本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
的 Security Hub CSPM 控制項 AWS AppSync
這些 Security Hub CSPM 控制項會評估 AWS AppSync 服務和資源。
這些控制項可能無法全部使用 AWS 區域。如需詳細資訊，請參閱依區域的控制項可用性。
【AppSync.2] AWS AppSync 應該啟用欄位層級記錄
相關要求：PCI DSS v4.0.1/10.4.2、CRI Profile v2.2/DE.AE-02.01、CRI Profile v2.2/DE.AE-03.01、CRI Profile v2.2/DE.AE-03.02、CRI Profile v2.2/DE.AE-07.02、CRI Profile v2.2/PR.PS-04.01、CRI Profile v2.2/PR.PS-04.02、CRI Profile v2.2/PR.PS-04.03
類別：識別 > 記錄日誌
嚴重性：中
資源類型： AWS::AppSync::GraphQLApi
AWS Config 規則：appsync-logging-enabled
排程類型：變更已觸發
參數：
| 參數 | Description (描述) | Type | 允許的自訂值 | Security Hub CSPM 預設值 |
|---|---|---|---|---|
|
|
欄位記錄層級 |
列舉 |
|
|
此控制項會檢查 AWS AppSync API 是否已開啟欄位層級記錄。如果欄位解析程式日誌層級設定為無，則控制項會失敗。除非您提供自訂參數值來指出應該啟用特定日誌類型，否則如果欄位解析程式日誌層級為 ERROR或 ，Security Hub CSPM 會產生傳遞的問題清單ALL。
您可以使用記錄和指標來識別、故障診斷和最佳化您的 GraphQL 查詢。開啟 for AWS AppSync GraphQL 的記錄可協助您取得 API 請求和回應的詳細資訊、識別和回應問題，以及遵守法規要求。
修補
若要開啟 的記錄 AWS AppSync，請參閱《 AWS AppSync 開發人員指南》中的設定和組態。
【AppSync.4] AWS AppSync GraphQL APIs應加上標籤
類別：識別 > 庫存 > 標記
嚴重性：低
資源類型： AWS::AppSync::GraphQLApi
AWS Config rule：tagged-appsync-graphqlapi（自訂 Security Hub CSPM 規則）
排程類型：變更已觸發
參數：
| 參數 | Description (描述) | Type | 允許的自訂值 | Security Hub CSPM 預設值 |
|---|---|---|---|---|
requiredTagKeys
|
評估資源必須包含的非系統標籤索引鍵清單。標籤金鑰會區分大小寫。 | StringList （最多 6 個項目） | 1–6 個符合AWS 要求的標籤金鑰。 | 無預設值 |
此控制項會檢查 AWS AppSync GraphQL API 是否具有具有參數 中定義之特定金鑰的標籤requiredTagKeys。如果 GraphQL API 沒有任何標籤索引鍵，或沒有參數 中指定的所有索引鍵，則控制項會失敗requiredTagKeys。如果requiredTagKeys未提供 參數，則控制項只會檢查標籤索引鍵是否存在，如果 GraphQL API 未標記任何索引鍵，則 會失敗。系統會aws:忽略自動套用並以 開頭的系統標籤。
標籤是您指派給 AWS 資源的標籤，由索引鍵和選用值組成。您可建立標籤，以依照用途、擁有者、環境或其他條件分類資源。標籤可協助您識別、組織、搜尋和篩選資源。標記也可協助您追蹤動作和通知的負責任資源擁有者。使用標記時，您可以實作屬性型存取控制 (ABAC) 做為授權策略，以根據標籤定義許可。您可以將標籤連接至 IAM 實體 （使用者或角色） 和 AWS 資源。您可以為 IAM 主體建立單一 ABAC 政策或一組單獨的政策。您可以設計這些 ABAC 政策，以便在委託人的標籤符合資源標籤時允許操作。如需詳細資訊，請參閱什麼是 ABAC AWS？ IAM 使用者指南中的 。
注意
請勿在標籤中新增個人身分識別資訊 (PII) 或其他機密或敏感資訊。許多 都可以存取標籤 AWS 服務，包括 AWS Billing。如需更多標記最佳實務，請參閱《》中的標記您的 AWS 資源AWS 一般參考。
修補
若要將標籤新增至 AWS AppSync GraphQL API，請參閱《 AWS AppSync API 參考TagResource》中的 。
【AppSync.5] AWS AppSync GraphQL APIs不應使用 API 金鑰進行身分驗證
相關要求：NIST.800-53.r5 AC-2(1)、NIST.800-53.r5 AC-3、NIST.800-53.r5 AC-3(15)、NIST.800-53.r5 AC-3(7)、NIST.800-53.r5 AC-6、CRI Profile v2.2/PR.AA-01.01、CRI Profile v2.2/PR.AA-03.01
類別：保護 > 安全存取管理 > 無密碼身分驗證
嚴重性：高
資源類型： AWS::AppSync::GraphQLApi
AWS Config 規則：appsync-authorization-check
排程類型：變更已觸發
參數：
AllowedAuthorizationTypes：AWS_LAMBDA, AWS_IAM, OPENID_CONNECT, AMAZON_COGNITO_USER_POOLS（不可自訂）
此控制項會檢查您的應用程式是否使用 API 金鑰與 AWS AppSync GraphQL API 互動。如果使用 API 金鑰驗證 AWS AppSync GraphQL API，則控制項會失敗。
API 金鑰是應用程式中的硬式編碼值，會在您建立未經驗證的 GraphQL 端點時由 AWS AppSync 服務產生。如果此 API 金鑰遭到入侵，您的端點容易受到意外存取的影響。除非您支援可公開存取的應用程式或網站，否則我們不建議使用 API 金鑰進行身分驗證。
修補
若要為您的 AWS AppSync GraphQL API 設定授權選項，請參閱《 AWS AppSync 開發人員指南》中的授權和身分驗證。
