用途：在多个 AWS 账户间建立集中式安全发现仪表盘，启用针对 CIS、PCI-DSS、NIST 或 AWS 基础安全最佳实践的自动化合规检查，并整合 GuardDuty、Inspector、Macie 及第三方安全工具的发现，用于构建自动化修复流程或向审计方提供持续态势监控证据。不适用于实时威胁检测、Azure 合规监控或容器镜像深度漏洞扫描。
前提：具备指定安全管理员账户的 AWS Organization；所有目标账户和区域启用 AWS Config；激活 GuardDuty、Inspector、Macie；管理员账户拥有 securityhub:* 和 config:* 的 IAM 权限。
主要步骤：1）在委派管理员账户启用 Security Hub 并订阅标准，例如 aws securityhub enable-security-hub --enable-default-standards，再用 batch-enable-standards 启用 CIS v5.0、AWS FSBP、PCI DSS v3.2.1 等，并用 get-enabled-standards 验证。2）配置多账户聚合，指定管理员账户（enable-organization-admin-account）、自动注册成员（update-organization-configuration --auto-enable）、开启跨区域聚合（create-finding-aggregator --region-linking-mode ALL_REGIONS）。3）集成安全服务与第三方工具，用 describe-products 查看可用集成，enable-import-findings-for-product 启用 GuardDuty、Inspector 等，并用 batch-import-findings 以 ASFF 格式导入自定义发现。4）构建自动化修复，用 create-action-target 创建自定义操作，并通过 EventBridge 规则与 Lambda 关联实现一键或全自动修复。5）监控合规分数与生成报告，用 get-security-control-definition 查看单个控制项，用 get-findings 筛选 FAILED 发现。
关键概念包括安全标准、安全控制项、ASFF、合规分数、发现聚合器和自定义操作。相关系统有 AWS Security Hub CSPM、AWS Config、Amazon EventBridge、AWS Systems Manager、AWS Audit Manager。
限制与注意事项：一次性对所有控制项启用自动修复可能破坏合法需要公共 S3 访问或特定网络配置的生产工作负载，应先在预发布账户测试。具体价格、可用区域及第三方集成清单暂未提供。