本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 《格雷姆-里奇-布里利法案》(GLBA) 操作最佳实践
<a name="operational-best-practices-for-gramm-leach-bliley-act"></a>

Conformance Pack 提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。

以下提供了 Ac Gramm-Leach-Bliley t (GLBA) 和 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定 AWS 资源，并与一个或多个 GLBA 控件相关。一个 GLBA 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。


****  

| 控制 ID  | 控制描述  | AWS Config 规则  | 指南  | 
| --- | --- | --- | --- | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [dms-replication-not-public](https://docs.aws.amazon.com/config/latest/developerguide/dms-replication-not-public.html) | 通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [ebs-snapshot-public-restorable-检查](https://docs.aws.amazon.com/config/latest/developerguide/ebs-snapshot-public-restorable-check.html) | 通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [ec2-instance-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instance-no-public-ip.html) | 通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [elasticsearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [emr-master-no-public-ip](https://docs.aws.amazon.com/config/latest/developerguide/emr-master-no-public-ip.html) | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [ec2-instances-in-vpc](https://docs.aws.amazon.com/config/latest/developerguide/ec2-instances-in-vpc.html) | 在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [internet-gateway-authorized-vpc-只有](https://docs.aws.amazon.com/config/latest/developerguide/internet-gateway-authorized-vpc-only.html) | 通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [lambda-function-public-access-禁止](https://docs.aws.amazon.com/config/latest/developerguide/lambda-function-public-access-prohibited.html) | 通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [lambda-inside-vpc](https://docs.aws.amazon.com/config/latest/developerguide/lambda-inside-vpc.html) | 在亚马逊虚拟私有云（亚马逊 VPC）中部署 AWS Lambda 函数，以便在亚马逊 VPC 内的函数与其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应 AWS 将 Lambda 函数分配给 VPC。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [rds-instance-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/rds-instance-public-access-check.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [rds-snapshots-public-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshots-public-prohibited.html) | 通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [redshift-cluster-public-access-检查](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-public-access-check.html) | 通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [s3--account-level-public-access 区块-周期性](https://docs.aws.amazon.com/config/latest/developerguide/s3-account-level-public-access-blocks-periodic.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [s3-bucket-public-read-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-read-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [sagemaker-notebook-no-direct-互联网接入](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-no-direct-internet-access.html) | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [autoscaling-launch-config-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/autoscaling-launch-config-public-ip-disabled.html) | 如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [s3-bucket-level-public-access-禁止使用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-level-public-access-prohibited.html) | 确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [s3-bucket-public-write-prohibited](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-public-write-prohibited.html) | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [ssm-document-not-public](https://docs.aws.amazon.com/config/latest/developerguide/ssm-document-not-public.html) | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [subnet-auto-assign-public-ip 已禁用](https://docs.aws.amazon.com/config/latest/developerguide/subnet-auto-assign-public-ip-disabled.html) | 通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [vpc-sg-open-only-to-authorized-ports](https://docs.aws.amazon.com/config/latest/developerguide/vpc-sg-open-only-to-authorized-ports.html) | 通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。 | 
| GLBA-SEC.501(b) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准。 | [opensearch-in-vpc-only](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-in-vpc-only.html) | 通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [api-gw-cache-enabled并已加密](https://docs.aws.amazon.com/config/latest/developerguide/api-gw-cache-enabled-and-encrypted.html) | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [cloud-trail-encryption-enabled](https://docs.aws.amazon.com/config/latest/developerguide/cloud-trail-encryption-enabled.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [cloudwatch-log-group-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/cloudwatch-log-group-encrypted.html) | 为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [efs-encrypted-check](https://docs.aws.amazon.com/config/latest/developerguide/efs-encrypted-check.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [elasticsearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [encrypted-volumes](https://docs.aws.amazon.com/config/latest/developerguide/encrypted-volumes.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [rds-storage-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-storage-encrypted.html) | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [redshift-cluster-configuration-check](https://docs.aws.amazon.com/config/latest/developerguide/redshift-cluster-configuration-check.html) | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [s3-已bucket-server-side-encryption启用](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-server-side-encryption-enabled.html) | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [sagemaker-endpoint-configuration-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-endpoint-configuration-kms-key-configured.html) | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [sagemaker-notebook-instance-kms-密钥已配置](https://docs.aws.amazon.com/config/latest/developerguide/sagemaker-notebook-instance-kms-key-configured.html) | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [sns-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/sns-encrypted-kms.html) | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [ec2-ebs-encryption-by-default](https://docs.aws.amazon.com/config/latest/developerguide/ec2-ebs-encryption-by-default.html) | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [dynamodb-table-encrypted-kms](https://docs.aws.amazon.com/config/latest/developerguide/dynamodb-table-encrypted-kms.html) | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自有的客户主密钥 ( AWS CMK) 进行加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [rds-snapshot-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/rds-snapshot-encrypted.html) | 确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [s3-default-encryption-kms](https://docs.aws.amazon.com/config/latest/developerguide/s3-default-encryption-kms.html) | 确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [backup-recovery-point-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/backup-recovery-point-encrypted.html) | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [elasticsearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/elasticsearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [codebuild-project-s3 个日志加密](https://docs.aws.amazon.com/config/latest/developerguide/codebuild-project-s3-logs-encrypted.html) | 为帮助保护静态敏感数据，请确保对存储在 Amazon S3 中的 AWS CodeBuild 日志启用加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [codebuild-project-artifact-encryption](https://docs.aws.amazon.com/config/latest/developerguide/codebuild-project-artifact-encryption.html) | 为帮助保护静态敏感数据，请确保为 AWS CodeBuild 工件启用加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [opensearch-encrypted-at-rest](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-encrypted-at-rest.html) | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [opensearch-node-to-node-加密检查](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-node-to-node-encryption-check.html) | 确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。 | 
| GLBA-SEC.501(b)(1) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (1) 以确保客户记录和信息的安全性和保密性； | [kinesis-stream-encrypted](https://docs.aws.amazon.com/config/latest/developerguide/kinesis-stream-encrypted.html) | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。 | 
| GLBA-SEC.501(b)(2) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (2) 以保护这些记录的安全性或完整性免受任何预期的威胁或危害；以及 | [guardduty-enabled-centralized](https://docs.aws.amazon.com/config/latest/developerguide/guardduty-enabled-centralized.html) | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | 
| GLBA-SEC.501(b)(2) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (2) 以保护这些记录的安全性或完整性免受任何预期的威胁或危害；以及 | [securityhub-enabled](https://docs.aws.amazon.com/config/latest/developerguide/securityhub-enabled.html) | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS  | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [secretsmanager-rotation-enabled-check](https://docs.aws.amazon.com/config/latest/developerguide/secretsmanager-rotation-enabled-check.html) | 此规则可确保 S AWS ecrets Manager 密钥已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [access-keys-rotated](https://docs.aws.amazon.com/config/latest/developerguide/access-keys-rotated.html) | 通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-group-has-users-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-group-has-users-check.html) | AWS Identity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-password-policy](https://docs.aws.amazon.com/config/latest/developerguide/iam-password-policy.html) | 身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-policy-no-statements-with-admin-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-admin-access.html) | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“\*” 而不是 “资源”：“\*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-root-access-key-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-root-access-key-check.html) | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-user-group-membership-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-group-membership-check.html) | AWS 身份与访问管理 (IAM) Access Management 可通过确保用户至少属于一个群组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-user-no-policies-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-no-policies-check.html) | 该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-user-unused-credentials-检查](https://docs.aws.amazon.com/config/latest/developerguide/iam-user-unused-credentials-check.html) | AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [s3-bucket-policy-grantee-check](https://docs.aws.amazon.com/config/latest/developerguide/s3-bucket-policy-grantee-check.html) | 启用 s3\_ bucket\_policy\_grantee\_check 来管理对 AWS 云的访问权限。该规则检查 Amazon S3 存储桶授予的访问权限是否受到您提供的任何 AWS 委托人、联合用户、服务委托人、IP 地址或亚马逊虚拟私有云（Amazon VPC） IDs 的限制。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [iam-policy-no-statements-with-full-access](https://docs.aws.amazon.com/config/latest/developerguide/iam-policy-no-statements-with-full-access.html) | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [mfa-enabled-for-iam-控制台访问权限](https://docs.aws.amazon.com/config/latest/developerguide/mfa-enabled-for-iam-console-access.html) | 确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [opensearch-access-control-enabled](https://docs.aws.amazon.com/config/latest/developerguide/opensearch-access-control-enabled.html) | 确保在您的 Amazon OpenSearch 服务域上启用了精细的访问控制。精细的访问控制提供了增强的授权机制，以实现对 Amazon Service 域的最低权限访问。 OpenSearch 它允许基于角色的域访问控制，以及索引、文档和字段级安全，支持 OpenSearch 服务仪表板多租户，以及对 Service 和 Kibana 的 HTTP 基本身份验证。 OpenSearch  | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [ecs-containers-readonly-access](https://docs.aws.amazon.com/config/latest/developerguide/ecs-containers-readonly-access.html) | 启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [efs-access-point-enforce-root 目录](https://docs.aws.amazon.com/config/latest/developerguide/efs-access-point-enforce-root-directory.html) | 为 Amazon Elastic File System (Amazon EFS) 接入点强制使用根目录可确保接入点的用户只能访问指定子目录的文件，从而帮助限制数据访问。 | 
| GLBA-SEC.501(b)(3) | 为了推进 (a) 款中的政策，第 505(a) 款中描述的每个机构或部门都应为其管辖范围内的金融机构制定与行政、技术和物理保障措施有关的适当标准 (3) 以防止未经授权访问或使用此类记录或信息，从而可能给任何客户造成重大伤害或不便；以及 | [efs-access-point-enforce-用户身份](https://docs.aws.amazon.com/config/latest/developerguide/efs-access-point-enforce-user-identity.html) | 为了帮助实施最低权限原则，请确保您的亚马逊弹性文件系统 (Amazon EFS) 启用用户强制功能。启用后，Amazon EFS 会将 NFS 客户端的用户和组 IDs 替换为在接入点上为所有文件系统操作配置的身份，并且仅授予访问此强制用户身份的权限。 | 

## 模板
<a name="gramm-leach-bliley-act-conformance-pack-sample"></a>

该模板可在以下网址获得 GitHub：《[Gramm Leach Bliley Act》（GLBA）的运营最佳实践](https://github.com/awslabs/aws-config-rules/blob/master/aws-config-conformance-packs/Operational-Best-Practices-for-Gramm-Leach-Bliley-Act.yaml)。