本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 設定 AWS Marketplace 廠商洞見
<a name="vendor-insights-setting-up"></a>

下列程序說明在軟體即服務 (SaaS) 清單上 AWS Marketplace 設定 AWS Marketplace Vendor Insights 的高階步驟。

**在 SaaS 清單上設定 AWS Marketplace Vendor Insights**

1. [建立安全性描述檔](#create-security-profile). 

1. （選用） [上傳認證](#upload-certification)。

1. [上傳自我評估](#upload-self-assessment). 

1. （選用） [啟用 AWS Audit Manager 自動化評估](#enable-audit-manager-assessments)。

## 建立安全性描述檔
<a name="create-security-profile"></a>

安全設定檔可讓您的買方詳細了解軟體產品的安全狀態。安全性描述檔使用相關聯的資料來源，包括自我評估、認證和 AWS Audit Manager 自動化評估。

**注意**  
您可以建立有限數量的安全設定檔。若要建立更多安全性設定檔，請請求提高配額。如需詳細資訊，請參閱 中的[AWS 服務配額](https://docs.aws.amazon.com/general/latest/gr/aws_service_limits.html)*AWS 一般參考*。

**建立安全性設定檔**

1. 使用可存取 AWS Marketplace 賣方帳戶的 IAM 使用者或角色登入。

1. 選擇**產品**，然後選取 **SaaS** 以導覽至 **SaaS 產品**頁面。

1. 選擇**產品**。

1. 選擇 **Vendor Insights** 索引標籤，然後選擇**聯絡支援以新增安全性設定檔**。

1. 完成表單，然後選擇**提交**。

    AWS Marketplace Seller Operations 團隊將建立安全性設定檔。當安全性設定檔就緒時，他們將傳送通知電子郵件訊息給表單上識別的收件人。

## 上傳認證
<a name="upload-certification"></a>

認證是一種資料來源，可在多個維度提供產品安全狀態的證據。 AWS Marketplace Vendor Insights 支援下列認證：
+ FedRAMP 認證 – 驗證是否符合美國政府雲端安全標準
+ GDPR 合規報告 – 示範遵循一般資料保護法規 (GDPR) 要求，保護個人資料和個人隱私權
+ HIPAA 合規報告 – 示範遵循健康保險流通與責任法案 (HIPAA) 法規，以保護受保護的健康資訊
+ ISO/IEC 27001 稽核報告 – 確認符合國際標準化組織 (ISO)/國際電工委員會 (IEC) 27001，強調資訊安全標準
+ PCI DSS 稽核報告 – 示範符合 PCI 安全標準委員會設定的安全標準
+ SOC 2 類型 2 稽核報告 – 確認符合服務組織控制 (SOC) 資料隱私權和安全控制

**上傳憑證**

1. 在 **Vendor Insights** 索引標籤上，導覽至**資料來源**區段。

1. 在**憑證**下，選擇**上傳憑證**。

1. 在**憑證詳細資訊**下，提供請求的資訊並上傳憑證。

1. （選用） 在**標籤**下，新增標籤。
**注意**  
如需標籤的相關資訊，請參閱[《標記 AWS 資源使用者指南](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html)*》中的標記您的 AWS 資源*。

1. 選擇**上傳憑證**。
**注意**  
認證會自動與目前的安全性描述檔建立關聯。您也可以關聯已上傳的憑證。在產品詳細資訊頁面上，選擇**憑證下的關聯****憑證**，從清單中選擇憑證，然後選擇**關聯憑證**。  
在上傳認證之後，只要可以使用產品詳細資訊頁面上的**下載認證**按鈕，就可以下載認證。您也可以使用**更新認證**按鈕來更新認證的詳細資訊。

   認證狀態會變更為 **ValidationPending**，直到驗證認證詳細資訊為止。處理資料來源期間和之後會出現替代狀態：
   + **可用 **– 資料來源已上傳且系統驗證已成功完成。
   + **AccessDenied** – 資料來源的外部來源參考不再可供 AWS Marketplace Vendor Insights 讀取。
   + **ResourceNotFound** – 資料來源的外部來源參考不再可供 VendorInsights 讀取。
   + **ResourceNotSupported** – 已上傳資料來源，但尚未支援提供的來源。如需驗證錯誤的詳細資訊，請參閱 狀態訊息。
   + **ValidationPending** – 資料來源已上傳，但系統驗證仍在執行中。在此階段，您沒有任何動作項目。狀態已更新為可用、ResourceNotSupported 或 ValidationFailed。
   + **ValidationFailed** – 資料來源已上傳，但系統驗證因一或多個原因而失敗。如需驗證錯誤的詳細資訊，請參閱 狀態訊息。

## 上傳自我評估
<a name="upload-self-assessment"></a>

自我評定是一種資料來源，可提供產品安全狀態的證據。 AWS Marketplace Vendor Insights 支援下列自我評定：
+ AWS Marketplace Vendor Insights 自我評定
+ 共識評估計畫問卷 (CAIQ)。如需詳細資訊，請參閱 Cloud Security Alliance 網站上的[什麼是 CAIQ](https://cloudsecurityalliance.org/blog/2021/09/01/what-is-caiq)。

**上傳自我評定**

1. 在 https：//[https://console.aws.amazon.com/marketplace](https://console.aws.amazon.com/marketplace) 開啟 AWS Marketplace 主控台。

1. 在 **Vendor Insights** 索引標籤上，導覽至**資料來源**區段。

1. 在**自我評定**下，選擇**上傳自我評定**。

1. 在**自我評定詳細資訊**下，完成下列資訊：

   1. **名稱** – 輸入自我評定的名稱。

   1. **類型** – 從清單中選擇評估類型。
**注意**  
如果您選擇 **Vendor Insights 安全性自我評定**，請選擇**下載範本**以下載自我評定。為試算表中的每個答案選擇**是**、**否**或**不適用**。

1. 若要上傳已完成的評估，請選擇**上傳自我評定**。

1. （選用） 在**標籤**下，新增標籤。
**注意**  
如需標籤的相關資訊，請參閱[《標記 AWS 資源使用者指南](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html)*》中的標記您的 AWS 資源*。

1. 選擇**上傳自我評定**。
**注意**  
自我評定會自動與目前的安全性設定檔建立關聯。您也可以將已上傳的自我評定建立關聯。在產品詳細資訊頁面上，選擇**自我評定下方的關聯****自我評定**，從清單中選擇自我評定，然後選擇**關聯自我評定**。  
在上傳自我評估後，只要使用產品詳細資訊頁面上的**下載自我評估**按鈕，就可以下載自我評估。您也可以使用**更新自我評估**按鈕來更新自我評估詳細資訊。

   狀態已更新為下列其中一項：
   + **可用** – 資料來源已上傳且系統驗證已成功完成。
   + **AccessDenied** – 資料來源的外部來源參考不再可供 VendorInsights 讀取。
   + **ResourceNotFound** – 資料來源的外部來源參考不再可供 VendorInsights 讀取。
   + **ResourceNotSupported** – 已上傳資料來源，但尚未支援提供的來源。如需驗證錯誤的詳細資訊，請參閱 狀態訊息。
   + **ValidationPending** – 資料來源已上傳，但系統驗證仍在執行中。在此階段，您沒有任何動作項目。狀態已更新為可用、ResourceNotSupported 或 ValidationFailed。
   + **ValidationFailed** – 資料來源已上傳，但系統驗證因一或多個原因而失敗。如需驗證錯誤的詳細資訊，請參閱 狀態訊息。

## 啟用 AWS Audit Manager 自動化評估
<a name="enable-audit-manager-assessments"></a>

AWS Marketplace Vendor Insights 使用多個 AWS 服務 自動收集安全性設定檔的證據。

您需要下列 AWS 服務 和資源才能進行自動化評估：
+ **AWS Audit Manager** – 為了簡化 AWS Marketplace Vendor Insights 設定，我們使用 CloudFormation Stacks 和 StackSets，負責佈建和設定必要的資源。堆疊集會建立自動評估，其中包含由 自動填入的控制項 AWS Config。

  如需 的詳細資訊 AWS Audit Manager，請參閱[AWS Audit Manager 《 使用者指南》](https://docs.aws.amazon.com/audit-manager/latest/userguide/what-is.html)。
+ **AWS Config** – 堆疊集會 AWS Config 部署一致性套件，以設定必要的 AWS Config 規則。這些規則允許 Audit Manager 自動化評估為該 中 AWS 服務 部署的其他 收集即時證據 AWS 帳戶。如需 AWS Config 功能的詳細資訊，請參閱 [AWS Config 開發人員指南](https://docs.aws.amazon.com/config/latest/developerguide/WhatIsConfig.html)。
**注意**  
與後續月份 AWS Config 相比，您可能會在記錄 的初始月份注意到帳戶中的活動增加。在初始引導程序期間， 會 AWS Config 檢閱您帳戶中您選取要記錄 AWS Config 的所有資源。  
如果您執行暫時性工作負載，您可能會看到 的活動增加， AWS Config 因為它會記錄與建立和刪除這些臨時資源相關的組態變更。*暫時性工作負載*是暫時使用因需要而載入和執行的運算資源。  
暫時性工作負載的範例包括 Amazon Elastic Compute Cloud (Amazon EC2) Spot 執行個體 AWS Auto Scaling、Amazon EMR 任務和 AWS Lambda。為了避免增加執行暫時性工作負載的活動，您可以在 AWS Config 關閉的個別帳戶中執行這些類型的工作負載。此方法可避免增加組態記錄和規則評估。
+ **Amazon S3** – 堆疊集會建立下列兩個 Amazon Simple Storage Service 儲存貯體：
  + **vendor-insights-stack-set-output-bucket-\$1account number\$1** – 此儲存貯體包含堆疊集執行的輸出。Seller AWS Marketplace Operations 團隊會使用輸出來完成您的自動資料來源建立程序。
  + **vendor-insights-assessment-reports-bucket-\$1account number\$1** – 將評估報告 AWS Audit Manager 發佈至此 Amazon S3 儲存貯體。如需發佈評估報告的詳細資訊，請參閱*AWS Audit Manager 《 使用者指南*》中的[評估報告](https://docs.aws.amazon.com/audit-manager/latest/userguide/assessment-reports.html)。

    如需 Amazon S3 功能的詳細資訊，請參閱《[Amazon S3 使用者指南](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Welcome.html)》。
+ **IAM** – 入門堆疊集會在您的帳戶中佈建下列 AWS Identity and Access Management (IAM) 角色：
  + 部署`VendorInsightsPrerequisiteCFT.yml`範本時，它會建立管理員角色 `AWSVendorInsightsOnboardingStackSetsAdmin`和執行角色 `AWSVendorInsightsOnboardingStackSetsExecution`。堆疊集使用管理員角色，將所需的堆疊同時部署到多個 AWS 區域 中。管理員角色會擔任執行角色，在 AWS Marketplace Vendor Insights 設定程序中部署必要的父堆疊和巢狀堆疊。如需自我管理許可的詳細資訊，請參閱*CloudFormation 《 使用者指南*》中的[授予自我管理許可](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-prereqs-self-managed.html)。
  + 此`AWSVendorInsightsRole`角色提供 AWS Marketplace Vendor Insights 讀取 AWS Audit Manager 資源中評估的存取權。 AWS Marketplace Vendor Insights 會在您的 AWS Marketplace Vendor Insights 設定檔的評估上顯示證據。
  + 為 AWS Marketplace Vendor Insights `AWSVendorInsightsOnboardingDelegationRole`提供列出和讀取`vendor-insights-stack-set-output-bucket`儲存貯體中物件的存取權。此功能可讓 AWS Marketplace 目錄操作團隊協助您設定 AWS Marketplace Vendor Insights 設定檔。
  + 此`AWSAuditManagerAdministratorAccess`角色提供管理存取權，以啟用或停用 AWS Audit Manager、更新設定和管理評估、控制項和架構。您或您的團隊可以擔任此角色來採取自動化評估的動作 AWS Audit Manager。

若要啟用 AWS Audit Manager 自動評估，您必須部署加入堆疊。

### 部署加入堆疊
<a name="deploy-onboarding-stacks"></a>

為了簡化 AWS Marketplace Vendor Insights 設定，我們使用 CloudFormation Stacks 和 StackSets，負責佈建和設定必要的資源。如果您有多個帳戶或多個 AWS 區域 SaaS 解決方案，StackSets 可讓您從中央管理帳戶部署入門堆疊。

如需 CloudFormation StackSets 的詳細資訊，請參閱*AWS CloudFormation 《 使用者指南*》中的[使用 CloudFormation StackSets](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/what-is-cfnstacksets.html)。

AWS Marketplace Vendor Insights 設定要求您使用下列 CloudFormation 範本：
+ `VendorInsightsPrerequisiteCFT` – 設定在帳戶中執行 CloudFormation StackSets 所需的管理員角色和許可。在您的賣方帳戶中建立此堆疊。
+ `VendorInsightsOnboardingCFT` – 設定所需的 AWS 服務 ，並設定適當的 IAM 許可。這些許可允許 AWS Marketplace Vendor Insights 收集在您 中執行之 SaaS 產品的資料， AWS 帳戶 並在您的 AWS Marketplace Vendor Insights 設定檔上顯示資料。在透過 StackSets 託管 SaaS 解決方案的賣方帳戶和生產帳戶中建立此堆疊。

#### 建立 VendorInsightsPrerequisiteCFT 堆疊。
<a name="create-prerequisite-cft"></a>

透過執行 `VendorInsightsPrerequisiteCFT` CloudFormation 堆疊，您可以設定 IAM 許可來開始加入堆疊集。

**建立VendorInsightsPrerequisiteCFT堆疊**

1. 檢閱並從 GitHub 網站上的 [AWS Vendor Insights 範本範例儲存庫資料夾](https://github.com/aws-samples/aws-marketplace-vendor-assessment-onboarding)下載最新的`VendorInsightsPrerequisiteCFT.yml`檔案。

1.  AWS 管理主控台 使用您的 AWS Marketplace 賣方帳戶登入 ，然後開啟位於 https：//[https://console.aws.amazon.com/cloudformation](https://console.aws.amazon.com/cloudformation/) 的 CloudFormation 主控台。

1. 在 CloudFormation 主控台導覽窗格中，選擇**堆疊**，然後從下拉式清單中選擇**建立堆疊**和**使用新資源 （標準）**。（如果看不到導覽窗格，請在左上角選取並展開導覽窗格。)

1. 在**指定範本**下，選擇**上傳範本檔案**。若要上傳您下載`VendorInsightsPrerequisiteCFT.yml`的檔案，請使用**選擇檔案**。然後選擇**下一步**。

1. 輸入堆疊的名稱，然後選擇**下一步**。

1. （選用） 視需要設定堆疊選項。

   選擇**下一步**。

1. 在 **Review (檢閱)** 頁面上，檢視您的選擇。若要進行變更，請在您要變更的區域中選擇**編輯**。您必須先選取**功能**區域中的確認核取方塊，才能建立堆疊。

   選擇**提交**。

1. 建立堆疊之後，請選擇**資源**索引標籤，並記下建立的下列角色：
   + `AWSVendorInsightsOnboardingStackSetsAdmin`
   + `AWSVendorInsightsOnboardingStackSetsExecution`

#### 建立VendorInsightsOnboardingCFT堆疊集
<a name="deploy-onboarding-stacks"></a>

透過執行 `VendorInsightsOnboardingCFT` CloudFormation 堆疊集，您可以設定所需的 AWS 服務 並設定適當的 IAM 許可。這可讓 AWS Marketplace Vendor Insights 收集在您 中執行之 SaaS 產品的資料， AWS 帳戶 並將其顯示在您的 AWS Marketplace Vendor Insights 設定檔中。

如果您有多個帳戶解決方案，或如果您有單獨的賣方和生產帳戶，則必須在多個帳戶中部署此堆疊。StackSets 可讓您從建立先決條件堆疊的管理帳戶執行此操作。

堆疊集是使用自我管理許可進行部署。如需詳細資訊，請參閱*AWS CloudFormation 使用者指南*中的[建立具有自我管理許可的堆疊集](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-getting-started-create.html#stacksets-getting-started-create-self-managed)。

**建立VendorInsightsOnboardingCFT堆疊集**

1. 檢閱並從 GitHub 網站上的 [AWS Vendor Insights 範本範例儲存庫資料夾](https://github.com/aws-samples/aws-marketplace-vendor-assessment-onboarding)下載最新的`VendorInsightsOnboardingCFT.yml`檔案。

1.  AWS 管理主控台 使用您的 AWS Marketplace 賣方帳戶登入 ，然後在 https：//[https://console.aws.amazon.com/cloudformation](https://console.aws.amazon.com/cloudformation/) 開啟 CloudFormation 主控台。

1. 在 CloudFormation 主控台導覽窗格中，選擇**建立 StackSet**。（如果看不到導覽窗格，請在左上角選取並展開導覽窗格。)

1. 在**許可**下，針對管理員角色選擇 **IAM 角色名稱**，然後從下拉式清單中選擇角色名稱的 **AWSVendorInsightsOnboardingStackSetsAdmin**。

1. 輸入 **AWSVendorInsightsOnboardingStackSetsExecution**做為 **IAM 執行角色名稱**。

1. 在**指定範本**下，選擇**上傳範本檔案**。若要上傳您下載`VendorInsightsOnboardingCFT.yml`的檔案，請使用**選擇檔案**，然後選擇**下一步**。

1. 提供下列 StackSet 參數，然後選擇**下一步**。
   + `CreateVendorInsightsAutomatedAssessment` – 此參數會在您的 中設定 AWS Audit Manager 自動評估 AWS 帳戶。如果您有個別的管理和生產帳戶，則應該僅針對生產帳戶選取此選項，*而非*針對管理帳戶選取此選項。
   + `CreateVendorInsightsIAMRoles` – 此參數會佈建 IAM 角色，允許 AWS Marketplace Vendor Insights 讀取您 中的評估資料 AWS 帳戶。
   + `PrimaryRegion` – 此參數會設定 SaaS 部署 AWS 區域 的主要參數。這是在您的 中建立 Amazon S3 儲存貯體的區域 AWS 帳戶。如果您的 SaaS 產品只部署到一個區域，則該區域是主要區域。

1. 視需要設定 StackSet 選項。將**執行**組態保留為**非作用中**，然後選擇**下一步**。

1. 設定部署選項。如果您有多個帳戶解決方案，您可以將堆疊集設定為在多個帳戶和區域中部署為單一操作。選擇**下一步**。
**注意**  
如果您有多個帳戶解決方案，*我們不*建議將 部署到所有帳戶做為單一堆疊集。請密切注意步驟 7 中定義的參數。視您要部署的帳戶類型而定，您可能想要啟用或停用某些參數。StackSets 會將相同的參數套用至單一部署中的所有指定帳戶。您可以透過分組堆疊集中的帳戶來縮短部署時間，但您仍然需要針對多個帳戶解決方案部署多次。
**重要**  
如果您要部署到多個區域，您列出的第一個區域必須是 `PrimaryRegion`。將**區域並行**選項保留為**循序**的預設設定。

1. 在 **Review (檢閱)** 頁面上，檢視您的選擇。若要進行變更，請在您要變更的區域中選擇**編輯**。您必須先選取**功能**區域中的確認核取方塊，才能建立堆疊集。

   選擇**提交**。

   堆疊集每個區域大約需要 5 分鐘才能完成。