为什么打开 Security Hub 后会出现 AWS Config 错误？

简短描述

当您设置 AWS Security Hub 时，可能会收到以下错误之一：

• “AWS Config is not enabled on some accounts.”（某些账户未启用 AWS Config。）
• “AWS Config is not enabled in all regions.”（并非所有区域都启用了 AWS Config。）
• “An error has occurred with AWS Config.Contact AWS Support.”（AWS Config 出现错误。请联系 AWS Support。）

解决方法

按照以下最佳实践通过 Security Hub 配置 AWS Config 并对其进行故障排除。

**注意：**Security Hub 创建的 AWS Config 规则不会产生额外费用。

在与 Security Hub 相同的区域中设置 AWS Config

要设置 AWS Config，请在您开启 Security Hub 的同一 AWS 区域使用 AWS Config 控制台。

**注意：**如果您在多个区域配置了 Security Hub，请为每个区域设置 AWS Config。

更新您的 AWS Config 记录策略

您的 AWS Config 记录策略必须记录所有资源，包括您所在区域的全球资源。

要更新您的 AWS Config 记录策略，请完成以下步骤：

1. 打开 AWS Config 控制台。
2. 在导航窗格中，选择 Settings（设置）。
3. 在 Settings（设置）中的 Recorder（记录器）下，选择 Edit（编辑）。
4. 在 Recording method（记录方法）下，对于 Recording strategy（记录策略），选择 Specific resource types（特定资源类型）。
5. 输入以下信息：
   对于 Resource type（资源类型），选择 All globally recorded IAM resource types（所有全球记录的 IAM 资源类型）。
   对于 Frequency（频率），选择 Continuous（连续）或 Daily（每日）。
6. 选择 Save（保存）。

上述设置适用于您使用 Security Hub 配置的所有 AWS 账户，包括 AWS Organizations 成员账户。您无需在 AWS Config 中记录所有资源类型。但是，请务必记录互联网安全中心 (CIS)、支付卡行业数据安全标准 (PCI DSS) 和 AWS 基础安全最佳实践控制所需的资源类型。

您无需在所有区域开启全球资源。为避免重复的配置设置，请仅在与 Security Hub 相同的区域为每个账户启用全球设置。

**注意：**记录器设置最多可能需要 24 小时才能完成。

使用 CloudTrail 控制台搜索 AWS Config 错误消息

完成以下步骤：

1. 打开 AWS CloudTrail 控制台并查看事件的详细信息。

2. 对于 Filter（筛选器），输入以下示例语法，然后按 Enter：

   EventSource: config.amazonaws.com

3. 根据错误消息对问题进行故障排除。

相关信息

AWS Security Hub 现已正式上线