Organizations に新しいポリシー「Security Hub ポリシー」が追加されていたので試してみる

Last updated at 2025-07-03Posted at 2025-07-03

こんにちは、CSC の平木です！

みなさん、Organizations のポリシーは活用してますか？

今回、Organizations に新しいポリシー「Security Hub ポリシー」が追加されていたので、何ができるのか検証し解説します。

3 行まとめ

Security Hub CSPM ではなく Security Hub を中央集権管理するもの
「リージョンを指定/すべてのリージョン」において「すべてのアカウント/対象の OU 配下のアカウント」の Security Hub を一括で有効化・無効化できる
中央設定とは別物なので注意

Security Hub ポリシーとは

AWS Organizations と連携し、組織全体の Security Hub の設定を一元的に管理・強制できる仕組みです。
管理アカウントまたは委任管理者がポリシーを定義し、組織や OU（組織単位）に適用することで、全アカウントに一貫したセキュリティ基準を自動的に適用できます。

注意事項
AWS Security Hub の有効化または無効化を強制させる作用が働くのであって、
Security Hub CSPM には適用されないのでご注意ください。

主な特徴・メリット

組織全体・複数リージョンで Security Hub を一元管理
新規アカウント追加時も自動でポリシー適用される
OU ごとに柔軟な設定が可能
メンバーアカウントによる設定変更を防止
親ポリシー・子ポリシーの継承で細やかな制御

中央設定との違い

AWS Security Hub CSPM という呼称になる前は、
中央設定により、Organizations 配下の AWS アカウントをまとめて中央集権的に管理できました。

Security Hub が Security Hub と Security Hub CSPM に分離したことにより、
Security Hub CSPM は中央設定で管理し、Security Hub は Security Hub ポリシーにより管理する形となります。

詳しいことはまた次の記事で触れていきたいと思います。

ポリシーの動作・継承

ポリシーはルート OU や各 OU にアタッチし、下位アカウントに継承されます。
複数のポリシーが適用される場合、下位（アカウントに近い）ポリシーが優先されます。
ALL_SUPPORTEDを指定すると、今後追加されるリージョンも自動的にカバーします。
有効化・無効化の両方に同じリージョンが指定された場合は「無効化」が優先されます。（IAM ポリシーと同じですね）

ポリシーの構造

下記は構造の例です。

{
   "securityhub":{
      "enable_in_regions":{
         "@@append  | @@assign | @@remove":[
            "<リージョン名> | ALL_SUPPORTED"
         ]
      },
      "disable_in_regions":{
         "@@append  | @@assign | @@remove":[
            "<リージョン名> | ALL_SUPPORTED"
         ]
      }
   }
}

securityhub
- ポリシー設定のトップレベルコンテナ（決まり文句的なやつ）
enable_in_regions
- Security Hub を有効化するリージョンのリスト
- 空の記載でも可
disable_in_regions
- Security Hub を無効化するリージョンのリスト
- 空の記載でも可
継承演算子（@@assign, @@append, @@remove）
- @@assign: 親ポリシーの値を上書き
- @@append: 親ポリシーの値に追加
- @@remove: 親ポリシーの値から指定したリージョンを削除

やってみた

Organizations 内のポリシータブをクリックすると、Security Hub ポリシーが追加されていることがわかります。

まずはここをクリックします。

「Security Hub ポリシーを有効にする」を押すと機能を有効化できます。

有効化できたらまずサンプルで一個ポリシーを作成していきます。

サンプルとして以下のようにポリシーを作成してみました。

{
  "securityhub": {
    "enable_in_regions": {
      "@@append": [
        "ap-northeast-3"
      ]
    },
    "disable_in_regions": {
      "@@append": [
        "ap-northeast-1"
      ]
    }
  }
}