本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Step Functions 的 Security Hub 控制項

這些 AWS Security Hub 控制項會評估 AWS Step Functions 服務和資源。

這些控制項可能完全無法使用 AWS 區域。如需詳細資訊，請參閱依區域的控制項可用性。

【StepFunctions.1] Step Functions 狀態機器應該已開啟記錄

相關要求：PCI DSS v4.0.1/10.4.2

類別：識別 > 記錄日誌

嚴重性：中

資源類型： AWS::StepFunctions::StateMachine

AWS Config 規則：step-functions-state-machine-logging-enabled

排程類型：已觸發變更

參數：

此控制項會檢查 AWS Step Functions 狀態機器是否已開啟記錄。如果狀態機器未開啟記錄，則控制項會失敗。如果您為 logLevel 參數提供自訂值，只有在狀態機器已開啟指定的記錄層級時，控制項才會通過。

監控可協助您維持 Step Functions 的可靠性、可用性和效能。您應該從使用的 收集盡可能多 AWS 服務 的監控資料，以便更輕鬆地偵錯多點故障。為您的 Step Functions 狀態機器定義記錄組態可讓您追蹤 Amazon CloudWatch Logs 中的執行歷史記錄和結果。或者，您只能追蹤錯誤或致命事件。

修補

若要開啟 Step Functions 狀態機器的記錄，請參閱《 AWS Step Functions 開發人員指南》中的設定記錄。

【StepFunctions.2] 應標記 Step Functions 活動

類別：識別 > 庫存 > 標記

嚴重性：低

資源類型： AWS::StepFunctions::Activity

AWS Config rule：tagged-stepfunctions-activity（自訂 Security Hub 規則）

排程類型：變更觸發

參數：

此控制項會檢查 AWS Step Functions 活動是否具有具有參數 中定義之特定金鑰的標籤requiredTagKeys。如果活動沒有任何標籤索引鍵，或沒有參數 中指定的所有索引鍵，則控制項會失敗requiredTagKeys。如果requiredTagKeys未提供 參數，則控制項只會檢查標籤索引鍵是否存在，如果活動未標記任何索引鍵，則 會失敗。系統標籤會自動套用並以 開頭aws:，因此會遭到忽略。

標籤是您指派給 AWS 資源的標籤，由索引鍵和選用值組成。您可建立標籤，依照用途、擁有者、環境或其他條件分類資源。標籤可協助您識別、組織、搜尋和篩選資源。標記也可協助您追蹤動作和通知的負責資源擁有者。使用標記時，您可以實作屬性型存取控制 (ABAC) 做為授權策略，以根據標籤定義許可。您可以將標籤連接至 IAM 實體 （使用者或角色） 和 AWS 資源。您可以為您的 IAM 主體建立單一 ABAC 政策或一組單獨的政策。您可以設計這些 ABAC 政策，以便在主體的標籤符合資源標籤時允許操作。如需詳細資訊，請參閱《IAM 使用者指南》中的 ABAC for AWS？。

修補

若要將標籤新增至 Step Functions 活動，請參閱《 AWS Step Functions 開發人員指南》中的 Step Functions 中的標記。