Pourquoi est-ce que je reçois une erreur AWS Config après avoir activé Security Hub ?

Brève description

Lorsque vous configurez AWS Security Hub, l'une des erreurs suivantes peut s'afficher :

• « AWS Config is not enabled on some accounts. »
• « AWS Config is not enabled in all regions. »
• « An error has occurred with AWS Config. Contact AWS Support. »

Résolution

Utilisez les bonnes pratiques suivantes pour configurer et dépanner AWS Config avec Security Hub.

Remarque : Les règles AWS Config créées par Security Hub n'entraînent aucun frais supplémentaire.

Configurer AWS Config dans la même région que Security Hub

Pour configurer AWS Config, utilisez la console AWS Config dans la région AWS où vous avez activé Security Hub.

Remarque : Si vous avez configuré Security Hub dans plusieurs régions, configurez AWS Config pour chaque région.

Mettre à jour votre stratégie d'enregistrement AWS Config

Votre stratégie d'enregistrement AWS Config doit enregistrer toutes les ressources, y compris les ressources globales de votre région.

Pour mettre à jour votre stratégie d'enregistrement AWS Config, procédez comme suit :

1. Ouvrez la console AWS Config.
2. Dans le volet de navigation, sélectionnez Paramètres.
3. Dans Paramètres, sous Enregistreur, sélectionnez Modifier.
4. Sous Méthode d'enregistrement, dans Stratégie d’enregistrement, sélectionnez Types de ressources spécifiques.
5. Saisissez les informations suivantes :
   Pour Type de ressource, sélectionnez Tous les types de ressources IAM enregistrés au niveau mondial.
   Pour Fréquence, sélectionnez Continu ou Journalier.
6. Sélectionnez Enregistrer.

Les paramètres précédents s'appliquent à tous les comptes AWS que vous avez configurés avec Security Hub, y compris les comptes membres d'AWS Organizations. Il n'est pas nécessaire d'enregistrer tous les types de ressources dans AWS Config. Cependant, assurez-vous d’enregistrer les types de ressources requis pour les contrôles Center for Internet Security (CIS), Bonnes pratiques opérationnelles pour les normes de sécurité de l'industrie des cartes de paiement (PCI DSS - Payment Card Industry Data Security Standard) et AWS Foundational Security Best Practices.

Il n'est pas nécessaire d'activer les ressources globales dans toutes les régions. Pour éviter la duplication des paramètres de configuration, activez les paramètres globaux uniquement dans la même région que Security Hub pour chaque compte.

Remarque : Les réglages de l'enregistreur peuvent prendre jusqu'à 24 heures.

Utiliser la console CloudTrail pour rechercher les messages d'erreur AWS Config

Procédez comme suit :

1. Ouvrez la console AWS CloudTrail et consultez les détails d'un événement.

2. Pour Filter, saisissez l'exemple de syntaxe suivant, puis appuyez sur Entrée :

   EventSource: config.amazonaws.com

3. Résoudre le problème en vous basant sur le message d'erreur.

Informations connexes

AWS Security Hub est maintenant disponible pour tous