云治理中心合規(guī)實(shí)踐
云治理中心合規(guī)實(shí)踐是基于云治理中心的最佳實(shí)踐，對(duì)多賬號(hào)環(huán)境的安全性做持續(xù)檢測(cè)。本文為您介紹賬號(hào)權(quán)限合規(guī)管理最佳實(shí)踐合規(guī)包中的默認(rèn)規(guī)則。
規(guī)則名稱 | 規(guī)則描述 |
OSS存儲(chǔ)空間開啟服務(wù)端OSS完全托管加密，視為“合規(guī)”。 | |
OSS存儲(chǔ)空間的ACL策略禁止公共讀寫，視為“合規(guī)”。 | |
OSS存儲(chǔ)空間的ACL策略禁止公共讀，視為“合規(guī)”。 | |
阿里云賬號(hào)不存在任何狀態(tài)的AccessKey，視為“合規(guī)”。 | |
阿里云賬號(hào)開啟MFA，視為“合規(guī)”。 | |
ECS數(shù)據(jù)磁盤已開啟加密，視為“合規(guī)”。 | |
當(dāng)安全組入網(wǎng)網(wǎng)段設(shè)置為0.0.0.0/0時(shí)，端口范圍不包含指定風(fēng)險(xiǎn)端口，視為“合規(guī)”。若入網(wǎng)網(wǎng)段未設(shè)置為0.0.0.0/0時(shí)，即使端口范圍包含指定的風(fēng)險(xiǎn)端口，也視為“合規(guī)”。云產(chǎn)品或虛商所使用的安全組視為“不適用”。 | |
安全組入方向授權(quán)策略為允許，當(dāng)端口范圍-1/-1和授權(quán)對(duì)象0.0.0.0/0未同時(shí)出現(xiàn)，或者被優(yōu)先級(jí)更高的授權(quán)策略拒絕，視為“合規(guī)”。云產(chǎn)品或虛商所使用的安全組視為“不適用”。 | |
如果未指定參數(shù)，則檢查RDS實(shí)例的網(wǎng)絡(luò)類型為專有網(wǎng)絡(luò)；如果指定參數(shù)，則檢查RDS實(shí)例的專有網(wǎng)絡(luò)實(shí)例在指定參數(shù)范圍內(nèi)，視為“合規(guī)”。多個(gè)參數(shù)值用半角逗號(hào)（,）分隔。 | |
RDS實(shí)例的數(shù)據(jù)安全性設(shè)置開啟TDE加密，視為“合規(guī)”。 | |
RDS實(shí)例未配置公網(wǎng)地址，視為“合規(guī)”。生產(chǎn)環(huán)境的RDS實(shí)例不推薦配置公網(wǎng)直接訪問，容易被黑客攻擊。 | |
RAM用戶密碼策略中各項(xiàng)配置滿足參數(shù)設(shè)置的值，視為“合規(guī)”。 | |
RAM用戶AccessKey的最后使用時(shí)間距今天數(shù)小于參數(shù)設(shè)置的天數(shù)，視為“合規(guī)”。默認(rèn)值：90天。 | |
ECS實(shí)例開啟釋放保護(hù)，視為“合規(guī)”。 | |
SLB實(shí)例開啟釋放保護(hù)，視為“合規(guī)”。 | |
阿里云賬號(hào)擁有指定名稱的角色，視為“合規(guī)”。 | |
開啟控制臺(tái)訪問功能的RAM用戶登錄設(shè)置中必須開啟多因素認(rèn)證或者已啟用MFA，視為“合規(guī)”。 | |
SLB在指定端口上開啟HTTPS協(xié)議的監(jiān)聽，視為“合規(guī)”。如果SLB實(shí)例只開啟TCP或者UDP協(xié)議的監(jiān)聽，視為“不適用”。 | |
資源歸屬于參數(shù)指定的區(qū)域范圍，視為“合規(guī)”。 | |
如果RAM用戶在最近90天有登錄行為，視為“合規(guī)”。如果RAM用戶的最近登錄時(shí)間為空，則檢查更新時(shí)間，當(dāng)更新時(shí)間小于等于90天時(shí)，視為“合規(guī)”。未開啟控制臺(tái)訪問的用戶視為“不適用”。 | |
資源匹配參數(shù)指定的標(biāo)簽鍵值對(duì)，視為“合規(guī)”。標(biāo)簽輸入大小寫敏感，支持通配符 | |
最多可定義6組標(biāo)簽，資源需同時(shí)具有指定的所有標(biāo)簽，視為“合規(guī)”。標(biāo)簽輸入大小寫敏感，每組最多只能輸入一個(gè)值。 | |
OSS存儲(chǔ)空間的日志管理中開啟日志轉(zhuǎn)存，視為“合規(guī)”。 |