本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 安全與合規
<a name="dcm-security-n-compliance"></a>

安全與合規是 AMS Advanced 與身為客戶的您共同的責任。AMS Advanced Direct Change 模式不會變更此共同責任。

## 直接變更模式中的安全性
<a name="dcm-security"></a>

AMS Advanced 提供具有規範登陸區域、變更管理系統和存取管理的額外值。使用直接變更模式時，此責任模型不會變更。不過，您應該知道其他風險。

直接變更模式「更新」角色 （請參閱[直接變更模式 IAM 角色和政策](dcm-get-started.md#dcm-gs-iam-roles-and-policies)) 提供提升的許可，允許可存取該角色的實體變更帳戶中 AMS 支援服務的基礎設施資源。隨著許可提高，根據資源、服務和動作，存在各種風險，尤其是在由於監督、錯誤或未能遵守內部程序和控制架構而導致不正確的變更的情況下。

根據 AMS 技術標準，已識別下列風險並提出建議，如下所示。有關 AMS 技術標準的詳細資訊可透過 取得 AWS Artifact。若要存取 AWS Artifact，請聯絡您的 CSDM 以取得指示，或前往 [入門 AWS Artifact](https://aws.amazon.com/artifact/getting-started)。

**AMS-STD-001：標記**

<a name="AMS-STD-001"></a>
<table>
<thead>
  <tr><th>標準</th><th>是否會中斷</th><th>風險</th><th>建議</th></tr>
</thead>
<tbody>
  <tr><td>所有 AMS 擁有的資源都必須具有下列鍵值對</td><td rowspan="2">是。CloudFormation、CloudTrail、EFS、OpenSearch、CloudWatch Logs、SQS、SSM、標記 api 的中斷 - 因為這些服務不支援限制 AMS 命名空間標記`aws:TagsKey`的條件。<br />下表 **AMS-STD-003** 中提供的標準說明您可以變更 AppId、Environment 和 AppName，但不能變更 AMS 擁有的資源。無法透過 IAM 許可達成。</td><td rowspan="4">AMS 資源的不正確標記可能會對 AMS 端的資源的報告、提醒和修補操作產生不利影響。</td><td rowspan="4">必須重新分配存取權，才能對 AMS 團隊以外的任何人對 AMS 預設標記要求進行任何變更。</td></tr>
  <tr><td>除了上述標籤之外，所有 AMS 擁有的標籤都必須具有字首，例如 AMS\*或MC\*upper/lower/mix大小寫。</td></tr>
  <tr><td>不得根據您的變更請求刪除 AMS 擁有的堆疊上的任何標籤。</td><td>是。CloudFormation 不支援限制 AMS 命名空間標籤aws:TagsKey的條件。</td></tr>
  <tr><td>不允許您在基礎設施中使用 AMS 標籤命名慣例，如下表 AMS-STD-002 所述。</td><td>是。中斷 CloudFormation、CloudTrail、Amazon Elastic File System (EFS)、OpenSearch、CloudWatch Logs、Amazon Simple Queue Service (SQS)、Amazon EC2 Systems Manager (SSM)、標記 API；這些服務不支援限制 AMS 命名空間標記aws:TagsKey的條件。</td></tr>
</tbody>
</table>


**AMS-STD-002：身分與存取管理 (IAM)**


| 標準 | 是否會中斷 | 風險 | 建議 | 
| --- | --- | --- | --- | 
| 4.7 不允許繞過變更管理程序 (RFC) 的動作，例如啟動或停止執行個體、建立 S3 儲存貯體或 RDS 執行個體等。只要在指派角色的邊界內執行動作，開發人員模式帳戶和自助式佈建模式服務 (SSPS) 就會豁免。 | 是。自助服務動作的目的可讓您執行繞過 AMS RFC 系統的動作。 | 安全存取模型是 AMS 的核心技術面向，而主控台或程式設計存取的 IAM 使用者會規避此存取控制。AMS 變更管理不會監控 IAM 使用者存取權。存取只會記錄在 CloudTrail 中。 | IAM 使用者應該有時間限制，並根據最低權限和need-to-know授予許可。 | 

**AMS-STD-003：網路安全**

<a name="AMS-STD-003"></a>
<table>
<thead>
  <tr><th>標準</th><th>是否會中斷</th><th>風險</th><th>建議</th></tr>
</thead>
<tbody>
  <tr><td>S2. EC2 執行個體上的彈性 IP 只能與正式的風險接受協議或內部團隊的有效使用案例搭配使用。</td><td>是。自助服務動作可讓您關聯和取消關聯彈性 IP 地址 (EIP)。</td><td>將彈性 IP 新增至執行個體會公開至網際網路。這會增加資訊公開和未經授權的活動的風險。</td><td>透過安全群組封鎖對該執行個體的任何不必要的流量，並確認您的安全群組已與執行個體連接，以確保只允許基於業務原因而需要的流量。</td></tr>
  <tr><td>S14. 您可以允許屬於相同客戶的帳戶之間的 VPC 對等互連和端點連線。</td><td rowspan="2">是。無法透過 IAM 政策進行。</td><td>離開帳戶界限後，不會監控離開您 AMS 帳戶的流量。</td><td>我們建議僅與您擁有的 AMS 帳戶進行對等互連。如果您的使用案例需要，請使用安全群組和路由表來限制哪些流量範圍、資源和類型可以透過相關連線輸出。</td></tr>
  <tr><td>AMS 基礎 AMIs 可以在 AMS 受管和未受管帳戶之間共用，只要我們可以驗證它們是否屬於同一個 AWS 組織即可。</td><td>AMIs可能包含敏感資料，而且可能會公開給非預期的帳戶。</td><td>僅與組織擁有的帳戶共用 AMIs，或在組織外部共用之前驗證使用案例和帳戶資訊。</td></tr>
</tbody>
</table>


**AMS-STD-007：記錄**

<a name="AMS-STD-007"></a>
<table>
<thead>
  <tr><th>標準</th><th>是否會中斷</th><th>風險</th><th>建議</th></tr>
</thead>
<tbody>
  <tr><td>19. 任何日誌都可以從一個 AMS 帳戶轉送到相同客戶的另一個 AMS 帳戶。</td><td rowspan="2">是。無法透過 IAM 政策實現客戶日誌的潛在不安全，因為無法驗證同一組織中的客戶帳戶。</td><td rowspan="2">日誌可能包含敏感資料，而且可能會公開給非預期的帳戶。</td><td rowspan="2">僅與 AWS 組織管理的帳戶共用日誌，或在組織外部共用之前驗證使用案例和帳戶資訊。我們可以透過多種方式驗證，請洽詢您的雲端服務交付管理員 (CSDM)。</td></tr>
  <tr><td>20. 只有在非 AMS 帳戶由相同 AMS 客戶擁有 （透過確認他們位於相同 AWS Organizations 帳戶下，或將電子郵件網域與客戶的公司名稱和 PAYER 連結帳戶相符） 時，才能使用內部工具，從 AMS 轉送任何日誌到非 AMS 帳戶。</td></tr>
</tbody>
</table>


與您的內部授權和身分驗證團隊合作，相應地控制直接變更模式角色的許可。

## 直接變更模式下的合規
<a name="dcm-compliance"></a>

直接變更模式與生產和非生產工作負載相容。您有責任確保遵守任何合規標準 （例如 PHI、HIPAA、PCI)，並確保使用直接變更模式符合您的內部控制架構和標準。