加拿大網路安全中心 (CCCS) 中型雲端控制設定檔的最佳營運實務

一致性套件提供一般用途的合規性架構，可讓您使用受管或自 AWS Config 訂規則和補救動作來建立安全性、作業或成本最佳化治理檢查。 AWS Config 一致性套件 (作為範例範本) 並不是為了完全確保符合特定控管或合規標準而設計。您有責任自行評估服務的使用情形是否符合適用的法律和法規要求。

以下提供加拿大網路安全中心 (CCCS) 中型雲端控制設定檔與 AWS 受管 Config 規則之間的範例對應。每個 Config 規則都會套用至特定 AWS 資源，並與一或多個 CCCS 中型雲端控制設定檔控制項相關。一個 CCCS 中型雲端控制設定檔控制項可與多個 Config 規則相關聯。如需與這些映射相關的詳細資訊和指導，請參閱下方資料表。

控制 ID	控制描述	AWS Config 規則	指引
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2(1)	AC-2(1) 帳戶管理 \| 自動化系統帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2(3)	AC-2(3) 帳戶管理 \| 停用非作用中帳戶	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2(3)	AC-2(3) 帳戶管理 \| 停用非作用中帳戶	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2(4)	AC-2(4) 帳戶管理 \| 自動稽核動作	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AC-2(4)	AC-2(4) 帳戶管理 \| 自動稽核動作	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AC-2(4)	AC-2(4) 帳戶管理 \| 自動稽核動作	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2(4)	AC-2(4) 帳戶管理 \| 自動稽核動作	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2(4)	AC-2(4) 帳戶管理 \| 自動稽核動作	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AC-2(4)	AC-2(4) 帳戶管理 \| 自動稽核動作	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2(4)	AC-2(4) 帳戶管理 \| 自動稽核動作	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.A	AC-2.A 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.B	AC-2.B 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.C	AC-2.C 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.D	AC-2.D 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.E	AC-2.E 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.F	AC-2.F 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.G	AC-2.G 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.H	AC-2.H 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.I	AC-2.I 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.J	AC-2.J 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-policy-no-statements-with-full-access	確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-2.K	AC-2.K 帳戶管理	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	emr-master-no-public-ip	透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-3.A	AC-3.A 存取強制執行	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4(21)	AC-4(21) 資訊流強制執行 \| 實體/邏輯分離資訊流	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	emr-master-no-public-ip	透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-AC-4.A	AC-4.A 資訊流強制執行	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-AC-5.A	AC-5.A 職責分離	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-5.A	AC-5.A 職責分離	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-5.A	AC-5.A 職責分離	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-5.A	AC-5.A 職責分離	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-5.A	AC-5.A 職責分離	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低權限 \| 授權存取安全功能	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低權限 \| 授權存取安全功能	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低權限 \| 授權存取安全功能	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低權限 \| 授權存取安全功能	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-6(1)	AC-6(1) 最低權限 \| 授權存取安全功能	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低權限 \| 非安全功能的非權限存取	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低權限 \| 非安全功能的非權限存取	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低權限 \| 非安全功能的非權限存取	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低權限 \| 非安全功能的非權限存取	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-6(2)	AC-6(2) 最低權限 \| 非安全功能的非權限存取	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低權限 \| 權限帳戶	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低權限 \| 權限帳戶	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低權限 \| 權限帳戶	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-6(5)	AC-6(5) 最低權限 \| 權限帳戶	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低權限 \| 稽核權限功能的使用情形	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低權限 \| 稽核權限功能的使用情形	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低權限 \| 稽核權限功能的使用情形	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低權限 \| 稽核權限功能的使用情形	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低權限 \| 稽核權限功能的使用情形	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低權限 \| 稽核權限功能的使用情形	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-6(9)	AC-6(9) 最低權限 \| 稽核權限功能的使用情形	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低權限 \| 禁止非權限使用者執行權限功能	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低權限 \| 禁止非權限使用者執行權限功能	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低權限 \| 禁止非權限使用者執行權限功能	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低權限 \| 禁止非權限使用者執行權限功能	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-6(10)	AC-6(10) 最低權限 \| 禁止非權限使用者執行權限功能	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	emr-master-no-public-ip	透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-6.A	AC-6.A 最低權限	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	alb-waf-enabled	確保在彈性負載平衡器 (ELB) 上啟用 AWS WAF，以協助保護 Web 應用程式。WAF 有助於保護 Web 應用程式或 API 免於常見的網路攻擊。這些網路惡意探索攻擊可能會影響可用性、危及安全性，或耗用過多環境中的資源。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	emr-master-no-public-ip	透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-AC-17(1)	AC-17(1) 遠端存取 \| 自動化監控/控制	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AC-17(2)	AC-17(2) 遠端存取 \| 使用加密保護機密性/完整性	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-17(2)	AC-17(2) 遠端存取 \| 使用加密保護機密性/完整性	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-AC-17(2)	AC-17(2) 遠端存取 \| 使用加密保護機密性/完整性	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-AC-17(2)	AC-17(2) 遠端存取 \| 使用加密保護機密性/完整性	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17(2)	AC-17(2) 遠端存取 \| 使用加密保護機密性/完整性	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-17(2)	AC-17(2) 遠端存取 \| 使用加密保護機密性/完整性	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-AC-17(3)	AC-17(3) 遠端存取 \| 受管存取控制點	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-17(4)	AC-17(4) 遠端存取 \| 權限命令/存取	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-AC-17(4)	AC-17(4) 遠端存取 \| 權限命令/存取	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-17(4)	AC-17(4) 遠端存取 \| 權限命令/存取	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	emr-master-no-public-ip	透過確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-AC-17.A	AC-17.A 遠端存取	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-AC-17.AA	AC-17.AA 遠端存取	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-AC-17.B	AC-17.B 遠端存取	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-2.A	AU-2.A 稽核事件	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-2.B	AU-2.B 稽核事件	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-2.C	AU-2.C 稽核事件	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-2.D	AU-2.D 稽核事件	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-3(1)	AU-3(1) 稽核記錄內容 \| 其他稽核資訊	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	elasticsearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。網域錯誤日誌可協助進行安全和存取稽核，也可協助診斷可用性問題。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	opensearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。 OpenSearch 服務錯誤記錄可協助進行安全性和存取稽核，並可協助診斷可用性問題。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-3.A	AU-3.A 稽核記錄內容	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-5.A	AU-5.A 對稽核處理失敗的回應	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-AU-5.B	AU-5.B 對稽核處理失敗的回應	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-AU-6(1)	AU-6(1) 審核檢閱、分析和報告 \| 流程整合	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-AU-6(1)	AU-6(1) 審核檢閱、分析和報告 \| 流程整合	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-6(1)	AU-6(1) 審核檢閱、分析和報告 \| 流程整合	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-6(1)	AU-6(1) 審核檢閱、分析和報告 \| 流程整合	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-AU-6(1)	AU-6(1) 審核檢閱、分析和報告 \| 流程整合	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-6(1)	AU-6(1) 稽核檢閱、分析和報告 \| 整合流程	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	elasticsearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。網域錯誤日誌可協助進行安全和存取稽核，也可協助診斷可用性問題。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	opensearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。 OpenSearch 服務錯誤記錄可協助進行安全性和存取稽核，並可協助診斷可用性問題。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-6(3)	AU-6(3) 稽核檢閱、分析和報告 \| 建立稽核儲存庫關聯	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-7(1)	AU-7(1) 減少稽核與產生報告 \| 自動處理	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	elasticsearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。網域錯誤日誌可協助進行安全和存取稽核，也可協助診斷可用性問題。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	opensearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。 OpenSearch 服務錯誤記錄可協助進行安全性和存取稽核，並可協助診斷可用性問題。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-8.B	AU-8.B 時間戳記	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-9(2)	AU-9(2) 保護稽核資訊 \| 不同實體系統/元件的稽核備份	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-AU-9(2)	AU-9(2) 保護稽核資訊 \| 不同實體系統/元件的稽核備份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-AU-9(2)	AU-9(2) 保護稽核資訊 \| 不同實體系統/元件的稽核備份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-AU-9.A	AU-9.A 保護稽核資訊	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-AU-9.A	AU-9.A 保護稽核資訊	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-AU-9.A	AU-9.A 保護稽核資訊	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-AU-11.A	AU-11.A 保留稽核記錄	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-AU-11.B	AU-11.B 保留稽核記錄	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-AU-11.C	AU-11.C 保留稽核記錄	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	elasticsearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。網域錯誤日誌可協助稽核安全性和存取，也可協助診斷可用性問題。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	opensearch-logs-to-cloudwatch	確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。 OpenSearch 服務錯誤記錄可協助進行安全性和存取稽核，並可協助診斷可用性問題。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-12.A	AU-12.A 產生稽核	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-AU-12.C	AU-12.C 產生稽核	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	eip-attached	此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-CA-3(5)	CA-3(5) 系統互連 \| 外部網路連線限制	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	api-gw-xray-enabled	AWS X-Ray 會收集應用程式所提供請求的相關資料，並提供工具供您檢視、篩選和深入瞭解該資料，以識別問題和最佳化機會。確保 X-Ray 已啟用，因此您不僅可以查看有關請求和響應的詳細信息，還可以查看應用程序對下游 AWS 資源，微服務，數據庫和 HTTP Web API 進行的調用的詳細信息。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CA-7.A	CA-7.A 持續監控	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	api-gw-xray-enabled	AWS X-Ray 會收集應用程式所提供請求的相關資料，並提供工具供您檢視、篩選和深入瞭解該資料，以識別問題和最佳化機會。確保 X-Ray 已啟用，因此您不僅可以查看有關請求和響應的詳細信息，還可以查看應用程序對下游 AWS 資源，微服務，數據庫和 HTTP Web API 進行的調用的詳細信息。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	eip-attached	此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CA-7.B	CA-7.B 持續監控	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	api-gw-xray-enabled	AWS X-Ray 會收集應用程式所提供請求的相關資料，並提供工具供您檢視、篩選和深入瞭解該資料，以識別問題和最佳化機會。確保 X-Ray 已啟用，因此您不僅可以查看有關請求和響應的詳細信息，還可以查看應用程序對下游 AWS 資源，微服務，數據庫和 HTTP Web API 進行的調用的詳細信息。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	eip-attached	此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CA-7.C	CA-7.C 持續監控	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	api-gw-xray-enabled	AWS X-Ray 會收集應用程式所提供請求的相關資料，並提供工具供您檢視、篩選和深入瞭解該資料，以識別問題和最佳化機會。確保 X-Ray 已啟用，因此您不僅可以查看有關請求和響應的詳細信息，還可以查看應用程序對下游 AWS 資源，微服務，數據庫和 HTTP Web API 進行的調用的詳細信息。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	eip-attached	此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CA-7.D	CA-7.D 持續監控	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	api-gw-xray-enabled	AWS X-Ray 會收集應用程式所提供請求的相關資料，並提供工具供您檢視、篩選和深入瞭解該資料，以識別問題和最佳化機會。確保 X-Ray 已啟用，因此您不僅可以查看有關請求和響應的詳細信息，還可以查看應用程序對下游 AWS 資源，微服務，數據庫和 HTTP Web API 進行的調用的詳細信息。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	eip-attached	此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CA-7.E	CA-7.E 持續監控	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	api-gw-xray-enabled	AWS X-Ray 會收集應用程式所提供請求的相關資料，並提供工具供您檢視、篩選和深入瞭解該資料，以識別問題和最佳化機會。確保 X-Ray 已啟用，因此您不僅可以查看有關請求和響應的詳細信息，還可以查看應用程序對下游 AWS 資源，微服務，數據庫和 HTTP Web API 進行的調用的詳細信息。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	eip-attached	此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CA-7.F	CA-7.F 持續監控	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	api-gw-xray-enabled	AWS X-Ray 會收集應用程式所提供請求的相關資料，並提供工具供您檢視、篩選和深入瞭解該資料，以識別問題和最佳化機會。確保 X-Ray 已啟用，因此您不僅可以查看有關請求和響應的詳細信息，還可以查看應用程序對下游 AWS 資源，微服務，數據庫和 HTTP Web API 進行的調用的詳細信息。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	eip-attached	此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CA-7.G	CA-7.G 持續監控	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-CA-9.A	CA-9.A 內部系統連線	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-CM-2.A	CM-2.A 基準組態	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-2.A	CM-2.A 基準組態	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-2.A	CM-2.A 基準組態	ec2-stopped-instance	啟用此規則可根據組織的標準，檢查 Amazon EC2 執行個體的停止時間是否超過允許的天數，以利設定 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體的基準組態。
CCCS-fPBMM-CM-2.A	CM-2.A 基準組態	ec2-volume-inuse-check	此規則可確保在執行個體終止時，連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體的 Amazon Elastic Block Store 磁碟區會被標記為待刪除。如果 Amazon EBS 磁碟區在其連接的執行個體終止時未加以刪除，則可能會違反最少功能的概念。
CCCS-fPBMM-CM-2.A	CM-2.A 基準組態	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CM-2.A	CM-2.A 基準組態	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-2.A	CM-2.A 基準組態	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-3.A	CM-3.A 組態變更控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-3.A	CM-3.A 組態變更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-3.B	CM-3.B 組態變更控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-3.B	CM-3.B 組態變更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-3.C	CM-3.C 組態變更控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-3.C	CM-3.C 組態變更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-3.D	CM-3.D 組態變更控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-3.D	CM-3.D 組態變更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-3.E	CM-3.E 組態變更控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-3.E	CM-3.E 組態變更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-3F	CM-3F 組態變更控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-3F	CM-3F 組態變更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-3.G	CM-3.G 組態變更控制	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-3.G	CM-3.G 組態變更控制	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	secretsmanager-rotation-enabled-check	此規則可確保 AWS Secrets Manager 密碼已啟用循環。定期輪換密碼可縮短密碼的作用中時間，並可能降低密碼洩漏時所造成的業務影響。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	secretsmanager-scheduled-rotation-success-check	此規則可確保 AWS Secrets Manager 密碼已根據循環排程成功輪替。定期輪換密碼可縮短密碼的作用中時間，並可能降低其洩露時所造成的業務影響。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CM-5(1)	CM-5(1) 變更存取限制 \| 強制執行自動存取/稽核	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-CM-5(5)	CM-5(5) 變更存取限制 \| 限制生產/營運權限	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-CM-5.A	CM-5.A 變更存取限制	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6(1)	CM-6(1) 組態設定 \| 自動化中央管理/應用程式/驗證	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-6(1)	CM-6(1) 組態設定 \| 自動化中央管理/應用程式/驗證	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-6(1)	CM-6(1) 組態設定 \| 自動化中央管理/應用程式/驗證	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	cmk-backing-key-rotation-enabled	啟用金鑰輪換功能，以確保金鑰在其加密期間結束後輪換。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	encrypted-volumes	由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-CM-6.A	CM-6.A 組態設定	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	cmk-backing-key-rotation-enabled	啟用金鑰輪換功能，以確保金鑰在其加密期間結束後輪換。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	encrypted-volumes	由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-CM-6.B	CM-6.B 組態設定	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	cmk-backing-key-rotation-enabled	啟用金鑰輪換功能，以確保金鑰在其加密期間結束後輪換。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	encrypted-volumes	由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-CM-6.C	CM-6.C 組態設定	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	cmk-backing-key-rotation-enabled	啟用金鑰輪換功能，以確保金鑰在其加密期間結束後輪換。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	encrypted-volumes	由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-CM-6.D	CM-6.D 組態設定	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-CM-7.A	CM-7.A 最少功能	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CM-7.A	CM-7.A 最少功能	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-7.B	CM-7.B 最少功能	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-CM-7.B	CM-7.B 最少功能	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-CM-8(1)	CM-8(1) 資訊系統元件庫存清單 \| 於安裝/移除期間更新	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8(1)	CM-8(1) 資訊系統元件庫存清單 \| 於安裝/移除期間更新	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-8(2)	CM-8(2) 資訊系統元件庫存清單 \| 自動化維護	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8(2)	CM-8(2) 資訊系統元件庫存清單 \| 自動化維護	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-8(3)	CM-8(3) 資訊系統元件庫存清單 \| 自動偵測未經授權的元件	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8(3)	CM-8(3) 資訊系統元件庫存清單 \| 自動偵測未經授權的元件	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-8(3)	CM-8(3) 資訊系統元件庫存清單 \| 自動偵測未經授權的元件	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-CM-8(3)	CM-8(3) 資訊系統元件庫存清單 \| 自動偵測未經授權的元件	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-CM-8.A	CM-8.A 資訊系統元件庫存清單	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8.A	CM-8.A 資訊系統元件庫存清單	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-8.B	CM-8.B 資訊系統元件庫存清單	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8.B	CM-8.B 資訊系統元件庫存清單	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-8.C	CM-8.C 資訊系統元件庫存清單	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8.C	CM-8.C 資訊系統元件庫存清單	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-8.D	CM-8.D 資訊系統元件庫存清單	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8.D	CM-8.D 資訊系統元件庫存清單	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CM-8.E	CM-8.E 資訊系統元件庫存清單	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-CM-8.E	CM-8.E 資訊系統元件庫存清單	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-2(5)	CP-2(5) 緊急應變計畫 \| 繼續基本任務/業務職能	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2(6)	CP-2(6) 緊急應變計畫 \| 替代處理/儲存站台	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2(6)	CP-2(6) 緊急應變計畫 \| 替代處理/儲存站台	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2(6)	CP-2(6) 緊急應變計畫 \| 替代處理/儲存站台	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CP-2(6)	CP-2(6) 緊急應變計畫 \| 替代處理/儲存站台	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2(6)	CP-2(6) 緊急應變計畫 \| 替代處理/儲存站台	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2(6)	CP-2(6) 緊急應變計畫 \| 替代處理/儲存站台	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.A	CP-2.A 緊急應變計畫	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.B	CP-2.B 緊急應變計畫	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.C	CP-2.C 緊急應變計畫	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.D	CP-2.D 緊急應變計畫	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.E	CP-2.E 緊急應變計畫	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.F	CP-2.R 緊急應變計畫	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	rds-cluster-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	rds-instance-deletion-protection-enabled	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，從而導致應用程式喪失可用性。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-2.G	CP-2.G 緊急應變計畫	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-6(1)	CP-6(1) 替代儲存站台 \| 與主站台分離	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-6(2)	CP-6(2) 替代儲存站台 \| 復原時間/點目標	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-6.A	CP-6.A 替代儲存站台	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-6.B	CP-6.B 替代儲存站台	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-9(3)	CP-9(3) 資訊系統備份 \| 單獨儲存重要資訊	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-9(7)	CP-9(7) 資訊系統備份 \| 雙重授權	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-9(7)	CP-9(7) 資訊系統備份 \| 雙重授權	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-9.A	CP-9.A 資訊系統備份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-9.AA	CP-9.AA 資訊系統備份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-9.B	CP-9.B 資訊系統備份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-9.C	CP-9.C 資訊系統備份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	aurora-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	backup-plan-min-frequency-and-min-retention-check	為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	backup-recovery-point-manual-deletion-disabled	確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	backup-recovery-point-minimum-retention-check	若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點設定了最短的保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	dynamodb-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 資源是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	ebs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	ec2-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	efs-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	fsx-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	rds-resources-protected-by-backup-plan	為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-9.D	CP-9.D 資訊系統備份	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	db-instance-backup-enabled	Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還可以透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化會將 Amazon EBS I/O 作業與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	elasticache-redis-cluster-automatic-backup-check	啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動非同步複製物件，以協助確保維持資料可用性。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。
CCCS-fPBMM-CP-10.A	CP-10.A 資訊系統復原與重建	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-IA-2(1)	IA-2(1) 識別與驗證 (組織使用者) \| 權限帳戶的網路存取	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-2(1)	IA-2(1) 識別與驗證 (組織使用者) \| 權限帳戶的網路存取	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-2(1)	IA-2(1) 識別與驗證 (組織使用者) \| 權限帳戶的網路存取	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-2(3)	IA-2(3) 識別與驗證 (組織使用者) \| 權限帳戶的本機存取	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-2(3)	IA-2(3) 識別與驗證 (組織使用者) \| 權限帳戶的本機存取	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-2(3)	IA-2(3) 識別與驗證 (組織使用者) \| 權限帳戶的本機存取	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-2(8)	IA-2(8) 識別與驗證 (組織使用者) \| 權限帳戶的網路存取 - 阻止重播	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-2(8)	IA-2(8) 識別與驗證 (組織使用者) \| 權限帳戶的網路存取 - 阻止重播	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-2(8)	IA-2(8) 識別與驗證 (組織使用者) \| 權限帳戶的網路存取 - 阻止重播	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-2(11)	IA-2(11) 識別與驗證 (組織使用者) \| 遠端存取 - 獨立裝置	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-2(11)	IA-2(11) 識別與驗證 (組織使用者) \| 遠端存取 - 獨立裝置	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-2(11)	IA-2(11) 識別與驗證 (組織使用者) \| 遠端存取 - 獨立裝置	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-2.A	IA-2.A 識別與驗證 (組織使用者)	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-2.A	IA-2.A 識別與驗證 (組織使用者)	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-2.A	IA-2.A 識別與驗證 (組織使用者)	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-2.A	IA-2.A 識別與驗證 (組織使用者)	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-4(4)	IA-4(4) 識別符管理 \| 識別使用者狀態	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-IA-4.A	IA-4.A 識別符管理	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.A	IA-4.A 識別符管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.A	IA-4.A 識別符管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-IA-4.B	IA-4.B 識別符管理	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.B	IA-4.B 識別符管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.B	IA-4.B 識別符管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-IA-4.C	IA-4.C 識別符管理	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.C	IA-4.C 識別符管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.C	IA-4.C 識別符管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-IA-4.D	IA-4.D 識別符管理	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.D	IA-4.D 識別符管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.D	IA-4.D 識別符管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-IA-4.E	IA-4.E 識別符管理	access-keys-rotated	透過確保按照組織政策的指定輪替 IAM 存取金鑰，以針對授權的裝置、使用者和程序稽核登入資料。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.E	IA-4.E 識別符管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-4.E	IA-4.E 識別符管理	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-IA-5(1)	IA-5(1) 驗證器管理 \| 密碼式驗證	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5(2)	IA-5(2) 驗證器管理 \| PKI 式驗證	elbv2-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-IA-5(2)	IA-5(2) 驗證器管理 \| PKI 式驗證	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-IA-5(4)	IA-5(4) 驗證器管理 \| 自動化支援密碼強度判定	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5(8)	IA-5(8) 驗證器管理 \| 多重資訊系統帳戶	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-IA-5(8)	IA-5(8) 驗證器管理 \| 多重資訊系統帳戶	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5(8)	IA-5(8) 驗證器管理 \| 多重資訊系統帳戶	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.A	IA-5.A 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.A	IA-5.A 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.A	IA-5.A 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.A	IA-5.A 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.B	IA-5.B 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.B	IA-5.B 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.B	IA-5.B 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.B	IA-5.B 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.C	IA-5.C 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.C	IA-5.C 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.C	IA-5.C 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.C	IA-5.C 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.D	IA-5.D 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.D	IA-5.D 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.D	IA-5.D 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.D	IA-5.D 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.E	IA-5.E 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.E	IA-5.E 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.E	IA-5.E 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.E	IA-5.E 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.F	IA-5.F 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.F	IA-5.F 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.F	IA-5.F 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.F	IA-5.F 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.G	IA-5.G 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.G	IA-5.G 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.G	IA-5.G 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.G	IA-5.G 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.H	IA-5.H 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.H	IA-5.H 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.H	IA-5.H 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.H	IA-5.H 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.I	IA-5.I 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.I	IA-5.I 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.I	IA-5.I 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.I	IA-5.I 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IA-5.J	IA-5.J 驗證器管理	iam-password-policy	身分和憑證會依組織的 IAM 密碼政策核發、管理及驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 基礎安全性最佳實務標準所述的要求。此規則可讓您選擇性地設定 RequireUppercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireLowercaseCharacters (AWS 基礎安全最佳做法值：true)、 RequireSymbols (AWS 基礎安全最佳做法值：true)、 RequireNumbers (AWS 基礎安全最佳做法值：true)、 MinimumPasswordLength (AWS 基礎安全最佳實務值：14)、(基礎安全性最佳實務值：24) 和 PasswordReusePrevention MaxPasswordAge (AWS IAM 的最佳實務值：90)AWS 密碼策略。實際值應反映貴組織的政策。
CCCS-fPBMM-IA-5.J	IA-5.J 驗證器管理	iam-user-mfa-enabled	啟用此規則可限制對 AWS Cloud 資源的存取。此規則可確保為所有使用者都啟用了多重要素驗證 (MFA)。MFA 在使用者名稱和密碼之外，多增加一層保護。要求使用者使用 MFA 以減少帳戶遭到入侵的事件。
CCCS-fPBMM-IA-5.J	IA-5.J 驗證器管理	mfa-enabled-for-iam-console-access	透過確保對具有主控台密碼的所有 AWS Identity and Access Management (IAM) 使用者啟用 MFA，以管理 AWS 雲端資源的存取。MFA 在登入憑證之外多加了一層保護。要求使用者使用 MFA，您可以減少帳戶遭到入侵的事件，並防止未經授權的使用者存取敏感資料。
CCCS-fPBMM-IA-5.J	IA-5.J 驗證器管理	root-account-mfa-enabled	確保針對根使用者啟用 MFA，以管理 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。MFA 為使用者名稱和密碼多增加一層保護。透過針對 root 使用者要求 MFA，您可以減少遭到入侵 AWS 帳戶的事件。
CCCS-fPBMM-IR-6(1)	IR-6(1) 事件報告 \| 自動報告	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-MA-3.A	MA-3.A 維護工具	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-MA-3.A	MA-3.A 維護工具	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	api-gw-execution-logging-enabled	API Gateway 日誌記錄會顯示存取 API 的使用者及其存取 API 方式的詳細檢視。此洞察功能可讓您掌握使用者活動。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	cloud-trail-cloud-watch-logs-enabled	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶.
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。請確保已啟用 ELB 日誌記錄。收集的資料可提供有關傳送至 ELB 之請求的詳細資訊。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	rds-logging-enabled	若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-MA-4(1)	MA-4(1) 非本機維護 \| 稽核與檢閱	wafv2-logging-enabled	若要協助您在環境中進行記錄和監控，請在地區和全球 Web ACL 上啟用 AWS WAF (V2) 記錄。 AWS WAF 記錄會提供 Web ACL 分析之流量的詳細資訊。記錄會記錄 AWS WAF 從您的 AWS 資源接收要求的時間、請求的相關資訊，以及每個要求相符之規則的動作。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	ec2-imdsv2-check	確保啟用執行個體中繼資料服務第 2 版 (IMDSv2) 方法可協助保護 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體中繼資料的存取和控制。IMDSv2 方法使用工作階段型控制項。透過 IMDSv2，您可以實作這些控制以限制執行個體中繼資料的變更。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	ecs-task-definition-user-for-host-mode-check	如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制項會檢查是否有非預期的權限提升。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	emr-kerberos-enabled	透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-group-has-users-check	AWS Identity and Access Management (IAM) 可確保 IAM 群組至少有一位使用者，協助您將最低權限和職責分離的原則與存取權限和授權結合在一起。根據使用者的相關許可或工作職能將使用者放入群組中是整合最低權限的一種方法。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-inline-policy-blocked-kms-actions	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。（AWS 基礎安全性最佳實踐值：KMS：解密，公里：從）。ReEncrypt實際值應反映貴組織的政策。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-no-inline-policy-check	確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策來控制系統和資產的存取。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-root-access-key-check	透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶來幫助納入最少功能的原則。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-user-group-membership-check	AWS Identity and Access Management (IAM) 可協助您限制存取權限和授權，方法是確保使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-user-no-policies-check	此規則可確保 AWS Identity and Access Management (IAM) 政策僅附加至群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) 可以透過檢查指定時段未使用的 IAM 密碼和存取金鑰來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則要求您將值設置為 maxCredentialUsage年齡（Config 默認值：90）。實際值應反映貴組織的政策。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-MP-2.A	MP-2.A 媒體存取	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-RA-5.A	RA-5.A 漏洞掃描	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-RA-5.B	RA-5.B 漏洞掃描	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-RA-5.C	RA-5.C 漏洞掃描	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-RA-5.D	RA-5.D 漏洞掃描	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-RA-5.E	RA-5.E 漏洞掃描	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SA-10(1)	SA-10(1) 開發人員組態管理 \| 軟體/韌體完整性驗證	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SC-5.A	SC-5.A 拒絕服務保護	alb-waf-enabled	確保在彈性負載平衡器 (ELB) 上啟用 AWS WAF，以協助保護 Web 應用程式。WAF 有助於保護 Web 應用程式或 API 免於常見的網路攻擊。這些網路惡意探索攻擊可能會影響可用性、危及安全性，或耗用過多環境中的資源。
CCCS-fPBMM-SC-5.A	SC-5.A 拒絕服務保護	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	dynamodb-autoscaling-enabled	Amazon DynamoDB 自動擴展使用應用 Ap AWS plication Auto Scaling 服務調整佈建的輸送量容量，以自動回應實際流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流就能處理突然增加的流量。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	elb-cross-zone-load-balancing-enabled	為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理遺失一或多個執行個體的能力。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	rds-cluster-multi-az-enabled	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。
CCCS-fPBMM-SC-6.A	SC-6.A 資源可用性	vpc-vpn-2-tunnels-up	您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-SC-7(3)	SC-7(3) 邊界保護 \| 存取點	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-SC-7(4)	SC-7(4) 邊界保障 \| 外部電信服務	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-SC-7(5)	SC-7(5) 邊界保護 \| 預設拒絕/依例外狀況允許	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-SC-7(5)	SC-7(5) 邊界保護 \| 預設拒絕/依例外狀況允許	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7(5)	SC-7(5) 邊界保護 \| 預設拒絕/依例外狀況允許	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-SC-7(5)	SC-7(5) 邊界保護 \| 預設拒絕/依例外狀況允許	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-SC-7(7)	SC-7(7) 邊界保護 \| 防止遠端裝置的分割通道	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-SC-7.A	SC-7.A 邊界保護	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止儲存貯體層級的公開存取，避免未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-SC-7.B	SC-7.B 邊界保護	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	dms-replication-not-public	確保 DMS 複寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS 複寫執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	ebs-snapshot-public-restorable-check	確保 EBS 快照不可公開還原，以管理對 AWS 雲端的存取。EBS 磁碟區快照可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	ec2-instance-no-public-ip	確保亞馬遜彈性運算 AWS 雲端 (Amazon EC2) 執行個體無法公開存取，以管理對雲端的存取。Amazon EC2 執行個體可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	elasticsearch-in-vpc-only	通過確保 Amazon OpenSearch 服務（服OpenSearch 務）域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 OpenSearch 服務網域可讓 Amazon VPC 內的 OpenSearch 服務與其他服務之間的安全通訊，無需網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	emr-master-no-public-ip	確保 Amazon EMR 叢集主節點無法公開存取，以管理對 AWS 雲端的存取。Amazon EMR 叢集主節點可能包含敏感資訊，此類帳戶需要存取控制。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可針對資源的輸入和輸出網路流量提供狀態篩選，協助管理網路存取。 AWS 不允許資源從 0.0.0.0/0 到連接埠 22 的輸入 (或遠端) 流量，有助於限制遠端存取。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，以在 Amazon VPC 內的執行個體與其他服務之間進行安全通訊，不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。將 Amazon EC2 執行個體指派給 Amazon VPC 以正確管理存取。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	internet-gateway-authorized-vpc-only	確保網際網路閘道僅連接至授權的 Amazon 虛擬私有 AWS 雲端 (Amazon VPC)，以管理雲端資源的存取。網際網路閘道允許進出 Amazon VPC 的雙向網際網路存取，這可能導致未經授權存取 Amazon VPC 資源。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	lambda-function-public-access-prohibited	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端資源的存取。公開存取可能會導致資源可用性降低。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函數，以便在 Amazon VPC 內的函數與其他服務之間進行安全通訊。有了這項組態，就不需要網際網路閘道、NAT 裝置或 VPN 連線。所有流量都安全地保留在 AWS 雲中。相較於使用公有端點的網域，位於 Amazon VPC 內的網域因為提供邏輯隔離，所以多了一層安全防護。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	opensearch-in-vpc-only	通過確保 Amazon OpenSearch 服務域位於 Amazon Virtual Private Cloud（Amazon VPC）中來管理對雲的訪問。 AWS Amazon VPC 中的 Amazon OpenSearch 服務網域可讓 Amazon OpenSearch 服務與 Amazon VPC 內的其他服務之間進行安全通訊，而不需要網際網路閘道、NAT 裝置或 VPN 連線。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	rds-instance-public-access-check	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	rds-snapshots-public-prohibited	透過確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體不是公開的，來管理 AWS 雲端中資源的存取。Amazon RDS 資料庫執行個體可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	redshift-cluster-public-access-check	透過確保 Amazon Redshift 叢集不是公開的，來管理 AWS 雲端中資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	restricted-common-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。此規則可讓您選用設定 blockedPort1 - blockedPort5 參數 (Config 預設值：20、21、3389、3306、4333)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	s3-account-level-public-access-blocks-periodic	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls (組 Config 預設值：True)、 blockPublicPolicy (組 Config 預設值：True)、 blockPublicAcls (組 Config 預設值：True) 和 restrictPublicBuckets 參數 (組 Config 預設值：True)。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	s3-bucket-level-public-access-prohibited	確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體無法公開存取，以管理 AWS 雲端中資源的存取。此規則可防止儲存貯體層級的公開存取，有助於阻止未經授權的遠端使用者存取敏感資料。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	s3-bucket-public-read-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	s3-bucket-public-write-prohibited	只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	sagemaker-notebook-no-direct-internet-access	確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	subnet-auto-assign-public-ip-disabled	透過確保 Amazon 虛擬私有 AWS 雲端 (VPC) 子網路不會自動指派公用 IP 位址，以管理對雲端的存取。在啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，具有指派給其主要網路介面的公有 IP 地址。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可以透過對資源的輸入和輸出網路流量進行有狀態篩選，協助管理網路存取。 AWS 限制預設安全群組上的所有流量有助於限制對資源的遠端存 AWS 取。
CCCS-fPBMM-SC-7.C	SC-7.C 邊界保護	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon 彈性運算 AWS 雲端 (Amazon EC2) 安全群組上的通用連接埠受到限制，以管理雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8(1)	SC-8(1) 傳輸機密性與完整性 \| 密碼編譯或替代實體保護	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-8.A	SC-8.A 傳輸機密性與完整性	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-12(1)	SC-12(1) 密碼編譯金鑰建立與管理 \| 可用性	kms-cmk-not-scheduled-for-deletion	若要協助保護靜態資料，請確定金鑰管理服務 (AWS KMS) 中未排程刪除必要的客戶主金 AWS 鑰 (CMK)。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。
CCCS-fPBMM-SC-12(2)	SC-12(2) 密碼編譯金鑰建立與管理 \| 對稱金鑰	cmk-backing-key-rotation-enabled	啟用金鑰輪換功能，以確保金鑰在其加密期間結束後輪換。
CCCS-fPBMM-SC-12(2)	SC-12(2) 密碼編譯金鑰建立與管理 \| 對稱金鑰	kms-cmk-not-scheduled-for-deletion	若要協助保護靜態資料，請確定金鑰管理服務 (AWS KMS) 中未排程刪除必要的客戶主金 AWS 鑰 (CMK)。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。
CCCS-fPBMM-SC-12.A	SC-12.A 密碼編譯金鑰建立與管理	cmk-backing-key-rotation-enabled	啟用金鑰輪換功能，以確保金鑰在其加密期間結束後輪換。
CCCS-fPBMM-SC-12.A	SC-12.A 密碼編譯金鑰建立與管理	kms-cmk-not-scheduled-for-deletion	若要協助保護靜態資料，請確定金鑰管理服務 (AWS KMS) 中未排程刪除必要的客戶主金 AWS 鑰 (CMK)。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	efs-encrypted-check	由於可能存在敏感資料，因此為了保護靜態資料，請確保已針對 Amazon Elastic File System (EFS) 啟用加密功能。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	elasticsearch-encrypted-at-rest	由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon OpenSearch 服務 (服OpenSearch 務) 網域已啟用加密。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	encrypted-volumes	由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	opensearch-encrypted-at-rest	由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon Ser OpenSearch vice 網域已啟用加密。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	rds-storage-encrypted	為了協助保護靜態資料，請確保已針對 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密功能。由於 Amazon RDS 執行個體中可能靜態存在敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	redshift-cluster-kms-enabled	為了協助保護靜態資料，請確保您的 Amazon Redshift 叢集已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於 Redshift 叢集中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	sagemaker-endpoint-configuration-kms-key-configured	為了協助保護靜態資料，請確保您的 SageMaker 端點已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 端點中，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	sagemaker-notebook-instance-kms-key-configured	為了協助保護靜態資料，請確定您的 SageMaker 筆記型電腦已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 筆記型電腦中，因此請啟用靜態加密以協助保護資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	secretsmanager-using-cmk	若要協助保護靜態資料，請確定 AWS Secrets Manager 密碼已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於 Secrets Manager 密碼中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-13.A	SC-13.A 密碼編譯保護	sns-encrypted-kms	為了保護靜態資料，請確保您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用金 AWS 鑰管理服務 (AWS KMS) 進行加密。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-22.A	SC-22.A 名稱/位址解析服務的架構與佈建	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	alb-http-to-https-redirection-check	為了協助保護傳輸中的資料，請確保 Application Load Balancer 會自動將未加密的 HTTP 請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	api-gw-ssl-enabled	確保 Amazon API Gateway REST API 階段已使用 SSL 憑證設定，以允許後端系統對來自 API Gateway 的請求進行驗證。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-23.A	SC-23.A 會話真實性	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	efs-encrypted-check	由於可能存在敏感資料，因此為了保護靜態資料，請確保已針對 Amazon Elastic File System (EFS) 啟用加密功能。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	elasticsearch-encrypted-at-rest	由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon OpenSearch 服務 (服OpenSearch 務) 網域已啟用加密。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	encrypted-volumes	由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	opensearch-encrypted-at-rest	由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon Ser OpenSearch vice 網域已啟用加密。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	rds-storage-encrypted	為了協助保護靜態資料，請確保已針對 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密功能。由於 Amazon RDS 執行個體中可能靜態存在敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	redshift-cluster-kms-enabled	為了協助保護靜態資料，請確保您的 Amazon Redshift 叢集已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於 Redshift 叢集中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	sagemaker-endpoint-configuration-kms-key-configured	為了協助保護靜態資料，請確保您的 SageMaker 端點已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 端點中，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	sagemaker-notebook-instance-kms-key-configured	為了協助保護靜態資料，請確定您的 SageMaker 筆記型電腦已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 筆記型電腦中，因此請啟用靜態加密以協助保護資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	secretsmanager-using-cmk	若要協助保護靜態資料，請確定 AWS Secrets Manager 密碼已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於 Secrets Manager 密碼中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28(1)	SC-28(1) 保護靜態資訊 \| 密碼編譯保護	sns-encrypted-kms	為了保護靜態資料，請確保您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用金 AWS 鑰管理服務 (AWS KMS) 進行加密。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	backup-recovery-point-encrypted	確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	cloud-trail-encryption-enabled	由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	efs-encrypted-check	由於可能存在敏感資料，因此為了保護靜態資料，請確保已針對 Amazon Elastic File System (EFS) 啟用加密功能。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	elasticsearch-encrypted-at-rest	由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon OpenSearch 服務 (服OpenSearch 務) 網域已啟用加密。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	elasticsearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	elb-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 Cer AWS tificate Manager 來管理、佈建和部署包含 AWS 服務和內部資源的公有和私有 SSL/TLS 憑證。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	elb-predefined-security-policy-ssl-check	為協助保護傳輸中的資料，請確定您的 Classic Elastic Load Balancing SSL 接聽程式使用預先定義的安全政策。Elastic Load Balancing 提供預先定義的 SSL 溝通組態，其在用戶端和負載平衡器之間建立連線時用於 SSL 溝通。SSL 溝通組態能與廣泛的用戶端相容，並使用高強度的密碼編譯演算法。此規則需要您設定預先定義的 SSL 接聽程式安全政策。預設的安全性原則為：EL SecurityPolicy B 實際值應反映貴組織的政策。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	elb-tls-https-listeners-only	確保 Elastic Load Balancer (ELB) 已設定使用 SSL 或 HTTPS 接聽程式。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	encrypted-volumes	由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	opensearch-encrypted-at-rest	由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon Ser OpenSearch vice 網域已啟用加密。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	opensearch-node-to-node-encryption-check	確保已啟用 Amazon OpenSearch 服務的 node-to-node 加密。N ode-to-node 加密可為 Amazon Virtual Private Cloud (Amazon VPC) 內的所有通訊啟用 TLS 1.2 加密。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	rds-snapshot-encrypted	確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	rds-storage-encrypted	為了協助保護靜態資料，請確保已針對 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密功能。由於 Amazon RDS 執行個體中可能靜態存在敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	redshift-cluster-kms-enabled	為了協助保護靜態資料，請確保您的 Amazon Redshift 叢集已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於 Redshift 叢集中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	redshift-require-tls-ssl	確保 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線到 SQL 用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	s3-bucket-server-side-encryption-enabled	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	s3-bucket-ssl-requests-only	為協助保護傳輸中的資料，請確保 Amazon Simple Storage Service (Amazon S3) 儲存貯體要求使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	sagemaker-endpoint-configuration-kms-key-configured	為了協助保護靜態資料，請確保您的 SageMaker 端點已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 端點中，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	sagemaker-notebook-instance-kms-key-configured	為了協助保護靜態資料，請確定您的 SageMaker 筆記型電腦已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 筆記型電腦中，因此請啟用靜態加密以協助保護資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	secretsmanager-using-cmk	若要協助保護靜態資料，請確定 AWS Secrets Manager 密碼已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於 Secrets Manager 密碼中可能存在靜態的敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SC-28.A	SC-28.A 保護靜態資訊	sns-encrypted-kms	為了保護靜態資料，請確保您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用金 AWS 鑰管理服務 (AWS KMS) 進行加密。由於發布的訊息中可能存在靜態的敏感資料，因此請啟用靜態加密以協助保護該資料。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	elastic-beanstalk-managed-updates-enabled	針對 Amazon Elastic Beanstalk 環境啟用受管平台更新，可確保已安裝適用於環境的最新可用平台修正、更新和功能。保護系統的最佳實務是安裝最新的修補程式。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-SI-2(2)	SI-2(2) 修補瑕疵 \| 自動化瑕疵修補狀態	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2(3)	SI-2(3) 修補瑕疵 \| 修補瑕疵的時間/更正動作基準	guardduty-non-archived-findings	Amazon GuardDuty 透過將發現結果按嚴重性 (低、中和高) 分類，協助您瞭解事件的影響。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據 Config 織原則的 daysLowSev 要求， daysMediumSev 選擇性地為未存檔的發現項目設定 daysHighSev (組 Config 預設值：30)、(組態預設值：7) 及 (組態預設值：1)。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	elastic-beanstalk-managed-updates-enabled	針對 Amazon Elastic Beanstalk 環境啟用受管平台更新，可確保已安裝適用於環境的最新可用平台修正、更新和功能。保護系統的最佳實務是安裝最新的修補程式。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-SI-2.A	SI-2.A 修補瑕疵	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	elastic-beanstalk-managed-updates-enabled	針對 Amazon Elastic Beanstalk 環境啟用受管平台更新，可確保已安裝適用於環境的最新可用平台修正、更新和功能。保護系統的最佳實務是安裝最新的修補程式。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-SI-2.B	SI-2.B 修補瑕疵	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	elastic-beanstalk-managed-updates-enabled	針對 Amazon Elastic Beanstalk 環境啟用受管平台更新，可確保已安裝適用於環境的最新可用平台修正、更新和功能。保護系統的最佳實務是安裝最新的修補程式。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-SI-2.C	SI-2.C 修補瑕疵	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling 群組的 Elastic Load Balancer (ELB) 運作狀態檢查可讓您維持足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試 Auto Scaling 群組中的 Amazon EC2 執行個體運作狀態。如果執行個體不回報，流量就會傳送到新的 Amazon EC2 執行個體。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk 增強型健康狀態報告可讓您更快速地回應基礎架構的健康狀態變更。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，評估已識別問題的嚴重性，並找出可能的調查原因。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定帳戶管理系統 ThresholdPercentage (組 Config 預設值：80) 與帳戶 TWCU ThresholdPercentage (組 Config 預設值：80) 參數。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	ec2-instance-detailed-monitoring-enabled	啟用此規則可協助改善 Amazon EC2 主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，並顯示執行個體以 1 分鐘為區間的監控圖形。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	elastic-beanstalk-managed-updates-enabled	針對 Amazon Elastic Beanstalk 環境啟用受管平台更新，可確保已安裝適用於環境的最新可用平台修正、更新和功能。保護系統的最佳實務是安裝最新的修補程式。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 可協助監控 Amazon RDS 的可用性。這可讓您詳細掌握 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS 儲存體使用多個基礎實體裝置時，增強型監控會收集每部裝置的資料。此外，當 Amazon RDS 資料庫執行個體在多可用區部署中執行時，就會收集次要主機上每部裝置的資料，以及次要主機指標。
CCCS-fPBMM-SI-2.D	SI-2.D 修補瑕疵	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow (預設值為「星期六:16:00-星期六:16:30」) 和「 automatedSnapshotRetention期間」(預設值為 1)。實際值應反映貴組織的政策。
CCCS-fPBMM-SI-3(1)	SI-3(1) 惡意程式碼防護 \| 集中管理	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-3(7)	SI-3(7) 惡意程式碼防護 \| 非簽章型偵測	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-3.A	SI-3.A 惡意程式碼防護	alb-waf-enabled	確保在彈性負載平衡器 (ELB) 上啟用 AWS WAF，以協助保護 Web 應用程式。WAF 有助於保護 Web 應用程式或 API 免於常見的網路攻擊。這些網路惡意探索攻擊可能會影響可用性、危及安全性，或耗用過多環境中的資源。
CCCS-fPBMM-SI-3.A	SI-3.A 惡意程式碼防護	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-3.A	SI-3.A 惡意程式碼防護	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-3.A	SI-3.A 惡意程式碼防護	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-3.A	SI-3.A 惡意程式碼防護	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-3.B	SI-3.B 惡意程式碼防護	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-3.B	SI-3.B 惡意程式碼防護	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-3.B	SI-3.B 惡意程式碼防護	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-3.B	SI-3.B 惡意程式碼防護	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-3.C	SI-3.C 惡意程式碼防護	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-3.C	SI-3.C 惡意程式碼防護	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-3.C	SI-3.C 惡意程式碼防護	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-3.C	SI-3.C 惡意程式碼防護	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-3.D	SI-3.D 惡意程式碼防護	ec2-instance-managed-by-systems-manager	透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。
CCCS-fPBMM-SI-3.D	SI-3.D 惡意程式碼防護	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。
CCCS-fPBMM-SI-3.D	SI-3.D 惡意程式碼防護	ec2-managedinstance-patch-compliance-status-check	啟用此規則可協助識別和記載 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。該規則會根據組織政策和程序的要求，檢查 AWS Systems Manager 中的 Amazon EC2 執行個體是否符合修補程式合規性。
CCCS-fPBMM-SI-3.D	SI-3.D 惡意程式碼防護	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4(1)	SI-4(1) 資訊系統監控 \| 全系統入侵偵測系統	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4(1)	SI-4(1) 資訊系統監控 \| 全系統入侵偵測系統	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4(2)	SI-4(2) 資訊系統監控 \| 即時分析的自動化工具	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4(2)	SI-4(2) 資訊系統監控 \| 即時分析的自動化工具	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4(4)	SI-4(4) 資訊系統監控 \| 傳入和傳出通訊流量	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4(4)	SI-4(4) 資訊系統監控 \| 傳入和傳出通訊流量	vpc-flow-logs-enabled	VPC 流程日誌可以提供 Amazon Virtual Private Cloud (Amazon VPC) 中網路介面 IP 流量傳入及傳出的相關資訊詳細記錄。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
CCCS-fPBMM-SI-4(5)	SI-4(5) 資訊系統監控 \| 系統產生的警示	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4(11)	SI-4(11) 資訊系統監控 \| 分析通訊流量異常情況	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4(11)	SI-4(11) 資訊系統監控 \| 分析通訊流量異常情況	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4(16)	SI-4(16) 資訊系統監控 \| 建立監控資訊關聯	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4(16)	SI-4(16) 資訊系統監控 \| 建立監控資訊關聯	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4(20)	SI-4(20) 資訊系統監控 \| 權限使用者	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權合併，限制政策不包含「效果」：「允許」與「動作」：「」而非「資源」:「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
CCCS-fPBMM-SI-4(23)	SI-4(23) 資訊系統監控 \| 主機型裝置	cloudtrail-enabled	AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。
CCCS-fPBMM-SI-4(23)	SI-4(23) 資訊系統監控 \| 主機型裝置	multi-region-cloudtrail-enabled	AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。因此，您將會收到包含新區域 API 活動的日誌檔，但無須採取任何動作。
CCCS-fPBMM-SI-4.A	SI-4.A 資訊系統監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4.A	SI-4.A 資訊系統監控	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-4.A	SI-4.A 資訊系統監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4.A	SI-4.A 資訊系統監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-4.A	SI-4.A 資訊系統監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4.B	SI-4.B 資訊系統監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4.B	SI-4.B 資訊系統監控	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-4.B	SI-4.B 資訊系統監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4.B	SI-4.B 資訊系統監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-4.B	SI-4.B 資訊系統監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4.C	SI-4.C 資訊系統監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4.C	SI-4.C 資訊系統監控	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-4.C	SI-4.C 資訊系統監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4.C	SI-4.C 資訊系統監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-4.C	SI-4.C 資訊系統監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4.D	SI-4.D 資訊系統監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4.D	SI-4.D 資訊系統監控	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-4.D	SI-4.D 資訊系統監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4.D	SI-4.D 資訊系統監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-4.D	SI-4.D 資訊系統監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4.E	SI-4.E 資訊系統監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4.E	SI-4.E 資訊系統監控	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-4.E	SI-4.E 資訊系統監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4.E	SI-4.E 資訊系統監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-4.E	SI-4.E 資訊系統監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4.F	SI-4.F 資訊系統監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4.F	SI-4.F 資訊系統監控	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-4.F	SI-4.F 資訊系統監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4.F	SI-4.F 資訊系統監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-4.F	SI-4.F 資訊系統監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-4.G	SI-4.G 資訊系統監控	cloudwatch-alarm-action-check	當指標違反指定數量評估期間的閾值時，Amazon 會發出 CloudWatch 警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired (Config 預設值：True)、 insufficientDataAction必要 (Config 預設值：True)、 okActionRequired (Config 預設值：False) 的值。實際值應反映您環境的警示動作。
CCCS-fPBMM-SI-4.G	SI-4.G 資訊系統監控	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-4.G	SI-4.G 資訊系統監控	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-4.G	SI-4.G 資訊系統監控	lambda-dlq-check	啟用此規則可在功能失敗時，透過 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Notification Service (Amazon SNS) 通知適當的人員。
CCCS-fPBMM-SI-4.G	SI-4.G 資訊系統監控	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 會從多個服務彙總、組織和排列安全性警示或發現項目的優先順序。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。
CCCS-fPBMM-SI-5.A	SI-5.A 安全警示、建議和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-5.B	SI-5.B 安全警示、建議和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-5.C	SI-5.C 安全警示、建議和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-5.D	SI-5.D 安全警示、建議和指令	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。
CCCS-fPBMM-SI-7(1)	SI-7(1) 軟體、韌體和資訊完整性 \| 完整性檢查	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-7(7)	SI-7(7) 軟體、韌體和資訊完整性 \| 整合偵測與回應	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-7.A	SI-7.A 軟體、韌體和資訊完整性	cloud-trail-log-file-validation-enabled	利用日 AWS CloudTrail 誌文件驗證來檢查 CloudTrail 日誌的完整性。記錄檔驗證有助於判斷記錄檔在 CloudTrail 傳送之後是否已修改或刪除或未變更。此功能以產業標準演算法建置：SHA-256 適用於進行雜湊，而含 RSA 的 SHA-256 適用於進行數位簽署。這使得在計算上不可行修改，刪除或偽造 CloudTrail 日誌文件而不進行檢測。
CCCS-fPBMM-SI-12.A	SI-12.A 資訊處理與保留	cw-loggroup-retention-period-check	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。

範本

範本可參閱 GitHub：加拿大網路安全中心 (CCCS) 中型雲端控制設定檔的最佳營運實務。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

BNM RMiT 的操作最佳實務

獨聯體 AWS 基金會基準 v1.4 級 1 的運營最佳實踐