委任管理者アカウントから組織にSecurity Hub Advancedを有効にする際、Security Hubポリシーを有効化する必要はありますか

困っていた内容

委任管理者アカウントから組織にSecurity Hub Advancedを有効にする際、あらかじめ組織管理者アカウントで Organizations の Security Hub ポリシーを有効化する必要はありますか？

どう対応すればいいの？

あらかじめ組織管理者アカウントでSecurity Hubポリシーを有効化する必要はありません。

Security Hub ポリシーが無効化されている状態でも、委任管理者アカウントでの Security Hub ポリシー作成による組織への Security Hub Advanced 有効化は実施可能です。

委任管理者アカウントで Security Hub ポリシーを作成することにより、Organizations から確認できる Security Hub ポリシーは有効化されている状態に自動で変更されます。

やってみた

前提として、組織管理者アカウントから Security Hub Advanced の委任管理者アカウントを設定済みであり、委任ポリシーが作成されている状態となります。委任管理ポリシーが作成されていないと Security Hub ポリシーの作成は権限エラーとなります。

1. Security Hub ポリシー作成前は組織管理者アカウントの Organizations のポリシー画面から確認できる Security Hub ポリシー項目は無効化状態となっています。
   

2. 委任管理者アカウントの Security Hub Advanced の「設定」から Security Hub ポリシーを作成します。有効化するリージョンと組織のどのアカウント範囲に対して有効化を実施するか設定し、ポリシーを作成します。
   

3. 組織管理者アカウントの Organizations ポリシー画面を再度確認すると自動的に Security Hub ポリシーが有効になっていることを確認できました。
   

参考情報

https://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/security-hub-adv-set-da.html

https://dev.classmethod.jp/articles/enabling-aws-security-hub-advanced-in-organizations/