本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Amazon MQ 的 Security Hub 控制項
這些 AWS Security Hub 控制項會評估 Amazon MQ 服務和資源。
這些控制項可能並非全部可用 AWS 區域。如需詳細資訊，請參閱各區域控制項的可用性。
【MQ.2】 ActiveMQ 代理程式應該將稽核日誌串流至 CloudWatch
相關要求：NIST.800-53.r5 AU-2、NIST.800-53.r5 AU-3、NIST.800-53.r5 AU-12、NIST.800-53.r5 SI-4、PCIDSSv4.0.1/10.3.3
類別：識別 > 記錄日誌
嚴重性：中
資源類型： AWS::AmazonMQ::Broker
AWS Config 規則：mq-cloudwatch-audit-log-enabled
排程類型：已觸發變更
參數：無
此控制項會檢查 Amazon MQ ActiveMQ 代理程式是否將稽核日誌串流至 Amazon CloudWatch Logs。如果代理程式未將稽核日誌串流至 CloudWatch Logs，則控制項會失敗。
透過將 ActiveMQ 代理程式日誌發佈至 CloudWatch Logs，您可以建立 CloudWatch 警示和指標，以提高安全相關資訊的可見性。
修補
若要將 ActiveMQ 代理程式日誌串流至 CloudWatch 日誌，請參閱《Amazon MQ 開發人員指南》中的設定 Amazon MQ for ActiveMQ 日誌。 Amazon MQ
【MQ.3】 Amazon MQ 代理程式應該啟用自動次要版本升級
相關要求：NIST.800-53.r5 CM-3、NIST.800-53.r5 SI-2、PCIDSSv4.0.1/6.3.3
類別：識別 > 漏洞、修補程式和版本管理
嚴重性：低
資源類型： AWS::AmazonMQ::Broker
AWS Config 規則：mq-auto-minor-version-upgrade-enabled
排程類型：已觸發變更
參數：無
此控制項會檢查 Amazon MQ 代理程式是否已啟用自動次要版本升級。如果代理程式未啟用自動次要版本升級，則控制項會失敗。
隨著 Amazon MQ 發行並支援新的代理程式引擎版本，變更會與現有應用程式回溯相容，而不會取代現有功能。自動代理程式引擎版本更新可保護您免於安全風險、協助修正錯誤並改善功能。
注意
當與自動次要版本升級相關聯的代理程式位於其最新的修補程式上且變得不受支援時，您必須採取手動動作進行升級。
修補
若要啟用 MQ 代理程式的自動次要版本升級，請參閱《Amazon MQ 開發人員指南》中的自動升級次要引擎版本。
【MQ.4】 Amazon MQ 代理程式應加上標籤
類別：識別 > 庫存 > 標記
嚴重性：低
資源類型： AWS::AmazonMQ::Broker
AWS Config rule：tagged-amazonmq-broker（自訂 Security Hub 規則）
排程類型：已觸發變更
參數：
| 參數 | Description (描述) | Type | 允許的自訂值 | Security Hub 預設值 |
|---|---|---|---|---|
requiredTagKeys
|
評估的資源必須包含的非系統標籤索引鍵清單。標籤鍵會區分大小寫。 | StringList | 符合AWS 要求的標籤清單 |
No default value
|
此控制項會檢查 Amazon MQ 代理程式是否具有具有 參數 中定義之特定金鑰的標籤requiredTagKeys。如果代理程式沒有任何標籤索引鍵，或沒有參數 中指定的所有索引鍵，則控制項會失敗requiredTagKeys。如果requiredTagKeys未提供 參數，則控制項只會檢查標籤索引鍵是否存在，如果代理程式未標記任何索引鍵，則 會失敗。系統標籤會自動套用並以 開頭aws:，因此會遭到忽略。
標籤是您指派給 AWS 資源的標籤，它由索引鍵和選用值組成。您可建立標籤，依照用途、擁有者、環境或其他條件分類資源。標籤可協助您識別、組織、搜尋和篩選資源。標記也可協助您追蹤動作和通知的責任資源擁有者。使用標記時，您可以實作屬性型存取控制 (ABAC) 做為授權策略，以根據標籤定義許可。您可以將標籤連接至IAM實體 （使用者或角色） 和 AWS 資源。您可以為IAM委託人建立單一ABAC政策或個別的政策集。您可以設計這些ABAC政策，以便在主體的標籤符合資源標籤時允許操作。如需詳細資訊，請參閱IAM《 使用者指南》中的什麼是 ABAC AWS？。
注意
請勿在標籤中新增個人識別資訊 (PII) 或其他機密或敏感資訊。許多 都可以存取標籤 AWS 服務，包括 AWS Billing。如需更多標記最佳實務，請參閱 中的標記您的 AWS 資源AWS 一般參考。
修補
若要將標籤新增至 Amazon MQ 代理程式，請參閱《Amazon MQ 開發人員指南》中的標記資源。
【MQ.5】 ActiveMQ 代理程式應使用作用中/待命部署模式
相關要求： NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6(2), NIST.800-53.r5 SC-36、 NIST.800-53.r5 SC-5(2)、NIST.800-53.r5 SI-13(5)
類別：復原 > 彈性 > 高可用性
嚴重性：低
資源類型： AWS::AmazonMQ::Broker
AWS Config 規則：mq-active-deployment-mode
排程類型：已觸發變更
參數：無
此控制項會檢查 Amazon MQ ActiveMQ 代理程式的部署模式是否設定為作用中/待命。如果單一執行個體代理程式 （預設為啟用） 設定為部署模式，則控制項會失敗。
作用中/待命部署可為 中的 Amazon MQ ActiveMQ 代理程式提供高可用性 AWS 區域。作用中/待命部署模式包括在兩個不同可用區域中的兩個代理程式執行個體，以備援對設定。這些代理程式會與您的應用程式同步通訊，這可減少發生故障時的停機時間和資料遺失。
修補
若要使用作用中/待命部署模式建立新的 ActiveMQ 代理程式，請參閱《Amazon MQ 開發人員指南》中的建立和設定 ActiveMQ 代理程式。 Amazon MQ 針對部署模式，選擇作用中/待命代理程式。您無法變更現有代理程式的部署模式。相反地，您必須建立新的代理程式，並從舊代理程式複製設定。
【MQ.6】 RabbitMQ 代理程式應使用叢集部署模式
相關要求： NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6(2), NIST.800-53.r5 SC-36、 NIST.800-53.r5 SC-5(2)、NIST.800-53.r5 SI-13(5
類別：復原 > 彈性 > 高可用性
嚴重性：低
資源類型： AWS::AmazonMQ::Broker
AWS Config 規則：mq-rabbit-deployment-mode
排程類型：已觸發變更
參數：無
此控制項會檢查 Amazon MQ RabbitMQ 代理程式的部署模式是否設定為叢集部署。如果單一執行個體代理程式 （預設為啟用） 設定為部署模式，則控制項會失敗。
叢集部署可為 中的 Amazon MQ RabbitMQ 代理程式提供高可用性 AWS 區域。叢集部署是三個 RabbitMQ 代理程式節點的邏輯分組，每個節點都有自己的 Amazon Elastic Block Store (Amazon EBS) 磁碟區和共用狀態。叢集部署可確保資料複寫到叢集中的所有節點，這可減少故障時的停機時間和資料遺失。
修補
若要使用叢集部署模式建立新的 RabbitMQ 代理程式，請參閱《Amazon MQ 開發人員指南》中的建立並連線至 RabbitMQ 代理程式。 Amazon MQ 針對部署模式，選擇叢集部署。您無法變更現有代理程式的部署模式。相反地，您必須建立新的代理程式，並從舊代理程式複製設定。
