用途：在多账户 AWS 环境中建立集中式安全态势管理与合规监控。适用于需要按 CIS、PCI DSS、NIST 800-53 等标准持续监控，聚合 GuardDuty、Inspector、Macie、Firewall Manager 和第三方工具（如 Prowler）发现，并构建自动修复工作流的场景。它不做实时威胁检测、漏洞扫描或数据分类，这些仍由 GuardDuty、Inspector、Macie 等负责。
主要能力：启用 Security Hub 并订阅合规标准；指定委派管理员并自动纳管组织账户；创建跨区域发现聚合器；查询合规分数与失败控制项；创建自定义洞察；通过 EventBridge 触发 Lambda 自动修复；导出发现并生成合规报告。
必要用法：需启用 AWS Config，具备 securityhub:、config:、events:、lambda: 权限，并配合 CloudFormation StackSets 或 Terraform 做多账户部署。启用命令：aws securityhub enable-security-hub --enable-default-standards --control-finding-generator SECURITY_CONTROL。批量启用标准：aws securityhub batch-enable-standards。设计委派管理员：aws securityhub enable-organization-admin-account --admin-account-id 111122223333。开启自动纳管：aws securityhub update-organization-configuration --auto-enable --auto-enable-standards DEFAULT。创建聚合器：aws securityhub create-finding-aggregator --region-linking-mode ALL_REGIONS。
限制：未在所有账户和区域启用 AWS Config 时，控制项会显示“No data”而非通过或失败；成员账户关闭 Config 会静默产生不完整合规分数。具体收费与价格资料暂未提供。