本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 加拿大网络安全中心 (CCCS) Medium Cloud Control Profile 操作最佳实践
<a name="operational-best-practices-for-cccs_medium"></a>

Conformance Pack 提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。

以下提供了加拿大网络安全中心 (CCCS) 中型云控制配置文件和 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定 AWS 资源，并与一个或多个 CCCS 中型云控制配置文件控件相关。一个 CCCS Medium Cloud Control Profile 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。


****  

| 控制 ID  | 控制描述  | AWS Config 规则  | 指南  | 
| --- | --- | --- | --- | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2(1) | AC-2(1) 账户管理 \| 自动化系统账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2(3) | AC-2(3) 账户管理 \| 禁用非活动账户 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2(3) | AC-2(3) 账户管理 \| 禁用非活动账户 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2(4) | AC-2(4) 账户管理 \| 自动审计操作 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AC-2(4) | AC-2(4) 账户管理 \| 自动审计操作 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AC-2(4) | AC-2(4) 账户管理 \| 自动审计操作 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2(4) | AC-2(4) 账户管理 \| 自动审计操作 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2(4) | AC-2(4) 账户管理 \| 自动审计操作 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AC-2(4) | AC-2(4) 账户管理 \| 自动审计操作 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2(4) | AC-2(4) 账户管理 \| 自动审计操作 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.A | AC-2.A 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.B | AC-2.B 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.C | AC-2.C 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.D | AC-2.D 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.E | AC-2.E 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.F | AC-2.F 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.G | AC-2.G 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.H | AC-2.H 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.I | AC-2.I 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.J | AC-2.J 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-2.K | AC-2.K 账户管理 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-3.A | AC-3.A 强制访问权限 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4(21) | AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-AC-4.A | AC-4.A 强制执行信息流 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-AC-5.A | AC-5.A 职责分离 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-5.A | AC-5.A 职责分离 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-5.A | AC-5.A 职责分离 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-5.A | AC-5.A 职责分离 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-5.A | AC-5.A 职责分离 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-6(1) | AC-6(1) 最低权限 \| 授权访问安全功能 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-6(1) | AC-6(1) 最低权限 \| 授权访问安全功能 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-6(1) | AC-6(1) 最低权限 \| 授权访问安全功能 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-AC-6(1) | AC-6(1) 最低权限 \| 授权访问安全功能 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-6(1) | AC-6(1) 最低权限 \| 授权访问安全功能 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-AC-6(2) | AC-6(2) 最低权限 \| 非安全功能的非特权访问权限 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-6(2) | AC-6(2) 最低权限 \| 非安全功能的非特权访问权限 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-6(2) | AC-6(2) 最低权限 \| 非安全功能的非特权访问权限 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-AC-6(2) | AC-6(2) 最低权限 \| 非安全功能的非特权访问权限 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-6(2) | AC-6(2) 最低权限 \| 非安全功能的非特权访问权限 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-AC-6(5) | AC-6(5) 最低权限 \| 特权账户 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-6(5) | AC-6(5) 最低权限 \| 特权账户 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-AC-6(5) | AC-6(5) 最低权限 \| 特权账户 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-6(5) | AC-6(5) 最低权限 \| 特权账户 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-AC-6(9) | AC-6(9) 最低权限 \| 审核特权功能的使用 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AC-6(9) | AC-6(9) 最低权限 \| 审核特权功能的使用 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AC-6(9) | AC-6(9) 最低权限 \| 审核特权功能的使用 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-6(9) | AC-6(9) 最低权限 \| 审核特权功能的使用 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AC-6(9) | AC-6(9) 最低权限 \| 审核特权功能的使用 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AC-6(9) | AC-6(9) 最低权限 \| 审核特权功能的使用 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-6(9) | AC-6(9) 最低权限 \| 审核特权功能的使用 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AC-6(10) | AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-6(10) | AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-6(10) | AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-AC-6(10) | AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-6(10) | AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-6.A | AC-6.A 最低权限 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [alb-waf-enabled](https://docs.aws.amazon.com/config/latest/developerguide/alb-waf-enabled.html) | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或防 APIs 范常见的 Web 漏洞。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-AC-17(1) | AC-17 (1) 远程访问 \| 自动监控/控制 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AC-17(2) | AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-17(2) | AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-AC-17(2) | AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-AC-17(2) | AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-AC-17(2) | AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-17(2) | AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AC-17(3) | AC-17(3) 远程访问 \| 托管访问控制点 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-17(4) | AC-17(4) 远程访问 \| 特权命令/访问 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-AC-17(4) | AC-17(4) 远程访问 \| 特权命令/访问 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-17(4) | AC-17(4) 远程访问 \| 特权命令/访问 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-AC-17.A | AC-17.A 远程访问 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-AC-17.AA | AC-17.AA 远程访问 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-AC-17.B | AC-17.B 远程访问 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-2.A | AU-2.A 审计事件 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-2.B | AU-2.B 审计事件 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-2.C | AU-2.C 审计事件 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-2.D | AU-2.D 审计事件 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-3(1) | AU-3(1) 审计记录的内容 \| 其他审计信息 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [elasticsearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [opensearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-3.A | AU-3.A 审计记录的内容 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-5.A | AU-5.A 对审计处理失败的响应 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-AU-5.B | AU-5.B 对审计处理失败的响应 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-AU-6(1) | AU-6(1) 审计审查、分析和报告 \| 流程集成 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-AU-6(1) | AU-6(1) 审计审查、分析和报告 \| 流程集成 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-6(1) | AU-6(1) 审计审查、分析和报告 \| 流程集成 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-6(1) | AU-6(1) 审计审查、分析和报告 \| 流程集成 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-AU-6(1) | AU-6(1) 审计审查、分析和报告 \| 流程集成 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-6(1) | AU-6(1) 审计审查、分析和报告 \| 流程集成 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [elasticsearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [opensearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-6(3) | AU-6(3) 审计审查、分析和报告 \| 关联审计存储库 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-7(1) | AU-7(1) 减少审计并生成报告 \| 自动处理 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [elasticsearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [opensearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-8.B | AU-8.B 时间戳 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-9(2) | AU-9(2) 审计信息保护 \| 在单独的物理系统/组件上进行审计备份 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-AU-9(2) | AU-9(2) 审计信息保护 \| 在单独的物理系统/组件上进行审计备份 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-AU-9(2) | AU-9(2) 审计信息保护 \| 在单独的物理系统/组件上进行审计备份 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-AU-9.A | AU-9.A 审核信息的保护 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-AU-9.A | AU-9.A 审核信息的保护 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-AU-9.A | AU-9.A 审核信息的保护 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-AU-11.A | AU-11.A 审核记录保留 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-AU-11.B | AU-11.B 审核记录保留 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-AU-11.C | AU-11.C 审核记录保留 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [elasticsearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [opensearch-logs-to-cloudwatch](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-logs-to-cloudwatch.html) | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-12.A | AU-12.A 审计生成 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-AU-12.C | AU-12.C 审计生成 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [eip-attached](https://docs.aws.amazon.com/config/latest/developerguide/eip-attached.html) | 此规则可确保分配给 Amazon Virtual Private Cloud（Amazon VPC）的弹性 IP 附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或正在使用的弹性网络接口。此规则有助于监控您的环境 EIPs 中未使用的情况。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-CA-3(5) | CA-3(5) 系统互连 \| 对外部网络连接的限制 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [api-gw-xray-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-xray-enabled.html) | AWS X-Ray 收集有关您的应用程序所处理的请求的数据，并提供可用于查看、筛选和深入了解这些数据的工具，以识别问题和优化机会。确保启用 X-Ray，这样您不仅可以看到有关请求和响应的详细信息，还可以查看应用程序对下游 AWS 资源、微服务、数据库和 HTTP Web APIs 的调用的详细信息。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CA-7.A | CA-7.A 持续监控 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [api-gw-xray-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-xray-enabled.html) | AWS X-Ray 收集有关您的应用程序所处理的请求的数据，并提供可用于查看、筛选和深入了解这些数据的工具，以识别问题和优化机会。确保启用 X-Ray，这样您不仅可以看到有关请求和响应的详细信息，还可以查看应用程序对下游 AWS 资源、微服务、数据库和 HTTP Web APIs 的调用的详细信息。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [eip-attached](https://docs.aws.amazon.com/config/latest/developerguide/eip-attached.html) | 此规则可确保分配给 Amazon Virtual Private Cloud（Amazon VPC）的弹性 IP 附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或正在使用的弹性网络接口。此规则有助于监控您的环境 EIPs 中未使用的情况。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CA-7.B | CA-7.B 持续监控 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [api-gw-xray-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-xray-enabled.html) | AWS X-Ray 收集有关您的应用程序所处理的请求的数据，并提供可用于查看、筛选和深入了解这些数据的工具，以识别问题和优化机会。确保启用 X-Ray，这样您不仅可以看到有关请求和响应的详细信息，还可以查看应用程序对下游 AWS 资源、微服务、数据库和 HTTP Web APIs 的调用的详细信息。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [eip-attached](https://docs.aws.amazon.com/config/latest/developerguide/eip-attached.html) | 此规则可确保分配给 Amazon Virtual Private Cloud（Amazon VPC）的弹性 IP 附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或正在使用的弹性网络接口。此规则有助于监控您的环境 EIPs 中未使用的情况。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CA-7.C | CA-7.C 持续监控 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [api-gw-xray-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-xray-enabled.html) | AWS X-Ray 收集有关您的应用程序所处理的请求的数据，并提供可用于查看、筛选和深入了解这些数据的工具，以识别问题和优化机会。确保启用 X-Ray，这样您不仅可以看到有关请求和响应的详细信息，还可以查看应用程序对下游 AWS 资源、微服务、数据库和 HTTP Web APIs 的调用的详细信息。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [eip-attached](https://docs.aws.amazon.com/config/latest/developerguide/eip-attached.html) | 此规则可确保分配给 Amazon Virtual Private Cloud（Amazon VPC）的弹性 IP 附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或正在使用的弹性网络接口。此规则有助于监控您的环境 EIPs 中未使用的情况。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CA-7.D | CA-7.D 持续监控 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [api-gw-xray-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-xray-enabled.html) | AWS X-Ray 收集有关您的应用程序所处理的请求的数据，并提供可用于查看、筛选和深入了解这些数据的工具，以识别问题和优化机会。确保启用 X-Ray，这样您不仅可以看到有关请求和响应的详细信息，还可以查看应用程序对下游 AWS 资源、微服务、数据库和 HTTP Web APIs 的调用的详细信息。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [eip-attached](https://docs.aws.amazon.com/config/latest/developerguide/eip-attached.html) | 此规则可确保分配给 Amazon Virtual Private Cloud（Amazon VPC）的弹性 IP 附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或正在使用的弹性网络接口。此规则有助于监控您的环境 EIPs 中未使用的情况。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CA-7.E | CA-7.E 持续监控 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [api-gw-xray-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-xray-enabled.html) | AWS X-Ray 收集有关您的应用程序所处理的请求的数据，并提供可用于查看、筛选和深入了解这些数据的工具，以识别问题和优化机会。确保启用 X-Ray，这样您不仅可以看到有关请求和响应的详细信息，还可以查看应用程序对下游 AWS 资源、微服务、数据库和 HTTP Web APIs 的调用的详细信息。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [eip-attached](https://docs.aws.amazon.com/config/latest/developerguide/eip-attached.html) | 此规则可确保分配给 Amazon Virtual Private Cloud（Amazon VPC）的弹性 IP 附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或正在使用的弹性网络接口。此规则有助于监控您的环境 EIPs 中未使用的情况。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CA-7.F | CA-7.F 持续监控 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [api-gw-xray-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-xray-enabled.html) | AWS X-Ray 收集有关您的应用程序所处理的请求的数据，并提供可用于查看、筛选和深入了解这些数据的工具，以识别问题和优化机会。确保启用 X-Ray，这样您不仅可以看到有关请求和响应的详细信息，还可以查看应用程序对下游 AWS 资源、微服务、数据库和 HTTP Web APIs 的调用的详细信息。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [eip-attached](https://docs.aws.amazon.com/config/latest/developerguide/eip-attached.html) | 此规则可确保分配给 Amazon Virtual Private Cloud（Amazon VPC）的弹性 IP 附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例或正在使用的弹性网络接口。此规则有助于监控您的环境 EIPs 中未使用的情况。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CA-7.G | CA-7.G 持续监控 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-CA-9.A | CA-9.A 内部系统连接 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-CM-2.A | CM-2.A 基线配置 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-2.A | CM-2.A 基线配置 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-2.A | CM-2.A 基线配置 | [ec2-stopped-instance](https://docs.aws.amazon.com/config/latest/developerguide/ec2-stopped-instance.html) | 根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。 | 
| CCCS-fPBMM-CM-2.A | CM-2.A 基线配置 | [ec2-volume-inuse-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-volume-inuse-check.html) | 此规则可确保附加到 Amazon Elastic Compute Cloud（Amazon EC2）实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。 | 
| CCCS-fPBMM-CM-2.A | CM-2.A 基线配置 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CM-2.A | CM-2.A 基线配置 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-2.A | CM-2.A 基线配置 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-3.A | CM-3.A 配置变更控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-3.A | CM-3.A 配置变更控制 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-3.B | CM-3.B 配置变更控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-3.B | CM-3.B 配置变更控制 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-3.C | CM-3.C 配置变更控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-3.C | CM-3.C 配置变更控制 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-3.D | CM-3.D 配置变更控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-3.D | CM-3.D 配置变更控制 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-3.E | CM-3.E 配置变更控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-3.E | CM-3.E 配置变更控制 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-3.F | CM-3F 配置变更控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-3.F | CM-3F 配置变更控制 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-3.G | CM-3.G 配置变更控制 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-3.G | CM-3.G 配置变更控制 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [secretsmanager-rotation-enabled-check](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-rotation-enabled-check.html) | 此规则可确保 S AWS ecrets Manager 密钥已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [secretsmanager-scheduled-rotation-success-检查](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-scheduled-rotation-success-check.html) | 此规则可确保 S AWS ecrets Manager 密钥已根据轮换计划成功轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CM-5(1) | CM-5(1) 变更访问限制 \| 强制自动访问/审计 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-CM-5(5) | CM-5(5) 变更访问限制 \| 限制生产/操作权限 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-CM-5.A | CM-5.A 变更访问限制 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6(1) | CM-6(1) 配置设置 \| 自动集中管理/应用程序/验证 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-6(1) | CM-6(1) 配置设置 \| 自动集中管理/应用程序/验证 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-6(1) | CM-6(1) 配置设置 \| 自动集中管理/应用程序/验证 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [cmk-backing-key-rotation-已启用](https://docs.aws.amazon.com/config/latest/developerguide/cmk-backing-key-rotation-enabled.html) | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-CM-6.A | CM-6.A 配置设置 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [cmk-backing-key-rotation-已启用](https://docs.aws.amazon.com/config/latest/developerguide/cmk-backing-key-rotation-enabled.html) | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-CM-6.B | CM-6.B 配置设置 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [cmk-backing-key-rotation-已启用](https://docs.aws.amazon.com/config/latest/developerguide/cmk-backing-key-rotation-enabled.html) | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-CM-6.C | CM-6.C 配置设置 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [cmk-backing-key-rotation-已启用](https://docs.aws.amazon.com/config/latest/developerguide/cmk-backing-key-rotation-enabled.html) | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-CM-6.D | CM-6.D 配置设置 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-CM-7.A | CM-7.A 最少功能 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CM-7.A | CM-7.A 最少功能 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-7.B | CM-7.B 最少功能 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-CM-7.B | CM-7.B 最少功能 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CM-8(1) | CM-8(1) 信息系统组件清单 \| 安装/移除期间更新 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8(1) | CM-8(1) 信息系统组件清单 \| 安装/移除期间更新 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-8(2) | CM-8(2) 信息系统组件清单 \| 自动维护 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8(2) | CM-8(2) 信息系统组件清单 \| 自动维护 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-8(3) | CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8(3) | CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-8(3) | CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-CM-8(3) | CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-CM-8.A | CM-8.A 信息系统组件清单 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8.A | CM-8.A 信息系统组件清单 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-8.B | CM-8.B 信息系统组件清单 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8.B | CM-8.B 信息系统组件清单 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-8.C | CM-8.C 信息系统组件清单 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8.C | CM-8.C 信息系统组件清单 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-8.D | CM-8.D 信息系统组件清单 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8.D | CM-8.D 信息系统组件清单 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CM-8.E | CM-8.E 信息系统组件清单 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-CM-8.E | CM-8.E 信息系统组件清单 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-2(5) | CP-2(5) 应急计划 \| 继续执行基本任务/业务职能 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2(6) | CP-2(6) 应急计划 \| 备用处理/存储地点 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2(6) | CP-2(6) 应急计划 \| 备用处理/存储地点 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2(6) | CP-2(6) 应急计划 \| 备用处理/存储地点 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CP-2(6) | CP-2(6) 应急计划 \| 备用处理/存储地点 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2(6) | CP-2(6) 应急计划 \| 备用处理/存储地点 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2(6) | CP-2(6) 应急计划 \| 备用处理/存储地点 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.A | CP-2.A 应急计划 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.B | CP-2.B 应急计划 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.C | CP-2.C 应急计划 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.D | CP-2.D 应急计划 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.E | CP-2.E 应急计划 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.F | CP-2.F 应急计划 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [rds-cluster-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [rds-instance-deletion-protection-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-deletion-protection-enabled.html) | 确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-2.G | CP-2.G 应急计划 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-6(1) | CP-6(1) 备用存储站点 \| 与主站点分离 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-6(2) | CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-6.A | CP-6.A 备用存储站点 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-6.B | CP-6.B 备用存储站点 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-9(3) | CP-9(3) 信息系统备份 \| 独立存储关键信息 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-9(7) | CP-9(7) 信息系统备份 \| 双重授权 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-9(7) | CP-9(7) 信息系统备份 \| 双重授权 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-9.A | CP-9.A 信息系统备份 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-9.AA | CP-9.AA 信息系统备份 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-9.B | CP-9.B 信息系统备份 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-9.C | CP-9.C 信息系统备份 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [aurora-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/aurora-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [backup-plan-min-frequency-and-min-retention-check](https://docs.aws.amazon.com/config/latest/developerguide/backup-plan-min-frequency-and-min-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [backup-recovery-point-manual-删除-已禁用](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-manual-deletion-disabled.html) | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [backup-recovery-point-minimum-保留检查](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-minimum-retention-check.html) | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [dynamodb-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 资源。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [ebs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/ebs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [ec2 resources-protected-by-backup-计划](https://docs.aws.amazon.com/config/latest/developerguide/ec2-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [efs-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/efs-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [fsx-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/fsx-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的 Amazon FSx 文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [rds-resources-protected-by-备份计划](https://docs.aws.amazon.com/config/latest/developerguide/rds-resources-protected-by-backup-plan.html) | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 资源包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-9.D | CP-9.D 信息系统备份 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [db-instance-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/db-instance-backup-enabled.html) | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [dynamodb-pitr-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-pitr-enabled.html) | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [ebs-optimized-instance](https://docs.aws.amazon.com/config/latest/developerguide/ebs-optimized-instance.html) | Amazon Elastic Block Store (Amazon EBS) 中的优化实例可为亚马逊 I/O operations. This optimization provides the most efficient performance for your EBS volumes by minimizing contention between Amazon EBS I/O EBS 操作和来自您的实例的其他流量提供额外的专用容量。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [elasticache-redis-cluster-automatic-备份检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html) | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [redshift-backup-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-backup-enabled.html) | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [s3-bucket-replication-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-replication-enabled.html) | Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [s3-bucket-versioning-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-versioning-enabled.html) | Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | 
| CCCS-fPBMM-CP-10.A | CP-10.A 信息系统的恢复和重建 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-IA-2(1) | IA-2(1) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-2(1) | IA-2(1) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-2(1) | IA-2(1) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-2(3) | IA-2(3) 识别和身份验证（组织用户）\| 特权账户的本地访问权限 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-2(3) | IA-2(3) 识别和身份验证（组织用户）\| 特权账户的本地访问权限 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-2(3) | IA-2(3) 识别和身份验证（组织用户）\| 特权账户的本地访问权限 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-2(8) | IA-2(8) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 - 防重播 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-2(8) | IA-2(8) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 - 防重播 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-2(8) | IA-2(8) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 - 防重播 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-2(11) | IA-2(11) 识别和身份验证（组织用户）\| 远程访问 - 独立设备 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-2(11) | IA-2(11) 识别和身份验证（组织用户）\| 远程访问 - 独立设备 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-2(11) | IA-2(11) 识别和身份验证（组织用户）\| 远程访问 - 独立设备 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-2.A | IA-2.A 识别和身份验证（组织用户） | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-2.A | IA-2.A 识别和身份验证（组织用户） | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-2.A | IA-2.A 识别和身份验证（组织用户） | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-2.A | IA-2.A 识别和身份验证（组织用户） | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-4(4) | IA-4(4) 标识符管理 \| 识别用户状态 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-IA-4.A | IA-4.A 标识符管理 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.A | IA-4.A 标识符管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.A | IA-4.A 标识符管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-IA-4.B | IA-4.B 标识符管理 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.B | IA-4.B 标识符管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.B | IA-4.B 标识符管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-IA-4.C | IA-4.C 标识符管理 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.C | IA-4.C 标识符管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.C | IA-4.C 标识符管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-IA-4.D | IA-4.D 标识符管理 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.D | IA-4.D 标识符管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.D | IA-4.D 标识符管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-IA-4.E | IA-4.E 标识符管理 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.E | IA-4.E 标识符管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-4.E | IA-4.E 标识符管理 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-IA-5(1) | IA-5(1) 身份验证器管理 \| 基于密码的身份验证 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5(2) | IA-5(2) 身份验证器管理 \| 基于 PKI 的身份验证 | [elbv2-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elbv2-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-IA-5(2) | IA-5(2) 身份验证器管理 \| 基于 PKI 的身份验证 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-IA-5(4) | IA-5(4) 身份验证器管理 \| 自动支持密码强度确定 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5(8) | IA-5(8) 身份验证器管理 \| 多个信息系统账户 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-IA-5(8) | IA-5(8) 身份验证器管理 \| 多个信息系统账户 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5(8) | IA-5(8) 身份验证器管理 \| 多个信息系统账户 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.A | IA-5.A 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.A | IA-5.A 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.A | IA-5.A 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.A | IA-5.A 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.B | IA-5.B 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.B | IA-5.B 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.B | IA-5.B 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.B | IA-5.B 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.C | IA-5.C 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.C | IA-5.C 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.C | IA-5.C 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.C | IA-5.C 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.D | IA-5.D 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.D | IA-5.D 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.D | IA-5.D 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.D | IA-5.D 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.E | IA-5.E 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.E | IA-5.E 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.E | IA-5.E 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.E | IA-5.E 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.F | IA-5.F 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.F | IA-5.F 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.F | IA-5.F 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.F | IA-5.F 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.G | IA-5.G 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.G | IA-5.G 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.G | IA-5.G 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.G | IA-5.G 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.H | IA-5.H 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.H | IA-5.H 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.H | IA-5.H 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.H | IA-5.H 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.I | IA-5.I 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.I | IA-5.I 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.I | IA-5.I 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.I | IA-5.I 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IA-5.J | IA-5.J 身份验证器管理 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-IA-5.J | IA-5.J 身份验证器管理 | [iam-user-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-mfa-enabled.html) | 启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。 | 
| CCCS-fPBMM-IA-5.J | IA-5.J 身份验证器管理 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-IA-5.J | IA-5.J 身份验证器管理 | [root-account-mfa-enabled](https://docs.aws.amazon.com/config/latest/developerguide/root-account-mfa-enabled.html) | 通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户 | 
| CCCS-fPBMM-IR-6(1) | IR-6(1) 事件报告 \| 自动报告 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-MA-3.A | MA-3.A 维护工具 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-MA-3.A | MA-3.A 维护工具 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [api-gw-execution-logging-已启用](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-execution-logging-enabled.html) | API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [cloudtrail-s3-dataevents-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-s3-dataevents-enabled.html) | 收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [cloud-trail-cloud-watch-启用日志](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-cloud-watch-logs-enabled.html) | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [elb-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-logging-enabled.html) | Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [rds-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-logging-enabled.html) | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [s3-bucket-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-logging-enabled.html) | Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-MA-4(1) | MA-4(1) 非本地维护 \| 审计和审查 | [wafv2-logging-enabled](https://docs.aws.amazon.com/config/latest/developerguide/wafv2-logging-enabled.html) | 要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [ec2-imdsv2-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-imdsv2-check.html) | 确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [ecs-task-definition-user-for-host-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/ecs-task-definition-user-for-host-mode-check.html) | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [emr-kerberos-enabled](https://docs.aws.amazon.com/config/latest/developerguide/emr-kerberos-enabled.html) | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-customer-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-customer-policy-blocked-kms-actions.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-inline-policy-blocked-kms 动作](https://docs.aws.amazon.com/config/latest/developerguide/iam-inline-policy-blocked-kms-actions.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-no-inline-policy-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-no-inline-policy-check.html) | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-MP-2.A | MP-2.A 媒体访问权限 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-RA-5.A | RA-5.A 漏洞扫描 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-RA-5.B | RA-5.B 漏洞扫描 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-RA-5.C | RA-5.C 漏洞扫描 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-RA-5.D | RA-5.D 漏洞扫描 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-RA-5.E | RA-5.E 漏洞扫描 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SA-10(1) | SA-10(1) 开发人员配置管理 \| 软件/固件完整性验证 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SC-5.A | SC-5.A 拒绝服务防护 | [alb-waf-enabled](https://docs.aws.amazon.com/config/latest/developerguide/alb-waf-enabled.html) | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或防 APIs 范常见的 Web 漏洞。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | 
| CCCS-fPBMM-SC-5.A | SC-5.A 拒绝服务防护 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [dynamodb-autoscaling-enabled](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-autoscaling-enabled.html) | Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [elb-cross-zone-load-启用平衡](https://docs.aws.amazon.com/config/latest/developerguide/elb-cross-zone-load-balancing-enabled.html) | 为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [rds-cluster-multi-az-已启用](https://docs.aws.amazon.com/config/latest/developerguide/rds-cluster-multi-az-enabled.html) | Amazon Relational Database Service（Amazon RDS）集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [rds-multi-az-support](https://docs.aws.amazon.com/config/latest/developerguide/rds-multi-az-support.html) | Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | 
| CCCS-fPBMM-SC-6.A | SC-6.A 资源可用性 | [vpc-vpn-2-tunnels-up](https://docs.aws.amazon.com/config/latest/developerguide/vpc-vpn-2-tunnels-up.html) | 可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-SC-7(3) | SC-7(3) 边界保护 \| 接入点 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-SC-7(4) | SC-7(4) 边界保护 \| 外部电信服务 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-SC-7(5) | SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-SC-7(5) | SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7(5) | SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-SC-7(5) | SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-SC-7(7) | SC-7(7) 边界保护 \| 防止为远程设备分割隧道 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-SC-7.A | SC-7.A 边界保护 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-SC-7.B | SC-7.B 边界保护 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [restricted-ssh](https://docs.aws.amazon.com/config/latest/developerguide/restricted-ssh.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [restricted-common-ports](https://docs.aws.amazon.com/config/latest/developerguide/restricted-common-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [vpc-default-security-group-已关闭](https://docs.aws.amazon.com/config/latest/developerguide/vpc-default-security-group-closed.html) | Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。 | 
| CCCS-fPBMM-SC-7.C | SC-7.C 边界保护 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8(1) | SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-8.A | SC-8.A 传输机密性和完整性 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-12(1) | SC-12(1) 加密密钥的建立和管理 \| 可用性 | [kms-cmk-not-scheduled-用于删除](https://docs.aws.amazon.com/config/latest/developerguide/kms-cmk-not-scheduled-for-deletion.html) | 为了帮助保护静态数据，请确保在密钥管理服务 (KMSCMKs) 中没有计划删除必要的客户主 AWS 密AWS 钥 ()。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | 
| CCCS-fPBMM-SC-12(2) | SC-12(2) 加密密钥的建立和管理 \| 对称密钥 | [cmk-backing-key-rotation-已启用](https://docs.aws.amazon.com/config/latest/developerguide/cmk-backing-key-rotation-enabled.html) | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | 
| CCCS-fPBMM-SC-12(2) | SC-12(2) 加密密钥的建立和管理 \| 对称密钥 | [kms-cmk-not-scheduled-用于删除](https://docs.aws.amazon.com/config/latest/developerguide/kms-cmk-not-scheduled-for-deletion.html) | 为了帮助保护静态数据，请确保在密钥管理服务 (KMSCMKs) 中没有计划删除必要的客户主 AWS 密AWS 钥 ()。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | 
| CCCS-fPBMM-SC-12.A | SC-12.A 加密密钥的建立和管理 | [cmk-backing-key-rotation-已启用](https://docs.aws.amazon.com/config/latest/developerguide/cmk-backing-key-rotation-enabled.html) | 启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。 | 
| CCCS-fPBMM-SC-12.A | SC-12.A 加密密钥的建立和管理 | [kms-cmk-not-scheduled-用于删除](https://docs.aws.amazon.com/config/latest/developerguide/kms-cmk-not-scheduled-for-deletion.html) | 为了帮助保护静态数据，请确保在密钥管理服务 (KMSCMKs) 中没有计划删除必要的客户主 AWS 密AWS 钥 ()。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [elasticsearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [opensearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [rds-storage-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-storage-encrypted.html) | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [redshift-cluster-kms-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-kms-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [sagemaker-endpoint-configuration-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-endpoint-configuration-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [sagemaker-notebook-instance-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-instance-kms-key-configured.html) | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [secretsmanager-using-cmk](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-using-cmk.html) | 为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-13.A | SC-13.A 加密保护 | [sns-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html) | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-22.A | SC-22.A 名称/地址解析服务的架构和配置 | [elb-deletion-protection-enabled](https://docs.aws.amazon.com/config/latest/developerguide/elb-deletion-protection-enabled.html) | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [alb-http-to-https-重定向检查](https://docs.aws.amazon.com/config/latest/developerguide/alb-http-to-https-redirection-check.html) | 为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [api-gw-ssl-enabled](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-ssl-enabled.html) | 确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-23.A | SC-23.A 真实性 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [elasticsearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [opensearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [rds-storage-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-storage-encrypted.html) | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [redshift-cluster-kms-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-kms-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [sagemaker-endpoint-configuration-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-endpoint-configuration-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [sagemaker-notebook-instance-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-instance-kms-key-configured.html) | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [secretsmanager-using-cmk](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-using-cmk.html) | 为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28(1) | SC-28(1) 静态信息保护 \| 加密保护 | [sns-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html) | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [elasticsearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [elb-acm-certificate-required](https://docs.aws.amazon.com/config/latest/developerguide/elb-acm-certificate-required.html) | 由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [elb-predefined-security-policy-ssl-check](https://docs.aws.amazon.com/config/latest/developerguide/elb-predefined-security-policy-ssl-check.html) | 为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [elb-tls-https-listeners-只有](https://docs.aws.amazon.com/config/latest/developerguide/elb-tls-https-listeners-only.html) | 确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [opensearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [rds-storage-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-storage-encrypted.html) | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [redshift-cluster-kms-enabled](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-kms-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了密 AWS 钥管理服务 (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [redshift-require-tls-ssl](https://docs.aws.amazon.com/config/latest/developerguide/redshift-require-tls-ssl.html) | 确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [s3-bucket-ssl-requests-only](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-ssl-requests-only.html) | 为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [sagemaker-endpoint-configuration-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-endpoint-configuration-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [sagemaker-notebook-instance-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-instance-kms-key-configured.html) | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [secretsmanager-using-cmk](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-using-cmk.html) | 为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SC-28.A | SC-28.A 静态信息保护 | [sns-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html) | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [elastic-beanstalk-managed-updates-已启用](https://docs.aws.amazon.com/config/latest/developerguide/elastic-beanstalk-managed-updates-enabled.html) | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-SI-2(2) | SI-2(2) 缺陷修复 \| 自动缺陷修复状态 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2(3) | SI-2(3) 缺陷修复 \| 缺陷修复时间/纠正措施的基准 | [guardduty-non-archived-findings](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-non-archived-findings.html) | Amazon 按严重程度对调查结果进行分类：低、中、高，从而 GuardDuty 帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的 daysLowSev 要求选择性地为非存档的查找结果设置 daysMediumSev （配置默认：30）、 daysHighSev （配置默认值：7）和（配置默认：1）。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [elastic-beanstalk-managed-updates-已启用](https://docs.aws.amazon.com/config/latest/developerguide/elastic-beanstalk-managed-updates-enabled.html) | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-SI-2.A | SI-2.A 缺陷修复 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [elastic-beanstalk-managed-updates-已启用](https://docs.aws.amazon.com/config/latest/developerguide/elastic-beanstalk-managed-updates-enabled.html) | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-SI-2.B | SI-2.B 缺陷修复 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [elastic-beanstalk-managed-updates-已启用](https://docs.aws.amazon.com/config/latest/developerguide/elastic-beanstalk-managed-updates-enabled.html) | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-SI-2.C | SI-2.C 缺陷修复 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [autoscaling-group-elb-healthcheck-必填项](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-group-elb-healthcheck-required.html) | Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [beanstalk-enhanced-health-reporting-已启用](https://docs.aws.amazon.com/config/latest/developerguide/beanstalk-enhanced-health-reporting-enabled.html) | AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些变更可能会导致应用程序的可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [dynamodb-throughput-limit-check](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-throughput-limit-check.html) | 启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张桌子可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [ec2-instance-detailed-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-detailed-monitoring-enabled.html) | 启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud（Amazon EC2）实例监控，该控制台以 1 分钟为周期显示实例的监控图。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [elastic-beanstalk-managed-updates-已启用](https://docs.aws.amazon.com/config/latest/developerguide/elastic-beanstalk-managed-updates-enabled.html) | 为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [rds-enhanced-monitoring-enabled](https://docs.aws.amazon.com/config/latest/developerguide/rds-enhanced-monitoring-enabled.html) | 启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。 | 
| CCCS-fPBMM-SI-2.D | SI-2.D 缺陷修复 | [redshift-cluster-maintenancesettings-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-maintenancesettings-check.html) | 此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。 | 
| CCCS-fPBMM-SI-3(1) | SI-3(1) 恶意代码防护 \| 集中管理 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-3(7) | SI-3(7) 恶意代码防护 \| 非基于签名的检测 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-3.A | SI-3.A 恶意代码防护 | [alb-waf-enabled](https://docs.aws.amazon.com/config/latest/developerguide/alb-waf-enabled.html) | 确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或防 APIs 范常见的 Web 漏洞。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。 | 
| CCCS-fPBMM-SI-3.A | SI-3.A 恶意代码防护 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-3.A | SI-3.A 恶意代码防护 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-3.A | SI-3.A 恶意代码防护 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-3.A | SI-3.A 恶意代码防护 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-3.B | SI-3.B 恶意代码防护 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-3.B | SI-3.B 恶意代码防护 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-3.B | SI-3.B 恶意代码防护 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-3.B | SI-3.B 恶意代码防护 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-3.C | SI-3.C 恶意代码防护 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-3.C | SI-3.C 恶意代码防护 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-3.C | SI-3.C 恶意代码防护 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-3.C | SI-3.C 恶意代码防护 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-3.D | SI-3.D 恶意代码防护 | [ec2-管理instance-managed-by-systems器](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-managed-by-systems-manager.html) | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | 
| CCCS-fPBMM-SI-3.D | SI-3.D 恶意代码防护 | [ec2-managedinstance-association-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-association-compliance-status-check.html) | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | 
| CCCS-fPBMM-SI-3.D | SI-3.D 恶意代码防护 | [ec2-managedinstance-patch-compliance-status-check](https://docs.aws.amazon.com/config/latest/developerguide/ec2-managedinstance-patch-compliance-status-check.html) | 启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。 | 
| CCCS-fPBMM-SI-3.D | SI-3.D 恶意代码防护 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4(1) | SI-4(1) 信息系统监控 \| 全系统入侵检测系统 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4(1) | SI-4(1) 信息系统监控 \| 全系统入侵检测系统 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4(2) | SI-4(2) 信息系统监控 \| 用于实时分析的自动化工具 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4(2) | SI-4(2) 信息系统监控 \| 用于实时分析的自动化工具 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4(4) | SI-4(4) 信息系统监控 \| 入站和出站通信流量 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4(4) | SI-4(4) 信息系统监控 \| 入站和出站通信流量 | [vpc-flow-logs-enabled](https://docs.aws.amazon.com/config/latest/developerguide/vpc-flow-logs-enabled.html) | VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。 | 
| CCCS-fPBMM-SI-4(5) | SI-4(5) 信息系统监控 \| 系统生成的警报 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4(11) | SI-4(11) 信息系统监控 \| 分析通信流量异常 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4(11) | SI-4(11) 信息系统监控 \| 分析通信流量异常 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4(16) | SI-4(16) 信息系统监控 \| 关联监控信息 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4(16) | SI-4(16) 信息系统监控 \| 关联监控信息 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4(20) | SI-4(20) 信息系统监控 \| 特权用户 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| CCCS-fPBMM-SI-4(23) | SI-4(23) 信息系统监控 \| 基于主机的设备 | [cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloudtrail-enabled.html) | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | 
| CCCS-fPBMM-SI-4(23) | SI-4(23) 信息系统监控 \| 基于主机的设备 | [multi-region-cloudtrail-enabled](https://docs.aws.amazon.com/config/latest/developerguide/multi-region-cloudtrail-enabled.html) | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI\_REGION\_CLOUD\_TRAIL\_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | 
| CCCS-fPBMM-SI-4.A | SI-4.A 信息系统监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4.A | SI-4.A 信息系统监控 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-4.A | SI-4.A 信息系统监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4.A | SI-4.A 信息系统监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-4.A | SI-4.A 信息系统监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4.B | SI-4.B 信息系统监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4.B | SI-4.B 信息系统监控 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-4.B | SI-4.B 信息系统监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4.B | SI-4.B 信息系统监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-4.B | SI-4.B 信息系统监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4.C | SI-4.C 信息系统监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4.C | SI-4.C 信息系统监控 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-4.C | SI-4.C 信息系统监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4.C | SI-4.C 信息系统监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-4.C | SI-4.C 信息系统监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4.D | SI-4.D 信息系统监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4.D | SI-4.D 信息系统监控 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-4.D | SI-4.D 信息系统监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4.D | SI-4.D 信息系统监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-4.D | SI-4.D 信息系统监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4.E | SI-4.E 信息系统监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4.E | SI-4.E 信息系统监控 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-4.E | SI-4.E 信息系统监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4.E | SI-4.E 信息系统监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-4.E | SI-4.E 信息系统监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4.F | SI-4.F 信息系统监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4.F | SI-4.F 信息系统监控 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-4.F | SI-4.F 信息系统监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4.F | SI-4.F 信息系统监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-4.F | SI-4.F 信息系统监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-4.G | SI-4.G 信息系统监控 | [cloudwatch-alarm-action-check](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-alarm-action-check.html) | 当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。 | 
| CCCS-fPBMM-SI-4.G | SI-4.G 信息系统监控 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-4.G | SI-4.G 信息系统监控 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-4.G | SI-4.G 信息系统监控 | [lambda-dlq-check](https://docs.aws.amazon.com/config/latest/developerguide/lambda-dlq-check.html) | 启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service（Amazon SQS）或 Amazon Simple Notification Service（Amazon SNS）通知相关人员。 | 
| CCCS-fPBMM-SI-4.G | SI-4.G 信息系统监控 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| CCCS-fPBMM-SI-5.A | SI-5.A 安全警报、公告和指令 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-5.B | SI-5.B 安全警报、公告和指令 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-5.C | SI-5.C 安全警报、公告和指令 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-5.D | SI-5.D 安全警报、公告和指令 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| CCCS-fPBMM-SI-7(1) | SI-7(1) 软件、固件和信息完整性 \| 完整性检查 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-7(7) | SI-7(7) 软件、固件和信息完整性 \| 检测和响应集成 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-7.A | SI-7.A 软件、固件和信息完整性 | [cloud-trail-log-file-已启用验证](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-log-file-validation-enabled.html) | 利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。 | 
| CCCS-fPBMM-SI-12.A | SI-12.A 信息处理和保留 | [cw-loggroup-retention-period-检查](https://docs.aws.amazon.com/config/latest/developerguide/cw-loggroup-retention-period-check.html) | 确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。 | 

## 模板
<a name="ccs_medium-conformance-pack-sample"></a>

该模板可在以下网址获得 GitHub：[加拿大网络安全中心 (CCCS) 中型云控制概况的运营最佳实践](https://github.com/awslabs/aws-config-rules/blob/master/aws-config-conformance-packs/Operational-Best-Practices-for-CCCS-Medium.yaml)。