检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CES未配置监控变更OBS桶策略的事件监控告警，视为“不合规”。 标签 ces、obs 规则触发方式 周期触发 规则评估的资源类型 account 规则参数 无 检测逻辑 账号未配置“设置桶的策略”或未配置“删除桶policy配置”的事件监控告警，视为“不合规”。 账号已配置“设置桶的策略”和“删除桶p
函数管理，例如“Python3.6”。 timout：执行超时时间，单位为秒。 memorySize：函数实例内存规格限制，单位为MB。 检测逻辑 函数工作流的运行时不在参数允许的运行时列表内，视为“不合规”。 函数工作流的超时时间大于参数设置的超时时间，视为“不合规”。 函数工
为了提高账号资源的安全性，建议在设置初始IAM用户时，对具有控制台密码的IAM用户，不能设置访问密钥。 修复项指导 根据规则评估结果删除相关IAM用户被创建时设置的访问密钥。 检测逻辑 IAM用户为“停用”状态，视为“合规”。 IAM用户未开启“管理控制台访问”，视为“合规”。 IAM用户不具有创建时就存在的访问密钥，视为“合规”。
P端口时，视为“不合规”。 标签 vpc 规则触发方式 配置变更 规则评估的资源类型 vpc.securityGroups 规则参数 无 检测逻辑 当安全组入方向源地址未设置为0.0.0.0/0或::/0，或未开放所有的TCP/UDP端口时，视为“合规”。 当安全组入方向源地址设置为0
虚拟私有云的默认安全组允许入方向或出方向流量，视为“不合规”。 标签 vpc 规则触发方式 配置变更 规则评估的资源类型 vpc.securityGroups 规则参数 无 检测逻辑 VPC安全组非默认安全组，视为“合规”。 VPC的默认安全组关闭出、入方向的流量，视为“合规”。 VPC的默认安全组未关闭出、入方向的流量，视为“不合规”。
过最小权限原则，可以帮助您安全地控制IAM委托对云资源的访问。 修复项指导 IAM委托绑定所有指定的IAM策略和权限，详见分配委托权限。 检测逻辑 IAM委托未绑定所有指定的IAM策略和权限，视为“不合规”。 IAM委托绑定所有指定的IAM策略和权限，视为“合规”。 父主题： 统一身份认证服务
的操作，防止非预期的身份拥有对数据的解密或加密能力。 修复项指导 用户可以根据合规评估结果修改IAM策略配置，详见修改、删除自定义策略。 检测逻辑 IAM策略或权限未授予指定的KMS操作权限，视为“合规”。 IAM策略或权限授予指定的KMS操作权限，视为“不合规”。 父主题： 统一身份认证服务
创建允许某个云服务全部管理权限的自定义策略。 修复项指导 管理员可以在IAM页面修改不合规的IAM自定义策略，详见修改、删除自定义策略。 检测逻辑 IAM自定义策略配置了Allow的任意一个云服务的全部权限，视为“不合规”。 IAM自定义策略未配置Allow的任意一个云服务的全部权限，视为“合规”。
规则触发方式 配置变更 规则评估的资源类型 vpc.securityGroups 规则参数 whiteListPorts：白名单端口列表。 检测逻辑 安全组入方向规则和出方向规则均不放通所有白名单端口以外端口的流量，视为“合规”。 安全组入方向规则或出方向规则放通任意白名单端口以外端口的流量，视为“不合规”。
配指定的权限，避免非必要权限带来的安全隐患，详见授予最小权限。 修复项指导 移除不合规的IAM用户、IAM用户组、IAM委托的对应权限。 检测逻辑 IAM的用户、用户组、委托使用指定权限或策略，视为“不合规”。 IAM的用户、用户组、委托未使用指定权限或策略，视为“合规”。 父主题：
单个IAM用户仅有一个可用的活动访问密钥。 修复项指导 根据规则评估结果删除或停用IAM用户多余的访问密钥，详见管理IAM用户访问密钥。 检测逻辑 IAM用户为“停用”状态，视为“合规”。 IAM用户为“启用”状态且仅拥有一个“active”状态的访问密钥，视为“合规”。 IAM
22端口，视为“不合规”。 标签 vpc 规则触发方式 配置变更 规则评估的资源类型 vpc.securityGroups 规则参数 无 检测逻辑 当安全组的入站流量未放通TCP 22端口的所有IPv4地址(0.0.0.0/0)和所有IPv6地址(::/0)，视为“合规”。 当安全组的入站流量放通TCP
确保CTS追踪器转储归档的审计事件到OBS桶时，数据是被加密的。 修复项指导 建议您配置独立OBS桶并配置KMS加密存储专门用于归档审计事件，详见开启云审计服务配置OBS桶。 检测逻辑 无论是否为启用状态，CTS追踪器未配置KMS加密，视为“不合规”。 无论是否为启用状态，CTS追踪器配置KMS加密，视为“合规”。 使用约束
“*”或“*:*”或“*:*:*”管理权限的自定义策略。 修复项指导 管理员可以修改不合规的IAM自定义策略，详见修改、删除自定义策略。 检测逻辑 IAM自定义策略配置了Allow的全部云服务的全部权限(action为“*:*:*”或“*:*”或“*”)，视为“不合规”。 IAM
等。 修复项指导 云审计服务管理控制台支持配置已开启的追踪器的OBS桶、LTS转储和配置已创建的追踪器关键事件操作通知，详见配置追踪器。 检测逻辑 配置数据类追踪器追踪OBS桶时，只追踪“读操作”或“写操作”，也视为追踪该OBS桶。 账号下存在“启用”状态的CTS追踪器追踪指定的OBS桶，视为“合规”。
3389）。 20：文件传输协议-数据端口。 21：文件传输协议-控制端口。 3306：mysql端口。 3389：远程桌面协定端口。 检测逻辑 当安全组的入站流量未放通参数指定端口的所有IPv4地址(0.0.0.0/0)和所有IPv6地址(::/0)，视为“合规”。 当安全组
员工或应用程序创建IAM用户。 修复项指导 进入IAM的“admin”用户组，删除企业管理员以外的IAM用户，详见用户组添加/移除用户。 检测逻辑 IAM用户为根用户，视为“合规”。 IAM用户为“停用”状态，视为“合规”。 根用户以外的“启用”状态的IAM用户加入admin用户组，视为“不合规”。
ogle Authenticator或Microsoft Authenticator），才能绑定虚拟MFA设备。详见如何绑定虚拟MFA。 检测逻辑 根用户已开启MFA认证，视为“合规”。 根用户未开启MFA认证，视为“不合规”。 父主题： 统一身份认证服务 IAM
安全性。当前可以选择通过手机、邮箱、虚拟MFA进行登录验证。 修复项指导 账号或管理员为相关IAM用户开启的登录保护状态，详见登录保护。 检测逻辑 IAM用户为“停用”状态，视为“合规”。 IAM用户为“启用”状态且开启了任意验证方式的登录保护，视为“合规”。 IAM用户为“启用
ogle Authenticator或Microsoft Authenticator），才能绑定虚拟MFA设备。详见如何绑定虚拟MFA。 检测逻辑 IAM用户为“停用”状态，视为“合规”。 IAM用户为“启用”状态且开启了MFA认证，视为“合规”。 IAM用户为“启用”状态且未开启MFA认证，视为“不合规”。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
