-enabled-12345

可用于评估控件的 AWS Config 托管规则数量有配额。 AWS Config Security Hub CSPM 创建的规则不计入这些配额。即使您的账户中已达到托管规则的 AWS Config 配额，也可以启用安全标准。要了解有关 AWS Config 规则配额的更多信息，请参阅《AWS Config 开发人员指南》 AWS Config中的服务限制。