【免费下载链接】flociLight, fluffy, and always free - The AWS Local Emulator alternative项目地址https://gitcode.com/gh_mirrors/fl/floci点击查看免费下载导读本文围绕开源 AWS 本地模拟器 Floci 对AWS Security Hub云安全态势管理 CSPM的仿真实现展开重点讲解其 REST JSON 协议的服务端点、组织级治理能力委托管理员、Finding Aggregator、集中配置、配置策略与关联以及标签与错误模型。读完本文你将能够在本地开发环境中使用aws securityhubCLI 或各类 AWS SDK 完整演练 Security Hub 的启用、组织治理与配置策略生命周期并理解 Floci 如何在本地以持久化状态模型复刻 AWS 的异步收敛行为。服务概览与接入方式Floci 对 AWS Security Hub 的仿真覆盖了 CSPM 的组织级与集中配置面供本地安全治理工作流使用。该服务遵循REST JSON协议默认端点为http://localhost:4566在源码中该服务通过 ResolvedServiceCatalog.java 注册为securityhub服务协议类型为REST_JSON并挂载 SecurityHubController.java 作为 REST 控制器。控制器使用 Jakarta REST 注解定义路由请求体统一以 JSON 形式消费响应以application/json输出这与 AWS Security Hub 的 JSON 协议形态一致。由于服务采用 REST JSON 协议本地接入时既可以使用官方 AWS CLI通过自定义 endpoint 指向http://localhost:4566也可以直接构造 HTTP 请求进行调试适合在 CI 流水线与单元测试中嵌入安全治理相关断言。支持的 Actions 全景Floci 的 Security Hub 仿真面覆盖组织级管理CSPM enablement、委托管理员、Finding Aggregator、组织配置、配置策略、策略关联以及资源标签等七大能力域共支持 22 个 ActionAction说明ListOrganizationAdminAccounts列出组织级委托管理员账户EnableOrganizationAdminAccount启用组织级委托管理员账户DescribeHub查询当前账户的 Hub 状态EnableSecurityHub为当前账户启用 Security HubUpdateSecurityHubConfiguration更新 Security Hub 配置ListFindingAggregators列出 Finding AggregatorCreateFindingAggregator创建 Finding AggregatorGetFindingAggregator查询指定 Finding AggregatorUpdateFindingAggregator更新 Finding Aggregator 的区域链接模式DescribeOrganizationConfiguration查询组织级配置UpdateOrganizationConfiguration更新组织级配置LOCAL/CENTRALListConfigurationPolicies分页列出配置策略CreateConfigurationPolicy创建配置策略GetConfigurationPolicy查询配置策略详情UpdateConfigurationPolicy更新配置策略GetConfigurationPolicyAssociation查询策略与目标的关联状态StartConfigurationPolicyAssociation启动策略关联StartConfigurationPolicyDisassociation启动策略解除关联ListConfigurationPolicyAssociations分页列出策略关联ListTagsForResource列出资源标签TagResource为资源打标签UntagResource移除资源标签上表所列即官方文档 securityhub.md 中由floci:actions:start/floci:actions:end标记生成的受支持 Action 清单与控制器中实际实现的路由一一对应。可以看到仿真重点不在 finding 的写入与查询GetFindings等数据面操作未列入而是聚焦CSPM 的组织治理与控制面这与文档“local security-governance workflows”的定位完全吻合。委托管理员与组织启用委托管理员的管理EnableOrganizationAdminAccount支持 AWS 的SecurityHub与SecurityHubV2两种 Feature 取值。从 SecurityHubService.java 的实现看未显式指定 Feature 时默认取SecurityHub传入非法 Feature 值时返回InvalidInputExceptionFeature must be SecurityHub or SecurityHubV2.使用SecurityHub旧版委托时Floci 会在当前 Region内为委托管理员启用 Security HubCSPM与 AWS 组织行为保持一致——对应代码中if (SecurityHub.equals(requestedFeature)) { delegated.setEnabled(true); }的分支。委托启用同时受 Organizations 服务约束通过注入的OrganizationsService校验调用者身份与目标账户归属只有组织管理账户management account可以执行该操作否则抛InvalidAccessExceptionAdminAccountId必须是 12 位数字账户 ID且必须属于调用者所在的 AWS 组织若已存在不同的委托管理员账户重复启用会返回ResourceConflictExceptionA different Security Hub administrator account is already configured.。列出委托管理员ListOrganizationAdminAccounts的响应中只有当当前委托账户的 Feature 与请求的Feature查询参数匹配时才会在AdminAccounts数组里返回该账户状态为ENABLED。该接口还实现了 AWS 的分页约束MaxResults必须介于 1 与 10 之间超出即返回InvalidInputExceptionNextToken在本地仿真中不支持非空即报错。Hub 启用与配置更新启用与查询EnableSecurityHub为当前账户在当前 Region启用 Security Hub重复启用会收到ResourceConflictException。DescribeHub在 Hub 未启用时返回ResourceNotFoundExceptionSecurity Hub is not enabled for this account.启用后返回HubArn形如arn:aws:securityhub:{region}:{accountId}:hub/defaultAutoEnableControls默认trueControlFindingGenerator默认SECURITY_CONTROL允许取值为SECURITY_CONTROL或STANDARD_CONTROL。这些默认值定义在状态模型 SecurityHubState.java 中autoEnableControls默认true、controlFindingGenerator默认SECURITY_CONTROL。更新配置UpdateSecurityHubConfiguration支持修改AutoEnableControls必须为布尔值与ControlFindingGenerator枚举取值校验同上更新前同样要求 Hub 已启用。从源码看该接口只允许增量更新未提交的字段保持原值。Finding Aggregator区域链接模式Finding Aggregator 用于将组织内各区域、各成员账户的 finding 汇聚到聚合区域。Floci 支持四种RegionLinkingMode与 AWS 完全对齐RegionLinkingMode说明Regions 约束ALL_REGIONS链接所有区域Regions 必须为空ALL_REGIONS_EXCEPT_SPECIFIED链接除指定区域外的所有区域允许指定排除列表SPECIFIED_REGIONS仅链接指定区域Regions 必填且非空NO_REGIONS不链接任何区域Regions 必须为空模式校验逻辑位于validateAggregatorRegionsSecurityHubService.javaSPECIFIED_REGIONS强制要求 Regions 数组非空而ALL_REGIONS/NO_REGIONS下 Regions 必须为空且数组中每个元素都必须是合法的非空白区域标识符。创建成功后 Floci 会生成形如arn:aws:securityhub:{region}:{accountId}:finding-aggregator/{uuid}的 ARN 并持久化。账户级限制是每个账户只允许存在一个 Finding Aggregator重复创建返回LimitExceededExceptionHTTP 429。GetFindingAggregator采用贪婪路径匹配/findingAggregator/get/{findingAggregatorArn: .}可接受完整的 finding-aggregator ARN且必须与本地持久化的 ARN 精确一致否则返回ResourceNotFoundException。UpdateFindingAggregator允许切换区域链接模式与区域列表同样会校验 ARN 与新模式。ListFindingAggregators支持分页MaxResults上限为 100超出即返回InvalidInputException。组织配置LOCAL 与 CENTRAL 的异步收敛模型DescribeOrganizationConfiguration/UpdateOrganizationConfiguration负责组织级安全配置Floci 在本地建模了 AWS 的异步收敛语义。状态机状态模型SecurityHubState.java中组织配置的默认值为ConfigurationType LOCAL、Status ENABLED。UpdateOrganizationConfiguration的核心行为如下SecurityHubService.java请求必须携带布尔型的AutoEnable可选的AutoEnableStandards仅允许DEFAULT或NONEOrganizationConfiguration.ConfigurationType仅允许CENTRAL或LOCAL未指定时保留当前值默认LOCAL切换为CENTRAL立即将AutoEnable强制置为false、AutoEnableStandards强制置为NONE同时把组织配置状态置为PENDING并设置一次待收敛轮询pendingPollsRemaining 1切换为LOCAL直接应用请求中的AutoEnable/AutoEnableStandards状态置为ENABLED。轮询收敛organizationConfiguration对应DescribeOrganizationConfiguration实现了收敛逻辑首次查询状态为PENDING且剩余轮询数大于 0返回仍为 PENDING的快照同时剩余轮询数减一再次查询剩余轮询数为 0状态转为ENABLED并持久化。因此在本地工作流中切换到 CENTRAL 后第一次DescribeOrganizationConfiguration会看到Status: PENDING第二次轮询后收敛为ENABLED——这一“先 PENDING、再 ENABLED”的行为与文档描述完全一致。此外该接口还会返回固定的MemberAccountLimitReached: false。需要注意的是组织配置类接口Describe/UpdateOrganizationConfiguration、配置策略与关联的全部接口都要求调用者是已启用的委托 Security Hub 管理员否则返回InvalidAccessExceptionHTTP 401对应requireAdministrator方法SecurityHubService.java。配置策略Configuration Policy与关联生命周期策略的 CRUD配置策略是集中配置模式CENTRAL的核心载体。Floci 支持创建、查询、更新与分页列出CreateConfigurationPolicyName必填最长 128 字符、不能为空白同名策略返回ResourceConflictExceptionConfigurationPolicy必须恰好包含一个SecurityHub子对象其内部字段包括ServiceEnabled布尔值控制目标账户的启用状态EnabledStandardIdentifiers字符串数组元素必须非空SecurityControlsConfiguration对象类型。创建成功后生成 UUID 作为策略 ID并写入CreatedAt/UpdatedAt时间戳策略 ARN 形如arn:aws:securityhub:{region}:{accountId}:configuration-policy/{id}。GetConfigurationPolicy与UpdateConfigurationPolicy的路径均为贪婪匹配/configurationPolicy/get/{id: .}与/configurationPolicy/{id: .}因此既可以直接传策略 ID也可以传完整 ARNnormalizePolicyId会取最后一个/之后的片段。ListConfigurationPolicies返回ConfigurationPolicySummaries数组含 Arn、Id、Name、Description、ServiceEnabled、UpdatedAt分页上限MaxResults为 100。关联与解除关联策略需要绑定到组织目标上才会生效目标支持三类Target 字段TargetType格式约束AccountIdACCOUNT12 位数字OrganizationalUnitIdORGANIZATIONAL_UNITou-前缀 4~32 位小写字母数字 - 8~32 位小写字母数字RootIdROOTr-前缀 4~32 位小写字母数字Target对象必须恰好包含上述一个标识符且目标必须与调用者同属一个 AWS 组织。特殊值SELF_MANAGED_SECURITY_HUB可作为ConfigurationPolicyIdentifier表示“自管理”语义不应用任何策略。关联生命周期同样模拟 AWS 的异步收敛见associate/association方法StartConfigurationPolicyAssociation创建关联记录状态为PENDING设置 1 次待收敛轮询若目标已关联同一策略返回ResourceConflictException第一次GetConfigurationPolicyAssociation返回PENDING轮询计数减一第二次查询状态转为SUCCESS并将策略的ServiceEnabled实际应用到目标账户的 Hub 状态applyPolicyToAccountTarget仅对ACCOUNT目标且非自管理策略生效。StartConfigurationPolicyDisassociation把关联置为PENDING并标记为正在解除disassociating true之后第一次查询仍返回PENDING第二次查询时该关联记录被移除并返回ResourceNotFoundException对应文档所述“Disassociation is represented as a pending transition before the association disappears”。ListConfigurationPolicyAssociations支持按ConfigurationPolicyId、AssociationType仅APPLIED/INHERITED当前仿真只产出APPLIED和AssociationStatusPENDING/SUCCESS/FAILED过滤分页上限 100。响应中的AssociationStatusMessage仅在存在时返回AssociationType固定为APPLIED。资源标签共享 Tagging 路由与 AWS 约束配置策略与 Hub 的标签通过共享的 Security Hub 标签路由持久化并返回控制器实现了ListTagsForResource、TagResource、UntagResource底层委托给 SecurityHubTagHandler.javaserviceKey securityhub走 REST/tags/{ResourceArn}路径成功状态码为 200并开启严格标签校验strictTagValidation true。标签语义要点SecurityHubService.java标签对象最多50个条目键最长 128 字符值最长 256 字符键必须匹配[a-zA-Z\-._:/]禁止aws:前缀保留前缀限制违反任一约束即返回InvalidInputExceptionTags contain an invalid key or value.可打标签的资源包括 Hub ARN 与配置策略 ARN资源 ARN 必须属于当前 Region 与账户Hub 未启用时对 Hub ARN 的打标签/查询返回ResourceNotFoundException标签写入会持久化到本地状态ListTagsForResource返回 Map 形式仅保留字符串值。对应测试 SecurityHubServiceTest.java 中enableSecurityHubPersistsConfigurationAndHubTags与invalidReservedTagPrefixIsRejected分别验证了标签持久化与aws:保留前缀的拒绝逻辑。AWS 兼容的错误模型Floci 在本地对 Security Hub 的输入做了系统性校验涵盖管理员账户 ID 与 Feature、Finding Aggregator 模式与区域列表、集中配置输入、策略名称与文档、目标标识符、标签以及关联状态。校验失败时使用与 AWS 一致的确定性错误类型错误类型HTTP 状态典型触发场景InvalidInputException400非法 Feature、非法 RegionLinkingMode、非法标签、分页参数越界、策略文档结构错误等InvalidAccessException401非组织管理账户执行委托操作、非委托管理员操作集中配置ResourceNotFoundException404Hub 未启用、策略/关联/聚合器不存在、资源 ARN 不匹配ResourceConflictException409Hub 重复启用、委托管理员冲突、同名策略、目标已关联同一策略LimitExceededException429每账户仅允许一个 Finding Aggregator这些错误通过 SecurityHubService.java 中的invalid/invalidAccess/conflict/notFound辅助方法统一构造与控制器中的分页校验PaginatedResult/Pagination工具共同形成完整的输入验证面。需要特别说明的是AWS 还定义了服务端侧的InternalException与限流rate-limit失败Floci 不会在缺少请求或本地状态条件的情况下主动注入这些失败——也就是说本地仿真只复现可由请求输入触发的确定性错误不会随机制造 5xx 或节流从而保证测试的可复现性。配置项Security Hub 仿真可通过环境变量开关控制配置项定义于 EmulatorConfig.java 的SecurityHubServiceConfig变量默认值说明FLOCI_SERVICES_SECURITYHUB_ENABLEDtrue启用或禁用 AWS Security Hub CSPM 仿真将该变量设为false时服务将不会在本地端点注册见 ResolvedServiceCatalog.java 中config.services().securityhub().enabled()的条件注册逻辑适合在多服务环境下按需裁剪启动面。状态持久化与测试验证从实现架构看Floci 的 Security Hub 仿真属于有状态服务所有配置Hub 启用状态、委托管理员、聚合器、组织配置、策略、关联、标签都通过StorageFactory以账户感知的存储后端持久化存储键securityhub、文件securityhub-state.json见 SecurityHubService.java并且实现了Resettable.clear()可在测试间重置状态。服务测试覆盖了核心行为SecurityHubServiceTest.javaHub 启用与配置/标签持久化、aws:保留前缀拒绝、非法 Feature 拒绝、状态重置SecurityHubOrganizationIntegrationTest.java组织级委托、集中配置与关联的端到端集成验证。对于本地安全治理工作流的开发者而言这意味着你可以放心地在测试套件中执行“启用 → 委托 → 聚合 → 集中配置 → 策略关联 → 轮询收敛 → 解除关联”的完整链路每次运行都得到确定性的结果。本地演练建议以FLOCI_SERVICES_SECURITYHUB_ENABLEDtrue启动 Floci并将 AWS CLI/SDK 的 endpoint 指向http://localhost:4566依次执行aws securityhub enable-security-hub、describe-hub验证基础面通过 Organizations 服务建立管理账户/成员账户关系后演练enable-organization-admin-account与list-organization-admin-accounts创建 Finding Aggregator 并测试四种RegionLinkingMode的输入校验将组织配置切换到CENTRAL按“先 PENDING、再 ENABLED”的节奏轮询describe-organization-configuration观察收敛行为创建配置策略并关联到账户/OU/Root 目标验证PENDING → SUCCESS收敛与解除关联后关联消失最后验证标签约束aws:前缀拒绝与各错误类型的确定性返回。通过以上步骤即可在本地完整复现 AWS Security Hub CSPM 的组织治理控制面为安全自动化脚本与 CI 流水线提供无需真实 AWS 账号的可重复测试环境。赞分享【免费下载链接】flociLight, fluffy, and always free - The AWS Local Emulator alternative项目地址https://gitcode.com/gh_mirrors/fl/floci点击查看免费下载相关推荐在 Floci 本地模拟器中实战 AWS Organizations组织、账户、策略与邀请全流程指南在 Floci 本地模拟器中实战 AWS Organizations组织、账户、策略与邀请全流程指南 本篇指南围绕 Floci轻量级 AWS 本地模拟器Floci AWS CLI 与 SDK 接入指南零真实账户的本地 AWS 开发环境配置Floci AWS CLI 与 SDK 接入指南零真实账户的本地 AWS 开发环境配置 Floci 是一款免费开源的 AWS 本地模拟器其设计目标之一就是让Floci 本地模拟 Amazon Inspector委托管理员、账户启用与组织自动开启配置实战指南Floci 本地模拟 Amazon Inspector委托管理员、账户启用与组织自动开启配置实战指南 Floci 作为一款轻量级、免费的 AWS 本地模拟器上一篇解决会议录音识别难题SpeechBrain多说话人自适应技术全解析下一篇ADK 中的 BigQuery AI.SIMILARITY使用 SQL 计算文本余弦相似度的完整指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考