加拿大网络安全中心 (CCCS) Medium Cloud Control Profile 操作最佳实践

合规包提供了一个通用合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。

下面提供了加拿大网络安全中心 (CCCS) Medium Cloud Control Profile 与 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定的 AWS 资源，并与一个或多个 CCCS Medium Cloud Control Profile 控制相关。一个 CCCS Medium Cloud Control Profile 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。

控制 ID	控制描述	AWS Config 规则	指南
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2(1)	AC-2(1) 账户管理 \| 自动化系统账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2(3)	AC-2(3) 账户管理 \| 禁用非活动账户	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2(3)	AC-2(3) 账户管理 \| 禁用非活动账户	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2(4)	AC-2(4) 账户管理 \| 自动审计操作	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AC-2(4)	AC-2(4) 账户管理 \| 自动审计操作	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AC-2(4)	AC-2(4) 账户管理 \| 自动审计操作	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2(4)	AC-2(4) 账户管理 \| 自动审计操作	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2(4)	AC-2(4) 账户管理 \| 自动审计操作	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AC-2(4)	AC-2(4) 账户管理 \| 自动审计操作	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2(4)	AC-2(4) 账户管理 \| 自动审计操作	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.A	AC-2.A 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.B	AC-2.B 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.C	AC-2.C 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.D	AC-2.D 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.E	AC-2.E 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.F	AC-2.F 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.G	AC-2.G 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.H	AC-2.H 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.I	AC-2.I 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.J	AC-2.J 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-2.K	AC-2.K 账户管理	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-3.A	AC-3.A 强制访问权限	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4(21)	AC-4(21) 强制执行信息流 \| 信息流的物理/逻辑分离	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-AC-4.A	AC-4.A 强制执行信息流	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-AC-5.A	AC-5.A 职责分离	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-5.A	AC-5.A 职责分离	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-5.A	AC-5.A 职责分离	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-5.A	AC-5.A 职责分离	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-5.A	AC-5.A 职责分离	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低权限 \| 授权访问安全功能	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低权限 \| 授权访问安全功能	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低权限 \| 授权访问安全功能	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低权限 \| 授权访问安全功能	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低权限 \| 授权访问安全功能	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低权限 \| 非安全功能的非特权访问权限	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低权限 \| 非安全功能的非特权访问权限	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低权限 \| 非安全功能的非特权访问权限	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低权限 \| 非安全功能的非特权访问权限	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低权限 \| 非安全功能的非特权访问权限	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低权限 \| 特权账户	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低权限 \| 特权账户	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低权限 \| 特权账户	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低权限 \| 特权账户	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低权限 \| 审核特权功能的使用	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低权限 \| 审核特权功能的使用	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低权限 \| 审核特权功能的使用	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低权限 \| 审核特权功能的使用	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低权限 \| 审核特权功能的使用	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低权限 \| 审核特权功能的使用	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低权限 \| 审核特权功能的使用	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低权限 \| 禁止非特权用户执行特权功能	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-6.A	AC-6.A 最低权限	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	alb-waf-enabled	确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-AC-17(1)	AC-17 (1) 远程访问 \| 自动监控/控制	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AC-17(2)	AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-17(2)	AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-AC-17(2)	AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-AC-17(2)	AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-AC-17(2)	AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-17(2)	AC-17(2) 远程访问 \| 使用加密来保护机密性/完整性	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-AC-17(3)	AC-17(3) 远程访问 \| 托管访问控制点	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-17(4)	AC-17(4) 远程访问 \| 特权命令/访问	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-AC-17(4)	AC-17(4) 远程访问 \| 特权命令/访问	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-17(4)	AC-17(4) 远程访问 \| 特权命令/访问	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-AC-17.A	AC-17.A 远程访问	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-AC-17.AA	AC-17.AA 远程访问	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-AC-17.B	AC-17.B 远程访问	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-2.A	AU-2.A 审计事件	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-2.B	AU-2.B 审计事件	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-2.C	AU-2.C 审计事件	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-2.D	AU-2.D 审计事件	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-3(1)	AU-3(1) 审计记录的内容 \| 其他审计信息	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	elasticsearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	opensearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。OpenSearch Service 错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-3.A	AU-3.A 审计记录的内容	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-5.A	AU-5.A 对审计处理失败的响应	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-AU-5.B	AU-5.B 对审计处理失败的响应	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-AU-6(1)	AU-6(1) 审计审查、分析和报告 \| 流程集成	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-AU-6(1)	AU-6(1) 审计审查、分析和报告 \| 流程集成	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-6(1)	AU-6(1) 审计审查、分析和报告 \| 流程集成	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-6(1)	AU-6(1) 审计审查、分析和报告 \| 流程集成	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-AU-6(1)	AU-6(1) 审计审查、分析和报告 \| 流程集成	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-6(1)	AU-6(1) 审计审查、分析和报告 \| 流程集成	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	elasticsearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	opensearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。OpenSearch Service 错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-6(3)	AU-6(3) 审计审查、分析和报告 \| 关联审计存储库	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-7(1)	AU-7(1) 减少审计并生成报告 \| 自动处理	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	elasticsearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	opensearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。OpenSearch Service 错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-8.B	AU-8.B 时间戳	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-9(2)	AU-9(2) 审计信息保护 \| 在单独的物理系统/组件上进行审计备份	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-AU-9(2)	AU-9(2) 审计信息保护 \| 在单独的物理系统/组件上进行审计备份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-AU-9(2)	AU-9(2) 审计信息保护 \| 在单独的物理系统/组件上进行审计备份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-AU-9.A	AU-9.A 审核信息的保护	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-AU-9.A	AU-9.A 审核信息的保护	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-AU-9.A	AU-9.A 审核信息的保护	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-AU-11.A	AU-11.A 审核记录保留	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-AU-11.B	AU-11.B 审核记录保留	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-AU-11.C	AU-11.C 审核记录保留	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	elasticsearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	opensearch-logs-to-cloudwatch	确保 Amazon OpenSearch Service 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。OpenSearch Service 错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-12.A	AU-12.A 审计生成	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-AU-12.C	AU-12.C 审计生成	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	eip-attached	此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系统互连 \| 对外部网络连接的限制	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CA-7.A	CA-7.A 持续监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	eip-attached	此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CA-7.B	CA-7.B 持续监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	eip-attached	此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CA-7.C	CA-7.C 持续监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	eip-attached	此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CA-7.D	CA-7.D 持续监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	eip-attached	此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CA-7.E	CA-7.E 持续监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	eip-attached	此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CA-7.F	CA-7.F 持续监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	api-gw-xray-enabled	AWS X-Ray 会收集您的应用程序所服务的请求的相关数据，并提供用于查看、筛选和获取数据洞察力的工具，以确定问题和发现优化机会。确保启用 X-Ray，这样您不仅可以查看请求和响应的详细信息，还可以查看应用程序调用下游 AWS 资源、微服务、数据库和 HTTP Web API 的详细信息。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	eip-attached	此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CA-7.G	CA-7.G 持续监控	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-CA-9.A	CA-9.A 内部系统连接	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-CM-2.A	CM-2.A 基线配置	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-2.A	CM-2.A 基线配置	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-2.A	CM-2.A 基线配置	ec2-stopped-instance	根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。
CCCS-fPBMM-CM-2.A	CM-2.A 基线配置	ec2-volume-inuse-check	此规则可确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例上的 Amazon Elastic Block Store 卷在实例终止时标记为删除。如果在附加到 Amazon EBS 卷的实例终止时，卷没有被删除，则可能违反最少功能的概念。
CCCS-fPBMM-CM-2.A	CM-2.A 基线配置	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CM-2.A	CM-2.A 基线配置	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-2.A	CM-2.A 基线配置	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-3.A	CM-3.A 配置变更控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-3.A	CM-3.A 配置变更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-3.B	CM-3.B 配置变更控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-3.B	CM-3.B 配置变更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-3.C	CM-3.C 配置变更控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-3.C	CM-3.C 配置变更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-3.D	CM-3.D 配置变更控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-3.D	CM-3.D 配置变更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-3.E	CM-3.E 配置变更控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-3.E	CM-3.E 配置变更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-3.F	CM-3F 配置变更控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-3.F	CM-3F 配置变更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-3.G	CM-3.G 配置变更控制	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-3.G	CM-3.G 配置变更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	secretsmanager-rotation-enabled-check	此规则可确保 AWS Secrets Manager 机密已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	secretsmanager-scheduled-rotation-success-check	此规则可确保 AWS Secrets Manager 机密已根据轮换计划成功轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CM-5(1)	CM-5(1) 变更访问限制 \| 强制自动访问/审计	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-CM-5(5)	CM-5(5) 变更访问限制 \| 限制生产/操作权限	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-CM-5.A	CM-5.A 变更访问限制	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6(1)	CM-6(1) 配置设置 \| 自动集中管理/应用程序/验证	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-6(1)	CM-6(1) 配置设置 \| 自动集中管理/应用程序/验证	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-6(1)	CM-6(1) 配置设置 \| 自动集中管理/应用程序/验证	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	cmk-backing-key-rotation-enabled	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-CM-6.A	CM-6.A 配置设置	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	cmk-backing-key-rotation-enabled	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-CM-6.B	CM-6.B 配置设置	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	cmk-backing-key-rotation-enabled	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-CM-6.C	CM-6.C 配置设置	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	cmk-backing-key-rotation-enabled	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-CM-6.D	CM-6.D 配置设置	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-CM-7.A	CM-7.A 最少功能	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CM-7.A	CM-7.A 最少功能	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-7.B	CM-7.B 最少功能	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-CM-7.B	CM-7.B 最少功能	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-CM-8(1)	CM-8(1) 信息系统组件清单 \| 安装/移除期间更新	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8(1)	CM-8(1) 信息系统组件清单 \| 安装/移除期间更新	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-8(2)	CM-8(2) 信息系统组件清单 \| 自动维护	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8(2)	CM-8(2) 信息系统组件清单 \| 自动维护	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-8(3)	CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8(3)	CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-8(3)	CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-CM-8(3)	CM-8(3) 信息系统组件清单 \| 自动检测未经授权的组件	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-CM-8.A	CM-8.A 信息系统组件清单	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8.A	CM-8.A 信息系统组件清单	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-8.B	CM-8.B 信息系统组件清单	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8.B	CM-8.B 信息系统组件清单	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-8.C	CM-8.C 信息系统组件清单	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8.C	CM-8.C 信息系统组件清单	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-8.D	CM-8.D 信息系统组件清单	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8.D	CM-8.D 信息系统组件清单	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CM-8.E	CM-8.E 信息系统组件清单	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-CM-8.E	CM-8.E 信息系统组件清单	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-2(5)	CP-2(5) 应急计划 \| 继续执行基本任务/业务职能	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2(6)	CP-2(6) 应急计划 \| 备用处理/存储地点	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2(6)	CP-2(6) 应急计划 \| 备用处理/存储地点	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2(6)	CP-2(6) 应急计划 \| 备用处理/存储地点	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CP-2(6)	CP-2(6) 应急计划 \| 备用处理/存储地点	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2(6)	CP-2(6) 应急计划 \| 备用处理/存储地点	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2(6)	CP-2(6) 应急计划 \| 备用处理/存储地点	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.A	CP-2.A 应急计划	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.B	CP-2.B 应急计划	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.C	CP-2.C 应急计划	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.D	CP-2.D 应急计划	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.E	CP-2.E 应急计划	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.F	CP-2.F 应急计划	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	rds-cluster-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	rds-instance-deletion-protection-enabled	确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-2.G	CP-2.G 应急计划	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-6(1)	CP-6(1) 备用存储站点 \| 与主站点分离	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-6(2)	CP-6(2) 备用存储站点 \| 恢复时间/恢复点目标	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-6.A	CP-6.A 备用存储站点	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-6.B	CP-6.B 备用存储站点	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-9(3)	CP-9(3) 信息系统备份 \| 独立存储关键信息	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-9(7)	CP-9(7) 信息系统备份 \| 双重授权	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-9(7)	CP-9(7) 信息系统备份 \| 双重授权	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-9.A	CP-9.A 信息系统备份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-9.AA	CP-9.AA 信息系统备份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-9.B	CP-9.B 信息系统备份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-9.C	CP-9.C 信息系统备份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	aurora-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据备份流程，请确保为 AWS Backup 计划设置最低频率和保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue（Config 默认值：1）、requiredRetentionDays（Config 默认值：35）和 requiredFrequencyUnit（Config 默认值：days）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	backup-recovery-point-manual-deletion-disabled	确保您的 AWS Backup 恢复点附加了基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	backup-recovery-point-minimum-retention-check	为了帮助完成数据备份流程，请确保您的 AWS Backup 恢复点设置了最短保留期。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays（Config 默认值：35）参数。实际值应反映贵组织的需求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	dynamodb-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon DynamoDB 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	ebs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Block Store (Amazon EBS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	ec2-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic Compute Cloud (Amazon EC2) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	efs-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Elastic File System (Amazon EFS) 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	fsx-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	rds-resources-protected-by-backup-plan	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Relational Database Service (Amazon RDS) 资源。AWSBackup 是一项完全托管式备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-9.D	CP-9.D 信息系统备份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用时间点恢复，来维护备份。恢复过程会维持表在过去 35 天的连续备份。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	elasticache-redis-cluster-automatic-backup-check	启用自动备份后，Amazon ElastiCache 会每天为集群创建一个备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
CCCS-fPBMM-CP-10.A	CP-10.A 信息系统的恢复和重建	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-IA-2(1)	IA-2(1) 识别和身份验证（组织用户）\| 特权账户的网络访问权限	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-2(1)	IA-2(1) 识别和身份验证（组织用户）\| 特权账户的网络访问权限	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-2(1)	IA-2(1) 识别和身份验证（组织用户）\| 特权账户的网络访问权限	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-2(3)	IA-2(3) 识别和身份验证（组织用户）\| 特权账户的本地访问权限	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-2(3)	IA-2(3) 识别和身份验证（组织用户）\| 特权账户的本地访问权限	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-2(3)	IA-2(3) 识别和身份验证（组织用户）\| 特权账户的本地访问权限	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-2(8)	IA-2(8) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 - 防重播	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-2(8)	IA-2(8) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 - 防重播	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-2(8)	IA-2(8) 识别和身份验证（组织用户）\| 特权账户的网络访问权限 - 防重播	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-2(11)	IA-2(11) 识别和身份验证（组织用户）\| 远程访问 - 独立设备	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-2(11)	IA-2(11) 识别和身份验证（组织用户）\| 远程访问 - 独立设备	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-2(11)	IA-2(11) 识别和身份验证（组织用户）\| 远程访问 - 独立设备	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-2.A	IA-2.A 识别和身份验证（组织用户）	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-2.A	IA-2.A 识别和身份验证（组织用户）	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-2.A	IA-2.A 识别和身份验证（组织用户）	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-2.A	IA-2.A 识别和身份验证（组织用户）	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-4(4)	IA-4(4) 标识符管理 \| 识别用户状态	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-IA-4.A	IA-4.A 标识符管理	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.A	IA-4.A 标识符管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.A	IA-4.A 标识符管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-IA-4.B	IA-4.B 标识符管理	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.B	IA-4.B 标识符管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.B	IA-4.B 标识符管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-IA-4.C	IA-4.C 标识符管理	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.C	IA-4.C 标识符管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.C	IA-4.C 标识符管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-IA-4.D	IA-4.D 标识符管理	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.D	IA-4.D 标识符管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.D	IA-4.D 标识符管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-IA-4.E	IA-4.E 标识符管理	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.E	IA-4.E 标识符管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-4.E	IA-4.E 标识符管理	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-IA-5(1)	IA-5(1) 身份验证器管理 \| 基于密码的身份验证	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5(2)	IA-5(2) 身份验证器管理 \| 基于 PKI 的身份验证	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-IA-5(2)	IA-5(2) 身份验证器管理 \| 基于 PKI 的身份验证	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-IA-5(4)	IA-5(4) 身份验证器管理 \| 自动支持密码强度确定	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5(8)	IA-5(8) 身份验证器管理 \| 多个信息系统账户	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-IA-5(8)	IA-5(8) 身份验证器管理 \| 多个信息系统账户	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5(8)	IA-5(8) 身份验证器管理 \| 多个信息系统账户	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.A	IA-5.A 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.A	IA-5.A 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.A	IA-5.A 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.A	IA-5.A 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.B	IA-5.B 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.B	IA-5.B 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.B	IA-5.B 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.B	IA-5.B 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.C	IA-5.C 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.C	IA-5.C 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.C	IA-5.C 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.C	IA-5.C 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.D	IA-5.D 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.D	IA-5.D 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.D	IA-5.D 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.D	IA-5.D 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.E	IA-5.E 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.E	IA-5.E 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.E	IA-5.E 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.E	IA-5.E 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.F	IA-5.F 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.F	IA-5.F 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.F	IA-5.F 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.F	IA-5.F 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.G	IA-5.G 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.G	IA-5.G 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.G	IA-5.G 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.G	IA-5.G 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.H	IA-5.H 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.H	IA-5.H 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.H	IA-5.H 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.H	IA-5.H 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.I	IA-5.I 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.I	IA-5.I 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.I	IA-5.I 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.I	IA-5.I 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IA-5.J	IA-5.J 身份验证器管理	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过 NIST SP 800-63 和针对密码强度的 AWS 基础安全最佳实践标准规定的要求。此规则允许您为 IAM 密码策略选择设置 RequireUppercaseCharacters（AWS 基础安全最佳实践值：true）、RequireLowercaseCharacters（AWS 基础安全最佳实践值：true）、RequireSymbols（AWS 基础安全最佳实践值：true）、RequireNumbers（AWS 基础安全最佳实践值：true）、MinimumPasswordLength（AWS 基础安全最佳实践值：14）、PasswordReusePrevention（AWS 基础安全最佳实践值：24）和 MaxPasswordAge（AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-IA-5.J	IA-5.J 身份验证器管理	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。要求用户进行多重身份验证，从而减少账户被盗事件。
CCCS-fPBMM-IA-5.J	IA-5.J 身份验证器管理	mfa-enabled-for-iam-console-access	通过确保为所有拥有控制台密码的 AWS Identity and Access Management (IAM) 用户启用 MFA，来管理对 AWS 云中资源的访问。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
CCCS-fPBMM-IA-5.J	IA-5.J 身份验证器管理	root-account-mfa-enabled	通过确保为根用户启用 MFA，来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为用户名和密码增加了一层额外的保护。通过要求根用户进行 MFA，可以减少 AWS 账户被盗的事件。
CCCS-fPBMM-IR-6(1)	IR-6(1) 事件报告 \| 自动报告	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-MA-3.A	MA-3.A 维护工具	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-MA-3.A	MA-3.A 维护工具	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	api-gw-execution-logging-enabled	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您的 AWS 账户中 API 调用活动的详细信息。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本地维护 \| 审计和审查	wafv2-logging-enabled	为了帮助在您的环境中进行日志记录和监控，请在区域和全局 Web ACL 上启用 AWS WAF (V2) 日志记录。AWSWAF 日志记录提供有关 Web ACL 分析的流量的详细信息。日志记录 AWS 接收来自 AWS 资源的请求的时间，有关请求的详细信息，以及每个请求所匹配的规则的操作。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	ec2-imdsv2-check	确保启用实例元数据服务版本 2 (IMDSv2) 方法，以帮助保护对 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控制。使用 IMDSv2，可以实施控制来限制对实例元数据的更改。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对所有 AWS Key Management Service 密钥的阻止操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可以确保 IAM 组至少有一个用户，从而帮助您将最低权限和职责分离原则与访问权限和授权相结合。根据用户的相关权限或工作职能将用户分组，是纳入最低权限的一种方法。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-inline-policy-blocked-kms-actions	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有允许对所有 AWS Key Management Service 密钥执行阻止操作的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。该规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms:Decrypt、kms:ReEncryptFrom）。实际值应反映贵组织的策略。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-no-inline-policy-check	确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制系统和资产访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-root-access-key-check	通过检查根用户的 AWS Identity and Access Management (IAM) 角色是否拥有访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户来帮助纳入最少功能原则。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可通过确保用户至少属于一个组来帮助您限制访问权限和授权。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-user-no-policies-check	此规则可确保仅将 AWS Identity and Access Management (IAM) 策略附加到组或角色，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥，来帮助您获得访问权限和授权。如果发现这些未使用的凭证，则应禁用和/或删除这些凭证，因为这可能违反最低权限原则。此规则要求您为 maxCredentialUsageAge 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-MP-2.A	MP-2.A 媒体访问权限	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-RA-5.A	RA-5.A 漏洞扫描	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-RA-5.B	RA-5.B 漏洞扫描	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-RA-5.C	RA-5.C 漏洞扫描	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-RA-5.D	RA-5.D 漏洞扫描	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-RA-5.E	RA-5.E 漏洞扫描	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SA-10(1)	SA-10(1) 开发人员配置管理 \| 软件/固件完整性验证	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SC-5.A	SC-5.A 拒绝服务防护	alb-waf-enabled	确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
CCCS-fPBMM-SC-5.A	SC-5.A 拒绝服务防护	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩缩使用 AWS 应用程序自动扩缩服务来调整预置的吞吐量容量，并自动响应实际流量模式。这将允许表或全局二级索引增大其预置的读/写容量以处理突发流量，而不进行节流。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	elb-cross-zone-load-balancing-enabled	为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
CCCS-fPBMM-SC-6.A	SC-6.A 资源可用性	vpc-vpn-2-tunnels-up	可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-SC-7(3)	SC-7(3) 边界保护 \| 接入点	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-SC-7(4)	SC-7(4) 边界保护 \| 外部电信服务	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-SC-7(5)	SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-SC-7(5)	SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7(5)	SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-SC-7(5)	SC-7(5) 边界保护 \| 默认拒绝/允许按例外处理	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-SC-7(7)	SC-7(7) 边界保护 \| 防止为远程设备分割隧道	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-SC-7.A	SC-7.A 边界保护	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-SC-7.B	SC-7.B 边界保护	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	ebs-snapshot-public-restorable-check	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	ec2-instance-no-public-ip	通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例无法公开访问来管理对 AWS 云的访问。Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	elasticsearch-in-vpc-only	通过确保 Amazon OpenSearch Service (OpenSearch Service) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	emr-master-no-public-ip	通过确保 Amazon EMR 集群主节点无法公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可对 AWS 资源的入口和出口网络流量进行有状态过滤，从而帮助管理网络访问。不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 内部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	internet-gateway-authorized-vpc-only	通过确保互联网网关仅连接到经过授权的 Amazon Virtual Private Cloud (Amazon VPC)，来管理对 AWS 云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	lambda-function-public-access-prohibited	通过确保 AWS Lambda 函数无法公开访问，来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数，以便在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置时，不需要互联网网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。为了正确管理访问权限，应将 AWS Lambda 函数分配给 VPC。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	opensearch-in-vpc-only	通过确保 Amazon OpenSearch Service 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中，来管理对 AWS 云的访问。Amazon VPC 中的 Amazon OpenSearch Service 域可实现 Amazon OpenSearch Service 与 Amazon VPC 中其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	rds-instance-public-access-check	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	rds-snapshots-public-prohibited	通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有的，来管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	redshift-cluster-public-access-check	通过确保 Amazon Redshift 集群不是公有的，来管理对 AWS 云中资源的访问。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	restricted-common-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	s3-account-level-public-access-blocks-periodic	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置 ignorePublicAcls（Config 默认：True）、blockPublicPolicy（Config 默认值：True）、blockPublicAcls（Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	s3-bucket-level-public-access-prohibited	通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶无法公开访问，来管理对 AWS 云中资源的访问。该规则通过在存储桶级别防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	s3-bucket-public-read-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	s3-bucket-public-write-prohibited	通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，来管理对 AWS 云中资源的访问。访问管理应与数据的分类保持一致。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	sagemaker-notebook-no-direct-internet-access	通过确保 Amazon SageMaker 笔记本不允许直接访问互联网，管理对 AWS 云中资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	subnet-auto-assign-public-ip-disabled	通过确保 Amazon Virtual Private Cloud (VPC) 子网不会自动分配公有 IP 地址，来管理对 AWS 云的访问。Amazon Elastic Compute Cloud (EC2) 实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以通过对 AWS 资源的入口和出口网络流量进行有状态筛选，从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
CCCS-fPBMM-SC-7.C	SC-7.C 边界保护	vpc-sg-open-only-to-authorized-ports	通过确保在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上限制通用端口，来管理对 AWS 云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8(1)	SC-8(1) 传输机密性和完整性 \| 加密或备用物理保护	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-8.A	SC-8.A 传输机密性和完整性	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-12(1)	SC-12(1) 加密密钥的建立和管理 \| 可用性	kms-cmk-not-scheduled-for-deletion	为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
CCCS-fPBMM-SC-12(2)	SC-12(2) 加密密钥的建立和管理 \| 对称密钥	cmk-backing-key-rotation-enabled	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
CCCS-fPBMM-SC-12(2)	SC-12(2) 加密密钥的建立和管理 \| 对称密钥	kms-cmk-not-scheduled-for-deletion	为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
CCCS-fPBMM-SC-12.A	SC-12.A 加密密钥的建立和管理	cmk-backing-key-rotation-enabled	启用密钥轮换，以确保密钥在加密周期结束后立即进行轮换。
CCCS-fPBMM-SC-12.A	SC-12.A 加密密钥的建立和管理	kms-cmk-not-scheduled-for-deletion	为了帮助保护静态数据，请确保没有在 AWS Key Management Service (AWS KMS) 中计划删除必要的客户主密钥 (CMK)。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	elasticsearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	opensearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	sagemaker-endpoint-configuration-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	sagemaker-notebook-instance-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-13.A	SC-13.A 加密保护	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-22.A	SC-22.A 名称/地址解析服务的架构和配置	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	alb-http-to-https-redirection-check	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-23.A	SC-23.A 真实性	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	elasticsearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	opensearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	sagemaker-endpoint-configuration-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	sagemaker-notebook-instance-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28(1)	SC-28(1) 静态信息保护 \| 加密保护	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	cloud-trail-encryption-enabled	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 AWS CloudTrail 跟踪启用了加密。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	elasticsearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service (OpenSearch Service) 域启用了加密。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	elasticsearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：ELBSecurityPolicy-TLS-1-2-2017-0。实际值应反映贵组织的策略
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	elb-tls-https-listeners-only	确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	opensearch-encrypted-at-rest	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon OpenSearch Service 域启用了加密。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	opensearch-node-to-node-encryption-check	确保 Amazon OpenSearch Service 启用了节点到节点加密。利用节点到节点加密，将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	rds-snapshot-encrypted	确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted（Config 默认值：TRUE）和 loggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的策略。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	redshift-cluster-kms-enabled	为了帮助保护静态数据，请确保您的 Amazon Redshift 集群启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 Redshift 集群中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	s3-bucket-server-side-encryption-enabled	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	sagemaker-endpoint-configuration-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 端点中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	sagemaker-notebook-instance-kms-key-configured	为了帮助保护静态数据，请确保您的 SageMaker 笔记本启用了使用 AWS Key Management Service (AWS KMS) 的加密。由于 SageMaker 笔记本中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 AWS Secrets Manager 机密启用 AWS Key Management Service (AWS KMS)。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SC-28.A	SC-28.A 静态信息保护	sns-encrypted-kms	为了帮助保护静态数据，请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	elastic-beanstalk-managed-updates-enabled	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-SI-2(2)	SI-2(2) 缺陷修复 \| 自动缺陷修复状态	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2(3)	SI-2(3) 缺陷修复 \| 缺陷修复时间/纠正措施的基准	guardduty-non-archived-findings	Amazon GuardDuty 按严重程度（低、中、高）对调查结果进行分类，从而帮助您了解事件的影响。您可以使用这些分类来确定补救策略和优先级。此规则允许您根据组织政策的要求，选择设置非存档调查结果的 daysLowSev（Config 默认值：30）、daysMediumSev（Config 默认值：7）和 daysHighSev（Config 默认值：1）。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	elastic-beanstalk-managed-updates-enabled	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-SI-2.A	SI-2.A 缺陷修复	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	elastic-beanstalk-managed-updates-enabled	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-SI-2.B	SI-2.B 缺陷修复	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	elastic-beanstalk-managed-updates-enabled	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-SI-2.C	SI-2.C 缺陷修复	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 组的 Elastic Load Balancer (ELB) 运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增强的运行状况报告功能可以更快地响应底层基础设施运行状况的变化。这些更改可能会导致应用程序可用性不足。Elastic Beanstalk 增强的运行状况报告提供了状态描述符，用于衡量已发现问题的严重性并确定可能的原因以进行调查。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每个表可以支持的读/写活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置 accountRCUThresholdPercentage（Config 默认值：80）和 accountWCUThresholdPercentage（Config 默认值：80）参数。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	ec2-instance-detailed-monitoring-enabled	启用此规则可帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控，该控制台以 1 分钟为周期显示实例的监控图。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	elastic-beanstalk-managed-updates-enabled	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service (Amazon RDS)，以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
CCCS-fPBMM-SI-2.D	SI-2.D 缺陷修复	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择设置 preferredMaintenanceWindow（默认值为 sat:16:00-sat:16:30）和 automatedSnapshotRetentionPeriod（默认值为 1）。实际值应反映贵组织的策略。
CCCS-fPBMM-SI-3(1)	SI-3(1) 恶意代码防护 \| 集中管理	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-3(7)	SI-3(7) 恶意代码防护 \| 非基于签名的检测	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-3.A	SI-3.A 恶意代码防护	alb-waf-enabled	确保在 Elastic Load Balancers (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的侵害。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
CCCS-fPBMM-SI-3.A	SI-3.A 恶意代码防护	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-3.A	SI-3.A 恶意代码防护	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-3.A	SI-3.A 恶意代码防护	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-3.A	SI-3.A 恶意代码防护	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-3.B	SI-3.B 恶意代码防护	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-3.B	SI-3.B 恶意代码防护	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-3.B	SI-3.B 恶意代码防护	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-3.B	SI-3.B 恶意代码防护	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-3.C	SI-3.C 恶意代码防护	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-3.C	SI-3.C 恶意代码防护	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-3.C	SI-3.C 恶意代码防护	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-3.C	SI-3.C 恶意代码防护	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-3.D	SI-3.D 恶意代码防护	ec2-instance-managed-by-systems-manager	利用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例，可以清点组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关您的环境的其他详细信息。
CCCS-fPBMM-SI-3.D	SI-3.D 恶意代码防护	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。AWSSystems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
CCCS-fPBMM-SI-3.D	SI-3.D 恶意代码防护	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此规则根据贵组织的政策和程序的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规。
CCCS-fPBMM-SI-3.D	SI-3.D 恶意代码防护	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4(1)	SI-4(1) 信息系统监控 \| 全系统入侵检测系统	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4(1)	SI-4(1) 信息系统监控 \| 全系统入侵检测系统	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4(2)	SI-4(2) 信息系统监控 \| 用于实时分析的自动化工具	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4(2)	SI-4(2) 信息系统监控 \| 用于实时分析的自动化工具	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4(4)	SI-4(4) 信息系统监控 \| 入站和出站通信流量	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4(4)	SI-4(4) 信息系统监控 \| 入站和出站通信流量	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud (Amazon VPC) 网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
CCCS-fPBMM-SI-4(5)	SI-4(5) 信息系统监控 \| 系统生成的警报	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4(11)	SI-4(11) 信息系统监控 \| 分析通信流量异常	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4(11)	SI-4(11) 信息系统监控 \| 分析通信流量异常	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4(16)	SI-4(16) 信息系统监控 \| 关联监控信息	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4(16)	SI-4(16) 信息系统监控 \| 关联监控信息	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4(20)	SI-4(20) 信息系统监控 \| 特权用户	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 "Effect": "Allow" with "Action": "" over "Resource": ""。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
CCCS-fPBMM-SI-4(23)	SI-4(23) 信息系统监控 \| 基于主机的设备	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别调用 AWS 服务的用户和 AWS 账户、发出调用的源 IP 地址以及调用的时间。捕获的数据的详细信息可在 AWS CloudTrail“记录内容”中查看。
CCCS-fPBMM-SI-4(23)	SI-4(23) 信息系统监控 \| 基于主机的设备	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，CloudTrail 会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外，当 AWS 推出新区域时，CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
CCCS-fPBMM-SI-4.A	SI-4.A 信息系统监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4.A	SI-4.A 信息系统监控	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-4.A	SI-4.A 信息系统监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4.A	SI-4.A 信息系统监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-4.A	SI-4.A 信息系统监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4.B	SI-4.B 信息系统监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4.B	SI-4.B 信息系统监控	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-4.B	SI-4.B 信息系统监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4.B	SI-4.B 信息系统监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-4.B	SI-4.B 信息系统监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4.C	SI-4.C 信息系统监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4.C	SI-4.C 信息系统监控	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-4.C	SI-4.C 信息系统监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4.C	SI-4.C 信息系统监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-4.C	SI-4.C 信息系统监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4.D	SI-4.D 信息系统监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4.D	SI-4.D 信息系统监控	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-4.D	SI-4.D 信息系统监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4.D	SI-4.D 信息系统监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-4.D	SI-4.D 信息系统监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4.E	SI-4.E 信息系统监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4.E	SI-4.E 信息系统监控	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-4.E	SI-4.E 信息系统监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4.E	SI-4.E 信息系统监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-4.E	SI-4.E 信息系统监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4.F	SI-4.F 信息系统监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4.F	SI-4.F 信息系统监控	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-4.F	SI-4.F 信息系统监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4.F	SI-4.F 信息系统监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-4.F	SI-4.F 信息系统监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-4.G	SI-4.G 信息系统监控	cloudwatch-alarm-action-check	当指标在指定数量的评估期超过阈值时，Amazon CloudWatch 会发出警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired（Config 默认值：True）、insufficientDataActionRequired（Config 默认值：True）、okActionRequired（Config 默认值：False）的值。实际值应反映您的环境的警报操作。
CCCS-fPBMM-SI-4.G	SI-4.G 信息系统监控	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-4.G	SI-4.G 信息系统监控	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-4.G	SI-4.G 信息系统监控	lambda-dlq-check	启用此规则有助于在功能发生故障时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知相关人员。
CCCS-fPBMM-SI-4.G	SI-4.G 信息系统监控	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。AWSSecurity Hub 可以聚合、组织和优先处理来自多个 AWS 服务的安全告警或结果。其中一些服务包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager 和 AWS 合作伙伴解决方案。
CCCS-fPBMM-SI-5.A	SI-5.A 安全警报、公告和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-5.B	SI-5.B 安全警报、公告和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-5.C	SI-5.C 安全警报、公告和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-5.D	SI-5.D 安全警报、公告和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。这些威胁情报源包括恶意 IP 列表和机器学习列表，用于标识您的 AWS 云环境中的意外、未经授权的恶意活动。
CCCS-fPBMM-SI-7(1)	SI-7(1) 软件、固件和信息完整性 \| 完整性检查	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-7(7)	SI-7(7) 软件、固件和信息完整性 \| 检测和响应集成	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-7.A	SI-7.A 软件、固件和信息完整性	cloud-trail-log-file-validation-enabled	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这样，要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
CCCS-fPBMM-SI-12.A	SI-12.A 信息处理和保留	cw-loggroup-retention-period-check	确保为日志组保留事件日志数据的最短时间，以帮助进行故障排除和取证调查。缺乏过去的事件日志数据会让重建和识别潜在的恶意事件变得困难。

模板

该模板可在 GitHub 上找到：加拿大网络安全中心 (CCCS) Medium Cloud Control Profile 操作最佳实践。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

的操作最佳实践 BNM RMiT

CIS AWS Foundations Benchmark v1.4 Level 1 操作最佳实践