2023 年 1 月 – 12 月

• 过渡到新的 AWS Service Catalog 外部产品类型（第 3 阶段）

• AWS Control Tower 登录区版本 3.3

• 过渡到新的 AWS Service Catalog 外部产品类型（第 2 阶段）

• AWS Control Tower 宣布推出有助于实现数字主权的控件

• AWS Control Tower 登录区 API

• AWS Control Tower 控件标记 API

• AWS 控制塔可用于 AWS 亚太地区（墨尔本）

• 过渡到新的 AWS Service Catalog 外部产品类型（第 1 阶段）

• AWS Control Tower 增加了新控件 API

• AWS Control Tower 增加了新的控件

• AWS Control Tower 检测可信访问权限偏移

• AWS 控制塔另有四款可供选择 AWS 区域

• AWS 控制塔可用于 AWS 以色列（特拉维夫）

• AWS Control Tower 新增了 28 个主动性控件

• AWS Control Tower 弃用 2 个控件

• AWS Control Tower 登录区版本 3.2

• AWS Control Tower 为 IAM Identity Center 添加了电子邮件到 ID 的映射

• AWS 控制塔增加了更多 AWS Security Hub CSPM 控制

• AWS 控制塔发布以下内容的元数据 AWS Security Hub CSPM 控制

• AWS Control Tower 添加了 Account Factory Customization（AFC）for Terraform

• AWS Control Tower 增加了自行管理的 IAM Identity Center

• AWS Control Tower 增加了混合监管说明

• AWS Control Tower 新增了主动性控件

• AWS Control Tower 更新了 Amazon EC2 控件

• AWS 控制塔还有七个版本可供选择 AWS 区域

• AWS Control Tower Account Factory Customization（AFC）和请求跟踪正式发布

• AWS Control Tower 登录区版本 3.1

• AWS Control Tower 主动性控件正式发布

登录区区域拒绝控件的更新

• 删除了 discovery-marketplace:。此操作已包含在 aws-marketplace:* 豁免范围内。

• 添加了 quicksight:DescribeAccountSubscription

新的主动性控件

• CT.APIGATEWAY.PR.6: 要求 Amazon API Gateway REST 域使用安全策略，该策略将最低 TLS 协议版本指定为 TLSv1.2

• CT.APPSYNC.PR.2: 要求将 AWS AppSync GraphQL API 配置为具有私有可见性

• CT.APPSYNC.PR.3: 要求不使用 API 密钥对 AWS AppSync GraphQL API 进行身份验证

• CT.APPSYNC.PR.4: 需要 AWS AppSync GraphQL API 缓存才能启用传输中加密。

• CT.APPSYNC.PR.5: 需要 AWS AppSync GraphQL API 缓存才能启用静态加密。

• CT.AUTOSCALING.PR.9：要求通过 Amazon EC2 Auto Scaling 启动配置将 Amazon EBS 卷配置为加密静态数据

• CT.AUTOSCALING.PR.10: 要求 Amazon EC2 Auto Scaling 组在覆盖启动模板时仅使用 AWS Nitro 实例类型

• CT.AUTOSCALING.PR.11：在覆盖启动模板时，仅要求将支持实例间网络流量加密的 AWS Nitro 实例类型添加到 Amazon EC2 Auto Scaling 组中

• CT.DAX.PR.3：要求 DynamoDB Accelerator 集群使用传输层安全性协议（TLS）对传输中数据进行加密。

• CT.DMS.PR.2: 需要 AWS 数据库迁移服务 (DMS) 端点来加密源端点和目标端点的连接

• CT.EC2.PR.15：要求在使用 AWS::EC2::LaunchTemplate 资源类型创建 Amazon EC2 实例时，必须使用 AWS Nitro 实例类型。

• CT.EC2.PR.16：要求在使用 AWS::EC2::Instance 资源类型创建 Amazon EC2 实例时，必须使用 AWS Nitro 实例类型。

• CT.EC2.PR.17：要求 Amazon EC2 专属主机使用 AWS Nitro 实例类型

• CT.EC2.PR.18: 要求 Amazon EC2 队列仅覆盖那些具有 AWS Nitro 实例类型的启动模板

• CT.EC2.PR.19：要求在使用 AWS::EC2::Instance 资源类型创建 Amazon EC2 实例时，必须使用支持实例间传输中加密的 Nitro 实例类型。

• CT.EC2.PR.20: 要求 Amazon EC2 队列仅覆盖那些使用支持实例之间传输加密的 AWS Nitro 实例类型的启动模板

• CT.ELASTICACHE.PR.8: 需要更高版本的 Redis 的 Amazon ElastiCache 复制组才能激活 RBAC 身份验证

• CT.MQ.PR.1: 要求 Amazon MQ ActiveMQ 代理使用 active/standby 部署模式实现高可用性

• CT.MQ.PR.2: 要求 Amazon MQ Rabbit MQ 代理使用 Multi-AZ 集群模式来实现高可用性

• CT.MSK.PR.1：要求 Amazon Managed Streaming for Apache Kafka（MSK）集群在集群代理节点间强制实施传输中加密。

• CT.MSK.PR.2: 要求将适用于 Apache Kafka 的 Amazon 托管串流 (MSK) 集群配置为禁用 PublicAccess

• CT.NETWORK-FIREWALL.PR.5: 要求在多个可用区部署 AWS 网络防火墙防火墙

• CT.RDS.PR.26：要求 Amazon RDS 数据库代理必须使用传输层安全性协议（TLS）连接

• CT.RDS.PR.27：要求 Amazon RDS 数据库集群参数组必须针对支持的引擎类型使用传输层安全性协议（TLS）连接

• CT.RDS.PR.28：要求 Amazon RDS 数据库参数组必须针对支持的引擎类型使用传输层安全性协议（TLS）连接

• CT.RDS.PR.29: 要求不要通过 “PubliclyAccessible” 属性将 Amazon RDS 集群配置为可公开访问

• CT.RDS.PR.30：要求 Amazon RDS 数据库实例配置静态加密，以针对所支持的引擎类型使用您指定的 KMS 密钥

• CT.S3.PR.12：要求 Amazon S3 接入点设置屏蔽公共访问（BPA）配置，并将所有选项都设置为 true

新的预防性控件

• CT.APPSYNC.PV.1要求将 AWS AppSync GraphQL API 配置为私有可见性

• CT.EC2.PV.1 要求从加密的 EC2 卷创建 Amazon EBS 快照

• CT.EC2.PV.2 要求将连接的 Amazon EBS 卷配置为对静态数据进行加密

• CT.EC2.PV.3 要求 Amazon EBS 快照不可公开还原

• CT.EC2.PV.4 要求不得调用 Amazon EBS 直接 API

• CT.EC2.PV.5 禁止使用 Amazon EC2 虚拟机导入和导出

• CT.EC2.PV.6禁止使用已弃用的 Amazon EC2 RequestSpotFleet 和 API 操作 RequestSpotInstances

• CT.KMS.PV.1要求一项 AWS KMS 关键政策必须有一项声明，将 AWS KMS 补助金的创建限制在 AWS 服务范围内

• CT.KMS.PV.2要求使用用于加密的 RSA 密钥材料的 AWS KMS 非对称密钥的密钥长度不为 2048 位

• CT.KMS.PV.3要求在启用绕过策略锁定安全检查的情况下配置 AWS KMS 密钥

• CT.KMS.PV.4要求使用源自 CloudHSM 的密钥材料配置 AWS KMS 客户管理密钥 (CMK) AWS

• CT.KMS.PV.5要求使用导入的密钥材料配置 AWS KMS 客户管理的密钥 (CMK)

• CT.KMS.PV.6要求使用源自外部密钥存储库 (XKS) 的密钥材料配置 AWS KMS 客户管理的密钥 (CMK)

• CT.LAMBDA.PV.1需要 AWS Lambda 函数 URL 才能使用 AWS IAM-based 身份验证

• CT.LAMBDA.PV.2要求将 AWS Lambda 函数 URL 配置为仅供您内部的主体访问 AWS 账户

添加的全局服务和 API

• AWS 账单与成本管理 (billing:*)

• AWS CloudTrail (cloudtrail:LookupEvents) 允许成员账户中显示全球事件。

• AWS 整合账单 (consolidatedbilling:*)

• AWS 管理控制台移动应用程序 (consoleapp:*)

• AWS 免费套餐 (freetier:*)

• AWS 开票 (invoicing:*)

• AWS 智商 (iq:*)

• AWS 用户通知 (notifications:*)

• AWS 用户通知联系人 (notifications-contacts:*)

• Amazon Payments (payments:*)

• AWS 税收设置 (tax:*)

删除的全局服务和 API

• 已删除 s3:GetAccountPublic，因为它不是一个有效的操作。

• 已删除 s3:PutAccountPublic，因为它不是一个有效的操作。

• 随着此次发布，AWS Control Tower 将针对您的访问日志记录存储桶（即日志归档账户中存储访问日志的 Amazon S3 存储桶）停用不必要的访问日志记录，同时继续为 S3 存储桶启用服务器访问日志记录。此版本还包括对 “区域拒绝” 控件的更新，允许对全球服务（例如 支持 计划和）执行其他操作 AWS Artifact。

• 停用 AWS Control Tower 访问日志存储桶的服务器访问日志记录会导致 Security Hub CSPM 为日志存档账户的访问日志存储桶创建查找结果，因为有一项 AWS Security Hub CSPM 规则，[S3.9] 应启用 S3 存储桶服务器访问日志记录。与安全中心 CSPM 一致，我们建议您隐瞒此特定发现，如安全中心 CSPM 对该规则的描述中所述。有关其他信息，请参阅有关抑制的调查发现的信息。

• 在 3.1 版本中，日志存档账户中（常规）日志记录存储桶的访问日志记录保持不变。根据最佳实践，该存储桶的访问事件将作为日志条目记录在访问日志存储桶中。有关访问日志记录的更多信息，请参阅 Amazon S3 文档中的 Logging requests using server access logging。

• 我们更新了区域拒绝控件。此更新允许更多全局服务执行相关操作。有关此 SCP 的详细信息，请参阅 AWS 根据请求拒绝访问 AWS 区域和增强数据驻留保护的控制。

  添加的全局服务：

  • AWS 账户管理 (account:*)

  • AWS 激活 (activate:*)

  • AWS Artifact (artifact:*)

  • AWS Billing Conductor (billingconductor:*)

  • AWS Compute Optimizer (compute-optimizer:*)

  • AWS Data Pipeline (datapipeline:GetAccountLimits)

  • AWS Device Farm(devicefarm:*)

  • AWS Marketplace (discovery-marketplace:*)

  • Amazon ECR (ecr-public:*)

  • AWS License Manager (license-manager:ListReceivedLicenses)

  • AWS Lightsail () lightsail:Get*

  • AWS 资源探索器 (resource-explorer-2:*)

  • Amazon S3（s3:CreateMultiRegionAccessPoint、s3:GetBucketPolicyStatus、s3:PutMultiRegionAccessPointPolicy）

  • AWS 储蓄计划 (savingsplans:*)

  • IAM Identity Center (sso:*)

  • AWS Support App (supportapp:*)

  • 支持 计划 (supportplans:*)

  • AWS 可持续发展 (sustainability:*)

  • AWS Resource Groups Tagging API (tag:GetResources)

  • AWS Marketplace 供应商见解 (vendor-insights:ListEntitledSecurityProfiles)