本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 的 Security Hub CSPM 控制項 AWS Glue
這些 AWS Security Hub CSPM 控制項會評估 AWS Glue 服務和資源。控制項可能無法全部使用 AWS 區域。如需詳細資訊，請參閱[依區域的控制項可用性](securityhub-regions.md#securityhub-regions-control-support)。
## 【Glue.1】 AWS Glue 工作應加上標籤
**類別：**識別 > 庫存 > 標記
**嚴重性：**低
**資源類型：** `AWS::Glue::Job`
**AWS Config rule：**`tagged-glue-job`（自訂 Security Hub CSPM 規則）
**排程類型：**已觸發變更
**參數：**
| 參數 | 說明 | Type | 允許自訂值 | Security Hub CSPM 預設值 |
| --- | --- | --- | --- | --- |
| requiredTagKeys | 評估資源必須包含的非系統標籤索引鍵清單。標籤金鑰會區分大小寫。 | StringList （最多 6 個項目） | 1–6 個符合[AWS 要求的](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html#tag-conventions)標籤金鑰。 | 無預設值 |
此控制項會檢查 AWS Glue 任務是否具有具有參數 中定義之特定金鑰的標籤`requiredTagKeys`。如果任務沒有任何標籤索引鍵，或沒有參數 中指定的所有索引鍵，則控制項會失敗`requiredTagKeys`。如果`requiredTagKeys`未提供 參數，則控制項只會檢查標籤索引鍵是否存在，如果任務未標記任何索引鍵，則 會失敗。系統會`aws:`忽略自動套用並以 開頭的系統標籤。
標籤是您指派給 AWS 資源的標籤，由索引鍵和選用值組成。您可建立標籤，以依照用途、擁有者、環境或其他條件分類資源。標籤可協助您識別、組織、搜尋和篩選資源。標記也可協助您追蹤動作和通知的當責資源擁有者。使用標記時，您可以實作屬性型存取控制 (ABAC) 做為授權策略，以根據標籤定義許可。您可以將標籤連接至 IAM 實體 （使用者或角色） 和 AWS 資源。您可以為 IAM 主體建立單一 ABAC 政策或一組單獨的政策。您可以設計這些 ABAC 政策，以便在委託人的標籤符合資源標籤時允許操作。如需詳細資訊，請參閱《*IAM 使用者指南*》中的[什麼是 ABAC AWS？](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)。
**注意**
請勿在標籤中新增個人身分識別資訊 (PII) 或其他機密或敏感資訊。許多 都可以存取標籤 AWS 服務，包括 AWS Billing。如需更多標記最佳實務，請參閱《》中的[標記您的 AWS 資源](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html#tag-best-practices)*AWS 一般參考*。
### 修補
若要將標籤新增至 AWS Glue 任務，請參閱*AWS Glue 《 使用者指南*》[AWS 中的標籤 AWS Glue](https://docs.aws.amazon.com/glue/latest/dg/monitor-tags.html)。
## 【Glue.3】 AWS Glue 機器學習轉換應該靜態加密
**類別：**保護 > 資料保護 > data-at-rest加密
**嚴重性：**中
**資源類型：** `AWS::Glue::MLTransform`
**AWS Config 規則：**[https://docs.aws.amazon.com/config/latest/developerguide/glue-ml-transform-encrypted-at-rest.html](https://docs.aws.amazon.com/config/latest/developerguide/glue-ml-transform-encrypted-at-rest.html)
**排程類型：**已觸發變更
**參數：**否
此控制項會檢查 AWS Glue 機器學習轉換是否靜態加密。如果機器學習轉換未靜態加密，則控制項會失敗。
靜態資料是指存放在持久性、非揮發性儲存體中任何持續時間的資料。加密靜態資料可協助您保護其機密性，進而降低未經授權的使用者可存取資料的風險。
### 修補
若要設定 AWS Glue 機器學習轉換的加密，請參閱*AWS Glue 《 使用者指南*》中的[使用機器學習轉換](https://docs.aws.amazon.com/glue/latest/dg/console-machine-learning-transforms.html)。
## 【Glue.4】 AWS Glue Spark 任務應在支援的 版本上執行 AWS Glue
**相關要求：**NIST.800-53.r5 CA-9(1)、NIST.800-53.r5 CM-2、NIST.800-53.r5 SI-2、NIST.800-53.r5 SI-2(2)、NIST.800-53.r5 SI-2(4)、NIST.800-53.r5 SI-2(5)
**類別：**識別 > 漏洞、修補程式和版本管理
**嚴重性：**中
**資源類型：** `AWS::Glue::Job`
**AWS Config 規則：**[https://docs.aws.amazon.com/config/latest/developerguide/glue-spark-job-supported-version.html](https://docs.aws.amazon.com/config/latest/developerguide/glue-spark-job-supported-version.html)
**排程類型：**已觸發變更
**參數：**`minimumSupportedGlueVersion`： `3.0`（不可自訂）
此控制項會檢查 AWS Glue for Spark 任務是否設定為在支援的 版本上執行 AWS Glue。如果 Spark 任務設定為在早於最低支援版本的 上執行 AWS Glue ，則控制項會失敗。
**注意**
如果任務的組態項目 (CI) 中不存在 AWS Glue 版本 (`GlueVersion`) 屬性或為 null，則此控制項也會為 AWS Glue for Spark 任務產生`FAILED`問題清單。在這種情況下，問題清單包含下列註釋：`GlueVersion is null or missing in glueetl job configuration`。若要解決這類`FAILED`問題清單，請將 `GlueVersion` 屬性新增至任務的組態。如需支援版本和執行時間環境的清單，請參閱*AWS Glue 《 使用者指南*》中的[AWS Glue 版本](https://docs.aws.amazon.com/glue/latest/dg/release-notes.html#release-notes-versions)。
在目前版本的 上執行 AWS Glue Spark 任務 AWS Glue ，可以最佳化效能、安全性和對 最新功能的存取 AWS Glue。它也可以協助防範安全漏洞。例如，可能會發佈新版本，以提供安全性更新、解決問題或引進新功能。
### 修補
如需將 Spark 任務遷移至支援版本的相關資訊 AWS Glue，請參閱*AWS Glue 《 使用者指南*》中的[遷移 AWS Glue Spark 任務](https://docs.aws.amazon.com/glue/latest/dg/migrating-version-40.html)。