2023 年 1 月至 12 月

• 过渡到新 AWS Service Catalog 外部产品类型（第 3 阶段）

• AWSControl Tower 着陆区版本 3.3

• 过渡到新 AWS Service Catalog 外部产品类型（第 2 阶段）

• AWSControl Tower 宣布了辅助数字主权的控制措施

• AWSControl Tower 支持着陆区 APIs

• AWSControl Tower 支持为已启用的控件添加标签

• AWSControl Tower 已在亚太地区（墨尔本）区域上线

• 过渡到新 AWS Service Catalog 外部产品类型（第 1 阶段）

• 新控件API可用

• AWSControl Tower 添加了其他控件

• 报告了新的漂移类型：已禁用可信访问

• 另外四个 AWS 区域

• AWSControl Tower 在特拉维夫地区上市

• AWSControl Tower 推出 28 种全新的主动控制装置

• AWSControl Tower 弃用了两个控件

• AWSControl Tower 着陆区 3.2 版

• AWSControl Tower 根据 ID 处理账户

• Contro AWS l Tower 控件库中提供了其他 Security Hub 侦探控件

• AWSControl Tower 发布控制元数据表

• Terraform 支持 Account Factory 定制

• AWS IAM身份中心自我管理可用于 landing zone

• AWSControl Tower 解决了混合治理问题 OUs

• 还提供其他主动控制措施

• 更新了 Amazon EC2 主动控制措施

• 另外七个 AWS 区域 available

• Account Factory for Terraform (AFT) 账户自定义请求跟踪

• AWSControl Tower 着陆区版本 3.1

• 主动控制措施普遍可用

着陆区 “Region Deny” 控件的更新

• 已移除discovery-marketplace:。此项行动属于aws-marketplace:*豁免范围。

• 新增了 quicksight:DescribeAccountSubscription

新的主动控制措施

• CT.APIGATEWAY.PR.6: 要求 Amazon API Gateway REST 域名使用指定最低TLS协议版本为 TLSv1 .2 的安全策略

• CT.APPSYNC.PR.2: 需要一个 AWS AppSync GraphQL API 要配置为私有可见性

• CT.APPSYNC.PR.3: 要求一个 AWS AppSync GraphQL API 未使用密钥进行身份验证 API

• CT.APPSYNC.PR.4: 需要一个 AWS AppSync GraphQL API 缓存将启用传输中加密。

• CT.APPSYNC.PR.5: 需要一个 AWS AppSync GraphQL API 缓存将启用静态加密。

• CT.AUTOSCALING.PR.9: 需要通过 Amazon A EC2 uto Scaling 启动配置配置配置配置的 Amazon EBS 卷来加密静态数据

• CT.AUTOSCALING.PR.10: 仅要求 Amazon A EC2 uto Scaling 群组使用 AWS 重写启动模板时的 Nitro 实例类型

• CT.AUTOSCALING.PR.11: 仅需要 AWS 在覆盖启动模板时，支持将添加到 Amazon A EC2 uto Scaling 组的实例间网络流量加密的 Nitro 实例类型

• CT.DAX.PR.3: 需要 DynamoDB 加速器集群使用传输层安全功能对传输中的数据进行加密 () TLS

• CT.DMS.PR.2: 需要一个 AWS Database Migration Service (DMS) 用于加密源端点和目标端点连接的端点

• CT.EC2.PR.15: 需要一个 Amazon EC2 实例才能使用 AWS 从AWS::EC2::LaunchTemplate资源类型创建时的 Nitro 实例类型

• CT.EC2.PR.16: 需要一个 Amazon EC2 实例才能使用 AWS 使用AWS::EC2::Instance资源类型创建时的 Nitro 实例类型

• CT.EC2.PR.17：需要一台 Amazon EC2 专用主机才能使用 AWS Nitro 实例类型

• CT.EC2.PR.18: 要求 Amazon EC2 舰队仅使用以下命令覆盖那些启动模板 AWS Nitro 实例类型

• CT.EC2.PR.19：在使用资源类型创建时，要求 Amazon EC2 实例使用支持实例之间传输加密的 nitro 实例类型 AWS::EC2::Instance

• CT.EC2.PR.20: 要求 Amazon EC2 舰队仅使用以下命令覆盖那些启动模板 AWS 支持在实例之间传输时进行加密的 Nitro 实例类型

• CT.ELASTICACHE.PR.8: 要求由更高版本的 Redis 组成的 Amazon ElastiCache 复制组才能激活RBAC身份验证

• CT.MQ.PR.1: 要求 Amazon MQ ActiveMQ 代理使用主动/备用部署模式以实现高可用性

• CT.MQ.PR.2: 要求 Amazon MQ Rabbit MQ 代理使用多可用区集群模式以实现高可用性

• CT.MSK.PR.1: 需要适用于 Apache Kafka 的亚马逊托管流媒体 Kafka MSK () 集群才能在集群代理节点之间传输时强制加密

• CT.MSK.PR.2: 要求将适用于 Apache 的 Apache Streaming Managed Kafka MSK () 集群配置为禁用 PublicAccess

• CT.NETWORK-FIREWALL.PR.5: 需要一个 AWS Network Firewall 防火墙将在多个可用区域部署

• CT.RDS.PR.26: 需要 Amazon RDS 数据库代理才能要求传输层安全 (TLS) 连接

• CT.RDS.PR.27：需要一个 Amazon RDS 数据库集群参数组才能要求支持引擎类型的传输层安全 (TLS) 连接

• CT.RDS.PR.28：要求 Amazon RDS DB 参数组要求支持的引擎类型需要传输层安全 (TLS) 连接

• CT.RDS.PR.29：要求未通过 “PubliclyAccessible” 属性将 Amazon RDS 集群配置为可公开访问

• CT.RDS.PR.30：要求 Amazon RDS 数据库实例将静态加密配置为使用您为支持的引擎类型指定的KMS密钥

• CT.S3.PR.12：要求 Amazon S3 接入点具有阻止公共访问 (BPA) 配置，并将所有选项都设置为 true

新的预防性控制措施

• CT.APPSYNC.PV.1 要求那个 AWS AppSync GraphQL 配置了API私密可见性

• CT.EC2.PV.1 要求使用加密EC2卷创建 Amazon EBS 快照

• CT.EC2.PV.2 要求将连接的 Amazon EBS 卷配置为对静态数据进行加密

• CT.EC2.PV.3 要求 Amazon EBS 快照不能公开恢复

• CT.EC2.PV.4 要求不要调用 Amazon EBS D APIs irect

• CT.EC2.PV.5 禁止使用 Amazon EC2 虚拟机导入和导出

• CT.EC2.PV.6 禁止使用已弃用的 Ama EC2 RequestSpotFleet zon 和操作 RequestSpotInstances API

• CT.KMS.PV.1 需要一个 AWS KMS 关键策略是要有一份限制创建的声明 AWS KMS 补助金给 AWS 服务

• CT.KMS.PV.2 要求那个 AWS KMS 带有用于加密的密RSA钥材料的非对称密钥的密钥长度不是 2048 位

• CT.KMS.PV.3 要求那个 AWS KMS 密钥配置为启用绕过策略锁定安全检查

• CT.KMS.PV.4 要求那个 AWS KMS 客户管理的密钥 (CMK) 配置了源自以下内容的密钥材料 AWS 云 HSM

• CT.KMS.PV.5 要求那个 AWS KMS 使用导入的密钥材料配置了客户管理的密钥 (CMK)

• CT.KMS.PV.6 要求那个 AWS KMS 客户管理的密钥 (CMK) 使用源自外部密钥存储库 (XKS) 的密钥材料进行配置

• CT.LAMBDA.PV.1 需要一个 AWS Lambda URL要使用的函数 AWS IAM基于身份验证

• CT.LAMBDA.PV.2 需要一个 AWS Lambda 将功能URL配置为仅供您内部的委托人访问 AWS 账户

• CT。 MULTISERVICE.PV.1：拒绝访问 AWS 根据要求的 AWS 区域 对于组织单位

新的侦探控件

• SH.ACM.2: 由管理的RSA证书ACM应使用至少 2,048 位的密钥长度

• SH.AppSync.5: AWS AppSync APIs不应使用密钥对 GraphQL 进行身份验证 API

• SH.CloudTrail.6: 确保用于存储 CloudTrail 日志的 S3 存储桶不可公开访问：

• SH.DMS.9: DMS 端点应使用 SSL

• SH.DocumentDB.3: Amazon DocumentDB 手动集群快照不应公开

• SH.DynamoDB.3: DynamoDB 加速器 DAX () 集群应进行静态加密

• SH.EC2.23: EC2 中转网关不应自动接受VPC附件请求

• SH.EKS.1: EKS 集群终端节点不应公开访问

• SH.ElastiCache.3： ElastiCache 复制组应启用自动故障转移

• SH.ElastiCache.4: ElastiCache 复制组应该已 encryption-at-rest 启用

• SH.ElastiCache.5: ElastiCache 复制组应该已 encryption-in-transit 启用

• SH.ElastiCache.6: 早期 Redis 版本的 ElastiCache 复制组应启用 Redis AUTH

• SH.EventBridge.3: EventBridge 自定义事件总线应附加基于资源的策略

• SH.KMS.4: AWS KMS 应启用密钥轮换

• SH.Lambda.3: Lambda 函数应该在 VPC

• SH.MQ.5: ActiveMQ 代理应使用主动/备用部署模式

• SH.MQ.6: RabbitMQ 代理应使用集群部署模式

• SH.MSK.1: MSK 集群应在代理节点之间传输时进行加密

• SH.RDS.12: 应为RDS集群配置IAM身份验证

• SH.RDS.15：应为多个可用区配置RDS数据库集群

• SH.S3.17: S3 存储桶应使用静态加密 AWS KMS 键

• 更新后EnableControlAPI可以配置可配置的控件。

• 更新后GetEnabledControlAPI显示了已启用的控件上已配置的参数。

• 新的UpdateEnabledControlAPI可以更改已启用的控件上的参数。

• CreateLandingZone—此API调用使用着陆区版本和清单文件创建着陆区。

• GetLandingZoneOperation—此API调用返回指定 landing zone 操作的状态。

• GetLandingZone—此API调用返回有关指定 landing zone 的详细信息，包括版本、清单文件和状态。

• UpdateLandingZone—此API调用更新 landing zone 版本或清单文件。

• ListLandingZone—此API调用返回管理账户中设置的着陆区标识符 (ARN)。

• ResetLandingZone—此API调用将 landing zone 重置为最新更新中指定的参数，这样可以修复漂移。如果着陆区尚未更新，则此调用会将着陆区重置为创建时指定的参数。

• DeleteLandingZone—此次API调用停用着陆区。

• TagResource—此API调用向 Control Tower 中启用的AWS控件添加标签。

• UntagResource— 此API调用会从 Control Tower 中启用的控件中AWS移除标签。

• ListTagsForResource—此API调用返回在 Control Tower 中启用的AWS控件的标签。

• GetEnabledControl— API 呼叫提供有关已启用控件的详细信息。

• 从 Control Tower 控件库中获取您已启用的所有控件的AWS列表。

• 对于任何已启用的控件，您可以获取有关支持该控件的区域、控件的标识符 (ARN)、控件的偏移状态以及控件的状态摘要的信息。

新的主动控制措施

• [CT.ATHENA.PR.1] 需要 Amazon Athena 工作组对静态的 Athena 查询结果进行加密

• [CT.ATHENA.PR.2] 要求 Amazon Athena 工作组使用静态加密静态的 Athena 查询结果 AWS Key Management Service (KMS) 键

• [CT.CLOUDTRAIL.PR.4] 需要 AWS CloudTrail Lake 事件数据存储用于启用静态加密 AWS KMS 键

• [CT.DAX.PR.2] 要求 Amazon DAX 集群将节点部署到至少三个可用区

• [CT.EC2.PR.14] 需要通过 Amazon EC2 启动模板配置的 Amazon EBS 卷来加密静态数据

• [CT.EKS.PR.2] 要求使用 Amazon EKS 集群配置密钥加密 AWS 密钥管理服务 (KMS) 密钥

• [CT.ELASTICLOADBALANCING.PR.14] 需要 Network Load Balancer 才能激活跨区域负载平衡

• [CT.ELASTICLOADBALANCING.PR.15] 要求 Elastic Load Balancing v2 目标组不要明确禁用跨区域负载平衡

• [CT.EMR.PR.1] 要求将 Amazon EMR (EMR) 安全配置配置为对 Amazon S3 中的静态数据进行加密

• [CT.EMR.PR.2] 要求将 Amazon EMR (EMR) 安全配置配置为使用 Amazon S3 中的静态数据加密 AWS KMS 键

• [CT.EMR.PR.3] 要求使用 Amazon EMR (EMR) 安全配置配置EBS卷本地磁盘加密 AWS KMS 键

• [CT.EMR.PR.4] 要求将 Amazon EMR (EMR) 安全配置配置为加密传输中的数据

• [CT.GLUE.PR.1] 需要 AWS Glue 工作以建立相关的安全配置

• [CT.GLUE.PR.2] 需要 AWS 使用 Glue 安全配置来加密 Amazon S3 目标中的数据 AWS KMS钥匙

• [CT.KMS.PR.2] 要求那个 AWS KMS 带有用于加密的密RSA钥材料的非对称密钥的密钥长度大于 2048 位

• [CT.KMS.PR.3] 需要 AWS KMS 关键策略是要有一份限制创建的声明 AWS KMS 补助金给 AWS 服务

• [CT.LAMBDA.PR.4] 需要 AWS Lambda 授予访问权限的层权限 AWS 组织或具体 AWS account

• [CT.LAMBDA.PR.5] 需要 AWS Lambda URL要使用的函数 AWS IAM基于身份验证

• [CT.LAMBDA.PR.6] 需要 AWS Lambda 限制对特定来源的访问的功能URLCORS策略

• [CT.NEPTUNE.PR.4] 需要 Amazon Neptune 数据库集群才能为审计 CloudWatch 日志启用亚马逊日志导出

• [CT.NEPTUNE.PR.5] 要求 Amazon Neptune 数据库集群将备份保留期设置为大于或等于七天

• [CT.REDSHIFT.PR.9] 要求将 Amazon Redshift 集群参数组配置为使用安全套接字层 (SSL) 对传输中的数据进行加密

• [SH.Athena.1] Athena 工作组应进行静态加密

• [SH.Neptune.1] 应对 Neptune 数据库集群进行静态加密

• [SH.Neptune.2] Neptune 数据库集群应将审核日志发布到日志 CloudWatch

• [SH.Neptune.3] Neptune 数据库集群快照不应公开

• [SH.Neptune.4] Neptune 数据库集群应启用删除保护

• [SH.Neptune.5] Neptune 数据库集群应启用自动备份

• [SH.Neptune.6] 应对 Neptune 数据库集群快照进行静态加密

• [SH.Neptune.7] Neptune 数据库集群应启用IAM数据库身份验证

• [SH.Neptune.8] 应将 Neptune 数据库集群配置为将标签复制到快照

• [SH.RDS.27] RDS 数据库集群应在静态状态下进行加密

以下是新控件的完整列表：

• [CT。 APPSYNC.PR.1] 需要一个 AWS AppSync GraphQL API 要启用日志功能

• [CT。 CLOUDWATCH.PR.1] 要求亚马逊 CloudWatch警报为警报状态配置操作

• [CT。 CLOUDWATCH.PR.2] 要求将 Amazon CloudWatch 日志组保留至少一年

• [CT。 CLOUDWATCH.PR.3] 要求使用 Amazon CloudWatch 日志组进行静态加密 AWS KMS钥匙

• [CT。 CLOUDWATCH.PR.4] 要求激活亚马逊 CloudWatch警报操作

• [CT。 DOCUMENTDB.PR.1] 要求对亚马逊文档数据库集群进行静态加密

• [CT。 DOCUMENTDB.PR.2] 要求亚马逊文档数据库集群启用自动备份

• [CT。 DYNAMODB.PR.2] 要求使用静态加密亚马逊 DynamoDB 表 AWS KMS 键

• [CT。 EC2.PR.13] 要求亚马逊EC2实例启用详细监控

• [CT。 EKS.PR.1] 要求将 Amazon EKS 集群配置为禁用对集群 Kub API ernetes 服务器终端节点的公共访问权限

• [CT。 ELASTICACHE.PR.1] 要求 Ama ElastiCache zon for Redis 集群激活自动备份

• [CT。 ELASTICACHE.PR.2] 要求 Ama ElastiCache zon for Redis 集群激活自动次要版本升级

• [CT。 ELASTICACHE.PR.3] 要求 Amazon fo ElastiCache r Redis 复制组激活自动故障转移

• [CT。 ELASTICACHE.PR.4] 要求 Amazon ElastiCache 复制组激活静态加密

• [CT。 ELASTICACHE.PR.5] 要求 Ama ElastiCache zon for Redis 复制组激活传输中的加密

• [CT。 ELASTICACHE.PR.6] 要求 Amazon ElastiCache 缓存集群使用自定义子网组

• [CT。 ELASTICACHE.PR.7] 要求由早期 Redis 版本组 ElastiCache 成的亚马逊复制组进行 Redis 身份验证 AUTH

• [CT。 ELASTICBEANSTALK.PR.3] 需要一个 AWS Elastic Beanstalk 环境将进行日志配置

• [CT。 LAMBDA.PR.3] 需要一个 AWS Lambda 功能要放在客户管理的亚马逊虚拟私有云中 Amazon Virtual Private Cloud () VPC

• [CT。 NEPTUNE.PR.1] 要求亚马逊 Neptune 数据库集群具有 AWS Identity and Access Management (IAM) 数据库身份验证

• [CT。 NEPTUNE.PR.2] 要求 Amazon Neptune 数据库集群启用删除保护

• [CT。 NEPTUNE.PR.3] 要求 Amazon Neptune 数据库集群启用存储加密

• [CT。 REDSHIFT.PR.8] 要求对亚马逊 Redshift 集群进行加密

• [CT.S3.PR.9] 要求亚马逊 S3 存储桶激活 S3 对象锁

• [CT.S3.PR.10] 要求使用 Amazon S 3 存储桶配置服务器端加密 AWS KMS 键

• [CT.S3.PR.11] 要求 Amazon S 3 存储桶启用版本控制

• [CT。 STEPFUNCTIONS.PR.1] 需要一个 AWS Step Functions 要激活日志记录的状态机

• [CT。 STEPFUNCTIONS.PR.2] 需要一个 AWS Step Functions 要拥有的状态机 AWS X-Ray 追踪已激活

• [SH.S3.4] S3 存储桶应启用服务器端加密

• [CT.S3.PR.7] 要求 Amazon S3 存储桶配置服务器端加密

全球服务并APIs添加

• AWS Billing and Cost Management (billing:*)

• AWS CloudTrail (cloudtrail:LookupEvents) 以允许在成员账户中查看全球事件。

• AWS 整合账单 (consolidatedbilling:*)

• AWS 管理控制台 Mobile Application (consoleapp:*)

• AWS 免费套餐 (freetier:*)

• AWS 开票 (invoicing:*)

• AWS IQ (iq:*)

• AWS 用户通知 (notifications:*)

• AWS 用户通知联系人 (notifications-contacts:*)

• Amazon Payments (payments:*)

• AWS 税务设置 (tax:*)

全球服务并APIs已删除

• 已移除，s3:GetAccountPublic因为它不是有效的操作。

• 已移除，s3:PutAccountPublic因为它不是有效的操作。

• [sh.account.1] 应为以下人员提供安全联系信息 AWS 账户

• [SH。 APIGateway.8] API 网关路由应指定授权类型

• [SH。 APIGateway.9] 应为API网关 V2 阶段配置访问日志

• [SH。 CodeBuild.3] 应 CodeBuild 对 S3 日志进行加密

• [SH。 EC2.25] EC2 启动模板不应将公共分配IPs给网络接口

• [SH。 ELB.1] 应将 Application Load Balancer 配置为将所有HTTP请求重定向到 HTTPS

• [sh.redshift.10] Reds hift 集群应该在静态状态下进行加密

• [SH。 SageMaker.2] SageMaker 笔记本实例应以自定义方式启动 VPC

• [SH。 SageMaker.3] 用户不应拥有 SageMaker 笔记本实例的 root 访问权限

• [SH。 WAF.10] 一个WAFV2网络ACL应该至少有一个规则或规则组

• 您可以接受默认设置并允许 Cont AWS rol Tower 进行设置和管理 AWS IAM专为您而设的身份中心。

• 你可以选择自我管理 AWS IAM身份中心，以反映您的特定业务需求。

• 如果需要，您可以选择携带第三方身份提供商并自行管理，方法是通过 Ident IAM ity Center 进行连接。如果您的监管环境要求您使用特定的提供商，或者如果您在以下位置运营，则应使用身份提供商可选性 AWS 区域 其中 AWS IAM身份中心不可用。

亚马逊 OpenSearch 服务

• [CT。 OPENSEARCH.PR.1] 需要 Elasticsearch 域来加密静态数据

• [CT。 OPENSEARCH.PR.2] 要求在用户指定的亚马逊上创建 Elasticsearch 域 VPC

• [CT。 OPENSEARCH.PR.3] 需要 Elasticsearch 域来加密节点之间发送的数据

• [CT。 OPENSEARCH.PR.4] 需要 Elasticsearch 域才能向亚马逊日志发送错误日志 CloudWatch

• [CT。 OPENSEARCH.PR.5] 需要 Elasticsearch 域才能将审核日志发送到亚马逊日志 CloudWatch

• [CT。 OPENSEARCH.PR.6] 要求一个 Elasticsearch 域具有区域感知能力和至少三个数据节点

• [CT。 OPENSEARCH.PR.7] 要求一个 Elasticsearch 域至少有三个专用的主节点

• [CT。 OPENSEARCH.PR.8] 需要 Elasticsearch 服务域才能使用 .2 TLSv1

• [CT。 OPENSEARCH.PR.9] 要求使用亚马逊 OpenSearch 服务域来加密静态数据

• [CT。 OPENSEARCH.PR.10] 要求在用户 OpenSearch 指定的亚马逊中创建亚马逊服务域 VPC

• [CT。 OPENSEARCH.PR.11] 需要亚马逊 OpenSearch 服务域来加密节点之间发送的数据

• [CT。 OPENSEARCH.PR.12] 需要亚马逊 OpenSearch 服务域才能将错误日志发送到亚马逊日志 CloudWatch

• [CT。 OPENSEARCH.PR.13] 要求亚马逊 OpenSearch 服务域将审核日志发送到亚马逊日志 CloudWatch

• [CT。 OPENSEARCH.PR.14] 要求一个 Amazon Serv OpenSearch ice 域具有区域感知能力和至少三个数据节点

• [CT。 OPENSEARCH.PR.15] 要求亚马逊 OpenSearch 服务域使用精细访问控制

• [CT。 OPENSEARCH.PR.16] 需要亚马逊 OpenSearch 服务域名才能使用 .2 TLSv1

Amazon A EC2 uto Scaling

• [CT。 AUTOSCALING.PR.1] 要求一个 Amazon A EC2 uto Scaling 组拥有多个可用区

• [CT。 AUTOSCALING.PR.2] 需要使用 Amazon A EC2 uto Scaling 组启动配置来配置亚马逊EC2实例 IMDSv2

• [CT。 AUTOSCALING.PR.3] 需要 Amazon A EC2 uto Scaling 启动配置才能设置单跳元数据响应限制

• [CT。 AUTOSCALING.PR.4] 要求与亚马逊 Elastic Load Balancing (ELB) 关联的 Amazon A EC2 uto Scaling 群组激活运行状况ELB检查

• [CT。 AUTOSCALING.PR.5] 要求 Amazon A EC2 uto Scaling 组启动配置中没有带有公有 IP 地址的亚马逊EC2实例

• [CT。 AUTOSCALING.PR.6] 要求任何 Amazon A EC2 uto Scaling 组使用多种实例类型

• [CT。 AUTOSCALING.PR.8] 要求 Amazon A EC2 uto Scaling 组配置启动模板 EC2

Amazon SageMaker

• [CT。 SAGEMAKER.PR.1] 需要使用 Amazon SageMaker 笔记本实例以防止直接访问互联网

• [CT。 SAGEMAKER.PR.2] 要求在自定义 Amazon 中部署亚马逊 SageMaker 笔记本实例 VPC

• [CT。 SAGEMAKER.PR.3] 要求不允许 Amazon SageMaker 笔记本实例具有根访问权限

亚马逊API网关

• [CT。 APIGATEWAY.PR.5] 要求 Amazon Gatewa API y V2 Websocket 和HTTP路由来指定授权类型

亚马逊 Relational Database Service (RDS)

• [CT。 RDS.PR.25] 要求 Amazon RDS 数据库集群配置日志记录

• 什么是 Amazon CloudWatch 日志？ 在 Amazon CloudWatch 日志用户指南中

• 什么是 AWS Step Functions？ 在 AWS Step Functions 开发者指南

• 在此版本中，Cont AWS rol Tower 会停用访问日志存储桶（访问日志存档账户中存储访问日志的 Amazon S3 存储桶）的不必要访问日志记录，同时继续为 S3 存储桶启用服务器访问日志记录。此版本还包括对 “区域拒绝” 控件的更新，允许对全球服务执行其他操作，例如 AWS Support 计划和 AWS Artifact.

• 停用 Cont AWS rol Tower 访问日志存储桶的服务器访问日志会导致 Security Hub 为日志存档账户的访问日志存储桶创建查找结果，原因是 AWS Security Hub 规则，[S3.9] 应启用 S3 存储桶服务器访问日志记录。为了与 Security Hub 保持一致，我们建议您按照 Security Hub 对此规则的描述中所述，取消此特定发现。有关其他信息，请参阅有关隐藏查找结果的信息。

• 在 3.1 版本中，日志存档账户中（常规）日志存储桶的访问日志记录保持不变。根据最佳实践，该存储桶的访问事件将作为日志条目记录在访问日志存储桶中。有关访问日志的更多信息，请参阅 Amazon S3 文档中的使用服务器访问日志记录请求。

• 我们更新了 “区域拒绝” 控件。此更新允许更多全球服务执行操作。有关详细信息SCP，请参阅拒绝访问 AWS 根据要求 AWS 区域以及增强数据驻留保护的控制措施。

  增加了全球服务：

  • AWS Account Management (account:*)

  • AWS 激活 (activate:*)

  • AWS Artifact (artifact:*)

  • AWS Billing Conductor (billingconductor:*)

  • AWS Compute Optimizer (compute-optimizer:*)

  • AWS Data Pipeline (datapipeline:GetAccountLimits)

  • AWS Device Farm(devicefarm:*)

  • AWS Marketplace (discovery-marketplace:*)

  • 亚马逊 ECR (ecr-public:*)

  • AWS License Manager (license-manager:ListReceivedLicenses)

  • AWS Lightsail () lightsail:Get*

  • AWS 资源探索器 (resource-explorer-2:*)

  • 亚马逊 S3 (s3:CreateMultiRegionAccessPoint,s3:GetBucketPolicyStatus,s3:PutMultiRegionAccessPointPolicy)

  • AWS Savings Plans (savingsplans:*)

  • IAM身份中心 (sso:*)

  • AWS Support App (supportapp:*)

  • AWS Support 计划 (supportplans:*)

  • AWS 可持续发展 (sustainability:*)

  • AWS Resource Groups Tagging API (tag:GetResources)

  • AWS Marketplace 供应商见解 (vendor-insights:ListEntitledSecurityProfiles)