Modifica una connessione AWS esistente quando la configurazione dell'ambiente AWS cambia. Ad esempio, vuoi monitorare diverse regioni AWS o modificare l'elenco degli account AWS utilizzati da Security Command Center. Non puoi modificare i nomi
del ruolo delegato e del ruolo raccoglitore. Se devi modificare questi nomi
dei ruoli, devi eliminare il connettore AWS e configurare una nuova connessione.
Nella console Google Cloud , vai alla pagina Security Command Center.
Seleziona l'organizzazione su cui hai attivato Security Command Center Enterprise.
Fai clic su settings Impostazioni.
Fai clic sulla scheda Connettori.
Fai clic su Modifica accanto alla connessione da aggiornare.
Nella pagina Modifica connettore Amazon Web Services, apporta le modifiche. La
tabella seguente descrive le opzioni.
Opzione
Descrizione
Aggiungi account connettore AWS
Seleziona un'opzione in base alle tue preferenze:
Aggiungi account automaticamente (opzione consigliata): seleziona questa opzione per consentire a Security Command Center di rilevare automaticamente gli account AWS.
Aggiungi account singolarmente: seleziona questa opzione per aggiungere manualmente gli account AWS.
Escludi account connettore AWS
Se hai selezionato Aggiungi account automaticamente nella sezione
Aggiungi account connettore AWS, fornisci un elenco di account AWS che
Security Command Center non deve utilizzare per trovare risorse.
Inserisci gli account connettore AWS
Se hai selezionato Aggiungi account singolarmente nella sezione
Aggiungi account connettore AWS, fornisci un elenco di account AWS che
Security Command Center può utilizzare per trovare risorse.
Seleziona le regioni per la raccolta dei dati
Seleziona una o più regioni AWS da cui Security Command Center deve raccogliere i dati. Lascia vuoto il campo
Regioni AWS per raccogliere i dati da tutte le regioni.
Numero massimo di query al secondo (QPS) per i servizi AWS
Puoi modificare le QPS per controllare il limite di quota per
Security Command Center. Imposta l'override su un valore inferiore al
valore predefinito per quel servizio e maggiore o uguale a 1.
Il valore predefinito è il valore massimo. Se modifichi il QPS, Security Command Center potrebbe riscontrare problemi
durante il recupero dei dati. Pertanto, ti sconsigliamo di modificare questo valore.
Endpoint per il servizio token di sicurezza AWS
Puoi specificare un endpoint specifico per il servizio token di sicurezza AWS (ad esempio, https://sts.us-east-2.amazonaws.com). Lascia vuoto il campo Servizio token di sicurezza AWS per utilizzare l'endpoint globale predefinito (https://sts.amazonaws.com).
Se hai modificato l'ID account delegato o l'elenco degli account AWS da includere o escludere, devi aggiornare l'ambiente AWS. Una modifica all'ID account delegato richiede di configurare nuovamente AWS. Una
modifica all'elenco degli account AWS richiede l'aggiunta o la rimozione dei ruoli
del raccoglitore. La rimozione degli account AWS dall'elenco di esclusione, perché vuoi
includerli, richiede l'aggiunta dei ruoli del raccoglitore a questi account.
Completa i seguenti passaggi:
Fai clic su Continua.
Nella pagina Crea connessione con AWS, completa una delle seguenti operazioni:
Se vuoi modificare manualmente la configurazione AWS, seleziona
Usa la console AWS. Copia l'ID agente di servizio, il nome del ruolo delegato e il nome del ruolo raccoglitore. Per istruzioni sull'aggiornamento manuale di AWS, consulta Configurare manualmente gli account AWS.
Se hai aggiunto un account AWS all'elenco degli account AWS da escludere, ti
consigliamo di rimuovere il ruolo di raccoglitore dall'account.
Fai clic su Testa connettore per verificare che Security Command Center possa connettersi
al tuo ambiente AWS. Se la connessione va a buon fine, l'agente di servizio Google Cloudpuò assumere il ruolo delegato e questo ruolo dispone di tutte le autorizzazioni necessarie per assumere il ruolo di raccoglitore. Se la connessione
non va a buon fine, vedi
Risolvere gli errori durante il test della connessione.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-04 UTC."],[],[],null,["| Enterprise [service tier](/security-command-center/docs/service-tiers)\n\nAfter you connect\n[Security Command Center to Amazon Web Services (AWS)](/security-command-center/docs/connect-scc-to-aws)\nfor configuration and resource data collection, you can modify the connection\nsettings.\n\nBefore you begin\n\nComplete these tasks before you complete the remaining tasks on this page.\n\nSet up permissions in Google Cloud\n\n\nTo get the permissions that\nyou need to use the AWS connector,\n\nask your administrator to grant you the\n\n\n[Cloud Asset Owner](/iam/docs/roles-permissions/cloudasset#cloudasset.owner) (`roles/cloudasset.owner`)\nIAM role.\n\n\nFor more information about granting roles, see [Manage access to projects, folders, and organizations](/iam/docs/granting-changing-revoking-access).\n\n\nYou might also be able to get\nthe required permissions through [custom\nroles](/iam/docs/creating-custom-roles) or other [predefined\nroles](/iam/docs/roles-overview#predefined).\n\nCreate AWS accounts\n\nEnsure that you have the following AWS resources:\n\n- An [AWS IAM user](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)\n with [AWS IAM access](https://aws.amazon.com/iam/getting-started/?nc=sn&loc=3)\n for the delegated and collector AWS account consoles.\n\n- The [AWS account ID](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-identifiers.html#FindAccountId)\n for an AWS account that you can use as the delegated account.\n The delegated account must meet the following requirements:\n\n - The delegated account must be attached to an\n [AWS organization](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html#orgs_getting-started_concepts-orgs).\n To attached an account to an AWS organization do the following:\n\n 1. [Create](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_create.html) or identify an organization where you will attach the delegated account.\n 2. Invite the delegated account to [join the organization](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_accounts_invites.html).\n - The delegated account must be one of the following:\n\n - An [AWS management account](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html).\n - An [AWS delegated administrator](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_delegate_policies.html).\n - An AWS account with a [resource-based delegation policy](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_delegate_policies.html#orgs-policy-delegate) that provides the `organizations:ListAccounts` permission. For an example policy, see [Create a resource-based delegation policy with AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs-policy-delegate.html) in the AWS documentation.\n\nModify the AWS connection\n\nModify an existing AWS connection when your AWS environment configuration\nchanges. For example, you want to monitor different AWS regions, or change the\nlist of AWS accounts that Security Command Center uses. You can't modify the names of\nthe delegated role and the collector role. If you need to change these role\nnames, you must delete your AWS connector and set up a new connection.\n\n1. In the Google Cloud console, go to the Security Command Center page.\n\n [Go to Security Command Center](https://console.cloud.google.com/security/command-center/config/services)\n2. Select the organization that you activated Security Command Center Enterprise on.\n\n3. Click **settings Settings**.\n\n4. Click the **Connectors** tab.\n\n5. Click **Edit** beside the connection that you want to update.\n\n6. In the **Edit Amazon Web Services connector** page, make your changes. The\n following table describes the options.\n\n | Option | Description |\n |-------------------------------------------------------|---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|\n | **Add AWS connector accounts** | Select an option, depending on your preference: - **Add accounts automatically (recommended)**: Select this option to let Security Command Center discover the AWS accounts automatically. - **Add accounts individually**: Select this option to manually add AWS accounts yourself. |\n | **Exclude AWS connector accounts** | If you selected **Add accounts automatically** under the **Add AWS connector accounts** section, provide a list of AWS accounts that Security Command Center should not use to find resources. |\n | **Enter AWS connector accounts** | If you selected **Add accounts individually** under the **Add AWS connector accounts** section, provide a list of AWS accounts that Security Command Center can use to find resources. |\n | **Select regions to collect data** | Select one or more AWS regions for Security Command Center to collect data from. Leave the **AWS regions** field empty to collect data from all regions. |\n | **Maximum queries per second (QPS)** for AWS services | You can change the QPS to control the quota limit for Security Command Center. Set the override to a value that is less than the default value for that service, and greater than or equal to `1`. The default value is the maximum value. If you do change the QPS, Security Command Center might encounter issues fetching data. Therefore, we don't recommend changing this value. |\n | **Endpoint for AWS Security Token Service** | You can specify a specific endpoint for the AWS Security Token Service (for example, `https://sts.us-east-2.amazonaws.com`). Leave the **AWS Security Token Service** field empty to use the default global endpoint (`https://sts.amazonaws.com`). |\n\n7. If you changed the delegated account ID or the list of AWS accounts to\n include or exclude, you must update your AWS environment. A change to the\n delegated account ID requires that you set up your AWS configuration again. A\n change to the list of AWS accounts requires that you add or remove collector\n roles. Removing AWS accounts from the exclude list, because you want to\n include them, requires you to add the collector roles to those accounts.\n Complete the following:\n\n 1. Click **Continue**.\n 2. In the **Create connection with AWS** page, complete one of the\n following:\n\n - Download the CloudFormation templates for the delegated role and the\n collector role. For instructions on using the templates, see\n [Use CloudFormation templates to set up your AWS environment](/security-command-center/docs/connect-scc-to-aws#cloudformation).\n\n - If you want to change the AWS configuration manually, select\n **Use the AWS console** . Copy the service agent ID, delegated role\n name, and the collector role name. For instructions on updating AWS\n manually, see\n [Configure AWS accounts manually](/security-command-center/docs/connect-scc-to-aws#configure-aws-manually).\n\n8. If you added an AWS account to the list of AWS accounts to exclude, we\n recommend that you remove the collector role from the account.\n\n9. Click **Test connector** to verify that Security Command Center can connect to\n your AWS environment. If the connection is successful, the Google Cloud\n service agent can assume the delegated role and the delegated role has all\n the required permissions to assume the collector role. If the connection\n isn't successful, see\n [Troubleshooting errors when testing the connection](/security-command-center/docs/connect-scc-to-aws#troubleshooting-connection).\n\n10. Click **Save**.\n\nWhat's next\n\n- For troubleshooting information, see [Connect Security Command Center to AWS](/security-command-center/docs/connect-scc-to-aws)."]]
