更新时间:2024-10-28 GMT+08:00

安全身份和合规性运营最佳实践

该示例模板中对应的合规规则的说明如下表所示:

表1 合规包示例模板说明

合规规则

规则中文名称

涉及云服务

规则描述

access-keys-rotated

IAM用户的AccessKey在指定时间内轮换

iam

IAM用户的访问密钥未在指定天数内轮转,视为“不合规”

pca-certificate-authority-expiration-check

检查私有CA是否过期

pca

私有CA在指定时间内过期,视为“不合规”

pca-certificate-expiration-check

检查私有证书是否过期

pca

私有证书在指定时间内到期,视为“不合规”

apig-instances-execution-logging-enabled

APIG专享版实例配置访问日志

apig

APIG专享版实例未配置访问日志,视为“不合规”

cts-lts-enable

CTS追踪器启用事件分析

cts

CTS追踪器未转储到LTS,视为“不合规”

cts-tracker-exists

创建并启用CTS追踪器

cts

账号未创建并启用CTS追踪器,视为“不合规”

cts-kms-encrypted-check

CTS追踪器通过KMS进行加密

cts

CTS追踪器未通过KMS进行加密,视为“不合规”

cts-support-validate-check

CTS追踪器打开事件文件校验

cts

CTS追踪器未打开事件文件校验,视为“不合规”

kms-rotation-enabled

KMS密钥启用密钥轮换

kms

KMS密钥未启用密钥轮换,视为“不合规”

iam-customer-policy-blocked-kms-actions

IAM策略中不授权KMS的禁止的action

iam, access-analyzer-verified

IAM策略中授权KMS的任一阻拦action,视为“不合规”

iam-group-has-users-check

IAM用户组添加了IAM用户

iam

IAM用户组未添加任意IAM用户,视为“不合规”

iam-password-policy

IAM用户密码策略符合要求

iam

IAM用户密码强度不满足密码强度要求,视为“不合规”

iam-policy-no-statements-with-admin-access

IAM策略不具备Admin权限

iam

IAM自定义策略具有allow的全部云服务的全部权限(*:*:*或*:*或*),视为“不合规”

iam-role-has-all-permissions

IAM自定义策略具备所有权限

iam

IAM自定义策略具有allow的任意云服务的全部权限,视为“不合规”

iam-root-access-key-check

根用户存在可使用的访问密钥

iam

根用户存在可使用的访问密钥,视为“不合规”

iam-user-group-membership-check

IAM用户归属指定用户组

iam

IAM用户不属于指定IAM用户组,视为“不合规”

iam-user-mfa-enabled

IAM用户开启MFA

iam

IAM用户未开启MFA认证,视为“不合规”

iam-user-last-login-check

IAM用户在指定时间内有登录行为

iam

IAM用户在指定时间范围内无登录行为,视为“不合规”

vpc-sg-restricted-ssh

安全组入站流量限制SSH端口

vpc

当安全组入方向源地址设置为0.0.0.0/0或::/0,且开放TCP 22端口,视为“不合规”

kms-not-scheduled-for-deletion

KMS密钥不处于“计划删除”状态

kms

KMS密钥处于“计划删除“状态,视为“不合规”

mfa-enabled-for-iam-console-access

Console侧密码登录的IAM用户开启MFA认证

iam

通过console密码登录的IAM用户未开启MFA认证,视为“不合规”

rds-instance-logging-enabled

RDS实例配备日志

rds

未配备任何日志的rds资源,视为“不合规”

vpc-sg-restricted-common-ports

安全组入站流量限制指定端口

vpc

当安全组的入站流量不限制指定端口的所有IPv4地址(0.0.0.0/0)或所有IPv6端口(::/0),视为“不合规”

root-account-mfa-enabled

根用户开启MFA认证

iam

根用户未开启MFA认证,视为“不合规”

vpc-default-sg-closed

默认安全组关闭出、入方向流量

vpc

虚拟私有云的默认安全组允许入方向或出方向流量,视为“不合规”

vpc-sg-ports-check

安全组端口检查

vpc

当安全组入方向源地址设置为0.0.0.0/0或::/0,且开放了所有的TCP或UDP端口时,视为“不合规”