- 最新动态
- 产品介绍
- 快速入门
-
用户指南
- 资源清单
- 资源记录器
-
资源合规
- 资源合规概述
- 资源合规规则
- 组织合规规则
- 查看不合规资源
- 合规规则概念详解
-
系统内置预设策略
- 预设策略列表
- 公共可用预设策略
- API网关 APIG
- 部署 CodeArts Deploy
- MapReduce服务 MRS
- NAT网关 NAT
- VPC终端节点 VPCEP
- Web应用防火墙 WAF
- 弹性负载均衡 ELB
- 弹性公网IP EIP
- 弹性伸缩 AS
- 高性能弹性文件服务 SFS Turbo
- 弹性云服务器 ECS
- 分布式缓存服务 DCS
- 函数工作流 FunctionGraph
- 内容分发网络 CDN
- 配置审计 Config
- 数据仓库服务 DWS
- 数据复制服务 DRS
- 数据加密服务 DEW
-
统一身份认证服务 IAM
- IAM用户的AccessKey在指定时间内轮换
- IAM策略中不授权KMS的禁止的action
- IAM用户组添加了IAM用户
- IAM用户密码策略符合要求
- IAM策略黑名单检查
- IAM策略不具备Admin权限
- IAM自定义策略具备所有权限
- 根用户存在可使用的访问密钥
- IAM用户访问模式
- IAM用户创建时设置AccessKey
- IAM用户归属指定用户组
- IAM用户在指定时间内有登录行为
- IAM用户开启MFA
- IAM用户单访问密钥
- Console侧密码登录的IAM用户开启MFA认证
- 根用户开启MFA认证
- IAM策略使用中
- IAM权限使用中
- IAM用户开启登录保护
- IAM委托绑定策略检查
- IAM用户admin权限检查
- IAM用户不直接附加策略或权限
- 文档数据库服务 DDS
- 消息通知服务 SMN
- 虚拟私有云 VPC
- 虚拟专用网络 VPN
- 云监控服务 CES
- 云容器引擎 CCE
- 云审计服务 CTS
- 云数据库 RDS
- 云数据库 GaussDB
- 云数据库 TaurusDB
- 云数据库 GeminiDB
- 云搜索服务 CSS
- 云硬盘 EVS
- 云证书管理服务 CCM
- 分布式消息服务Kafka版
- 分布式消息服务RabbitMQ版
- 分布式消息服务RocketMQ版
- 组织 Organizations
- 云防火墙 CFW
- 云备份 CBR
- 对象存储服务 OBS
- 镜像服务 IMS
- 裸金属服务器 BMS
- 图引擎服务 GES
- 资源合规事件监控
-
合规规则包
- 合规规则包概述
- 合规规则包
- 组织合规规则包
- 自定义合规规则包
-
合规规则包示例模板
- 示例模板概述
- 等保三级2.0规范检查的标准合规包
- 适用于金融行业的合规实践
- 华为云网络安全合规实践
- 适用于统一身份认证服务（IAM）的最佳实践
- 适用于云监控服务（CES）的最佳实践
- 适用于计算服务的最佳实践
- 适用于弹性云服务器（ECS）的最佳实践
- 适用于弹性负载均衡（ELB）的最佳实践
- 适用于管理与监管服务的最佳实践
- 适用于云数据库（RDS）的最佳实践
- 适用于弹性伸缩（AS）的最佳实践
- 适用于云审计服务（CTS）的最佳实践
- 适用于人工智能与机器学习场景的合规实践
- 适用于自动驾驶场景的合规实践
- 资源开启公网访问最佳实践
- 适用于日志和监控的最佳实践
- 华为云架构可靠性最佳实践
- 适用于中国香港金融管理局的标准合规包
- 适用于中小企业的ENISA的标准合规包
- 适用于SWIFT CSP的标准合规包
- 适用于德国云计算合规标准目录的标准合规包
- 适用于PCI-DSS的标准合规包
- 适用于医疗行业的合规实践
- 网络及数据安全最佳实践
- 适用于Landing Zone基础场景的最佳实践
- 架构安全支柱运营最佳实践
- 网络和内容交付服务运营最佳实践
- 适用于空闲资产管理的最佳实践
- 多可用区架构最佳实践
- 资源稳定性最佳实践
- 适用于API网关（APIG）的最佳实践
- 适用于云容器引擎（CCE）的最佳实践
- 适用于内容分发网络（CDN）的最佳实践
- 适用于函数工作流（FunctionGraph）的最佳实践
- 适用于云数据库（GaussDB）的最佳实践
- 适用于云数据库（GeminiDB）的最佳实践
- 适用于MapReduce服务（MRS）的最佳实践
- NIST审计标准最佳实践
- 新加坡金融行业的最佳实践
- 安全身份和合规性运营最佳实践
- 华为云安全配置基线指南的标准合规包（level 1）
- 华为云安全配置基线指南的标准合规包（level 2）
- 静态数据加密最佳实践
- 数据传输加密最佳实践
- 适用于云备份（CBR）的最佳实践
- 适用于云搜索服务（CSS）的最佳实践
- 适用于分布式缓存服务（DCS）的最佳实践
- 适用于分布式消息服务（DMS）的最佳实践
- 适用于数据仓库服务（DWS）的最佳实践
- 适用于云数据库（TaurusDB）的最佳实践
- 适用于对象存储服务（OBS）的最佳实践
- 适用于VPC安全组的最佳实践
- 适用于Web应用防火墙（WAF）的最佳实践
- 高级查询
- 资源聚合器
- 云审计-记录配置审计
- 附录
- API参考
- SDK参考
- 最佳实践
- 常见问题
- 通用参考
链接复制成功！
华为云安全配置基线指南的标准合规包（level 2）
本文为您介绍华为云安全配置基线指南的标准合规包（level 2）的应用场景以及合规包中的默认规则。
应用场景
华为云安全配置基线指南为您提供重要云服务的基线配置指导，开启云上服务安全建设的第一步，更多信息见华为云信任中心。
免责条款
本合规规则包模板为您提供通用的操作指引，帮助您快速创建符合目标场景的合规规则包。为避免疑义，本“合规”仅指资源符合规则定义本身的合规性描述，不构成任何法律意见。本合规规则包模板不确保符合特定法律法规或行业标准的要求，您需自行对您的业务、技术操作的合规性和合法性负责并承担与此相关的所有责任。
默认规则
此表中的建议项编号对应华为云安全配置基线指南文档的章节编号，供您查阅参考。
|
建议项编号 |
建议项说明 |
合规规则 |
规则中文名称 |
涉及云服务 |
规则描述 |
|---|---|---|---|---|---|
|
C.CS.FOUNDATION.G_1.R_3 |
确保不创建管理员权限的 IAM 用户 |
iam-user-check-non-admin-group |
IAM用户admin权限检查 |
iam |
根用户以外的IAM用户加入admin用户组，视为“不合规” |
|
C.CS.FOUNDATION.G_1.R_9 |
启用用户登录保护 |
iam-user-login-protection-enabled |
IAM用户开启登录保护 |
iam |
IAM用户未开启登录保护，视为“不合规” |
|
C.CS.FOUNDATION.G_1.R_12 |
设置初始 IAM 用户时，避免对具有控制台密码的用户设置访问密钥 |
iam-user-console-and-api-access-at-creation |
IAM用户创建时设置AccessKey |
iam |
对于从console侧访问的IAM用户，其创建时设置访问密钥，视为“不合规” |
|
C.CS.FOUNDATION.G_1.R_13 |
确保任何单个 IAM 用户仅有一个可用的活动访问密钥 |
iam-user-single-access-key |
IAM用户单访问密钥 |
iam |
IAM用户拥有多个处于“active”状态的访问密钥，视为“不合规” |
|
C.CS.FOUNDATION.G_2.R_5 |
启用 VPC 流量日志功能 |
vpc-flow-logs-enabled |
VPC启用流日志 |
vpc |
检查是否为VPC启用了流日志，如果该VPC未启用流日志，视为“不合规” |
|
C.CS.FOUNDATION.G_2.R_11 |
启用 FunctionGraph 函数日志功能 |
function-graph-logging-enabled |
函数工作流的函数启用日志配置 |
fgs |
函数工作流的函数未启用日志配置，视为“不合规” |
|
C.CS.FOUNDATION.G_2.R_16 |
开启日志文件加密存储 |
cts-kms-encrypted-check |
CTS追踪器通过KMS进行加密 |
cts |
CTS追踪器未通过KMS进行加密，视为“不合规” |
|
C.CS.FOUNDATION.G_3_1.R_1 |
使用密钥对安全登录 ECS |
ecs-instance-key-pair-login |
ECS资源配置密钥对 |
ecs |
ECS未配置密钥对，视为“不合规” |
|
C.CS.FOUNDATION.G_3_1.R_4 |
确保私有镜像开启了加密 |
ims-images-enable-encryption |
私有镜像开启加密 |
ims |
私有镜像未开启加密，视为“不合规” |
|
C.CS.FOUNDATION.G_3_2.R_1 |
使用密钥对安全登录 BMS |
bms-key-pair-security-login |
BMS资源使用密钥对登录 |
bms |
裸金属服务器未启用密钥对安全登录，视为“不合规” |
|
C.CS.FOUNDATION.G_5_1.R_4 |
使用双端固定对 OBS 的资源进行权限控制 |
obs-bucket-policy-grantee-check |
OBS桶策略中授权检查 |
obs |
OBS桶策略授权了不被允许的访问行为，视为“不合规” |
|
C.CS.FOUNDATION.G_5_2.R_1 |
确保云硬盘是加密的 |
volumes-encrypted-check |
已挂载的云硬盘开启加密 |
ecs, evs |
已挂载的云硬盘未进行加密，视为“不合规” |
|
C.CS.FOUNDATION.G_5_3.R_1 |
确保SFS Turbo文件系统是加密的 |
sfsturbo-encrypted-check |
高性能弹性文件服务通过KMS进行加密 |
sfsturbo |
高性能弹性文件服务(SFS Turbo)未通过KMS进行加密，视为“不合规” |
|
C.CS.FOUNDATION.G_5_4.R_1 |
承载备份数据的云硬盘选择加密盘 |
cbr-backup-encrypted-check |
CBR备份被加密 |
cbr |
CBR服务的备份未被加密，视为“不合规” |
|
C.CS.FOUNDATION.G_5_4.R_4 |
开启强制备份 |
ecs-protected-by-cbr |
ECS资源在备份存储库中 |
cbr, ecs |
ECS资源没有关联备份存储库，视为“不合规” |
|
C.CS.FOUNDATION.G_5_4.R_4 |
开启强制备份 |
evs-protected-by-cbr |
EVS资源在备份存储库保护中 |
cbr, evs |
EVS磁盘没有关联备份存储库，视为“不合规” |
|
C.CS.FOUNDATION.G_5_4.R_4 |
开启强制备份 |
sfsturbo-protected-by-cbr |
SFSturbo资源在备份存储库中 |
cbr, sfsturbo |
SFSturbo资源没有关联备份存储库，视为“不合规” |
|
C.CS.FOUNDATION.G_6_1.R_7 |
开启数据库审计日志 |
rds-instance-enable-auditLog |
RDS实例启用审计日志 |
rds |
未启用审计日志或审计日志保存天数不足的rds资源，视为“不合规” |
|
C.CS.FOUNDATION.G_6_4.R_5 |
开启数据库审计日志 |
gaussdb-instance-enable-auditLog |
GaussDB实例开启审计日志 |
gaussdb |
未开启审计日志的gaussdb资源，视为“不合规” |
|
C.CS.FOUNDATION.G_6_4.R_5 |
开启数据库审计日志 |
gaussdb-mysql-instance-enable-auditlog |
TaurusDB实例开启审计日志 |
taurusdb |
未开启审计日志的TaurusDB资源，视为“不合规” |
|
C.CS.FOUNDATION.G_6_4.R_7 |
开启备份功能设置合理的备份策略 |
gaussdb-instance-enable-backup |
GaussDB实例开启自动备份 |
gaussdb |
未开启资源备份的gaussdb资源，视为“不合规” |
|
C.CS.FOUNDATION.G_7_3.R_1 |
开启集群数据加密功能 |
dws-enable-kms |
DWS集群启用KMS加密 |
dws |
DWS集群未启用KMS加密，视为“不合规” |
|
C.CS.FOUNDATION.G_7_3.R_4 |
开启 DWS 数据库审计日志转储 |
dws-enable-log-dump |
DWS集群启用日志转储 |
dws |
DWS集群未启用日志转储，视为“不合规” |
