Aliyun Regeln

Gesamtanzahl der Regeln: 317

Regeln nach Schweregrad

Hoch Schweregrad (98 Regeln)

Regel-ID	Name	Beschreibung
ack-cluster-node-multi-zone	ACK-Cluster Multi-Zone-Bereitstellung	Die ACK-Cluster-Knoten sollten für hohe Verfügbarkeit über 3 oder mehr Verfügbarkeitszonen verteilt werden.
ack-cluster-public-endpoint-check	ACK-Cluster öffentlicher Endpunkt-Prüfung	ACK-Cluster sollten keinen öffentlichen Endpunkt gesetzt haben, oder der zugehörige SLB-Listener sollte ACL aktiviert haben.
acs-cluster-node-multi-zone	ACS-Cluster-Knoten Multi-Zone-Bereitstellung	Die ACS-Cluster-Knoten sollten für hohe Verfügbarkeit über 3 oder mehr Verfügbarkeitszonen verteilt werden.
actiontrail-enabled	ActionTrail aktiviert	Stellt sicher, dass ActionTrail aktiviert ist, um Kontenaktivitäten aufzuzeichnen.
actiontrail-trail-intact-enabled	ActionTrail Trail vollständig aktiviert	ActionTrail Trail sollte aktiviert sein und alle Ereignistypen (Lesen und Schreiben) verfolgen.
alb-acl-public-access-check	ALB ACL erlaubt keinen öffentlichen Zugriff	Stellt sicher, dass ALB-Zugriffssteuerungslisten 0.0.0.0/0 (Erlaubnis aller IPs) nicht enthalten.
alb-all-listener-health-check-enabled	ALB Alle Listener Health Check aktiviert	Stellt sicher, dass alle ALB-Listener Health Checks aktiviert haben.
alb-delete-protection-enabled	ALB-Instanz Löschschutz aktiviert	Stellt sicher, dass ALB-Instanzen Löschschutz aktiviert haben.
alb-instance-multi-zone	ALB-Instanz Multi-Zone-Bereitstellung	ALB-Instanzen sollten für hohe Verfügbarkeit über mehrere Verfügbarkeitszonen bereitgestellt werden. Wenn nur eine Zone ausgewählt wird, wirkt sich ein Zonenausfall auf die ALB-Instanz und die Geschäftsstabilität aus.
alb-instance-waf-enabled	ALB-Instanz hat WAF-Schutz	Stellt sicher, dass ALB-Instanzen WAF3 (Web Application Firewall) Schutz aktiviert haben.
alb-server-group-multi-server	ALB-Servergruppe hat mehrere Server	Stellt sicher, dass ALB-Servergruppen mindestens zwei Backend-Server für Hochverfügbarkeit enthalten.
alidns-route-53-mx-check	DNS MX-Eintrag hat gültiges SPF in zugehörigem TXT-Eintrag	Stellt sicher, dass MX-Einträge zugehörige TXT-Einträge mit gültigen SPF-Werten für die E-Mail-Validierung haben.
api-gateway-group-force-https	API-Gateway-Gruppe HTTPS erzwingen	Stellt sicher, dass API-Gateway-Gruppen mit öffentlichen benutzerdefinierten Domains HTTPS-Force-Redirect aktiviert haben.
bastionhost-instance-expired-check	BastionHost-Instanz Ablaufprüfung	Vorausbezahlte BastionHost-Instanzen sollten automatische Verlängerung aktiviert haben.
cdn-domain-multiple-origin-servers	CDN-Domäne Mehrere Ursprungsserver	CDN-Domänen sollten mit mehreren Ursprungsservern für Hochverfügbarkeit und Fehlertoleranz konfiguriert werden.
cr-instance-any-ip-access-check	CR-Instanz Kein Beliebiger IP-Zugriff	Stellt sicher, dass Container Registry-Instanzen keine beliebige IP (0.0.0.0/0) in ihrer Whitelist haben.
cr-repository-image-scanning-enabled	CR-Instanz Bild-Scanning aktiviert	Stellt sicher, dass Container Registry-Instanzen Bild-Scanning für die Erkennung von Sicherheitslücken aktiviert haben.
cr-repository-type-private	CR-Repository-Typ privat	Stellt sicher, dass CR-Repositories auf PRIVATE gesetzt sind.
dcdn-domain-multiple-origin-servers	DCDN-Domäne Mehrere Ursprungsserver	DCDN-Domänen sollten mit mehreren Ursprungsservern für hohe Verfügbarkeit und Fehlertoleranz konfiguriert werden.
eci-containergroup-environment-no-specified-keys	ECI-Containergruppe enthält keine sensiblen Umgebungsvariablen	Stellt sicher, dass ECI-Containergruppen keine sensiblen Umgebungsvariablen wie Passwörter oder Zugriffsschlüssel haben.
ecs-available-disk-encrypted	ECS-Festplattenverschlüsselung aktiviert	Stellt sicher, dass alle ECS-Festplatten verschlüsselt sind.
ecs-instance-attached-security-group	ECS-Instanz Sicherheitsgruppe angehängt	Wenn die ECS-Instanz in der angegebenen Sicherheitsgruppe enthalten ist, wird die Konfiguration als konform betrachtet.
ecs-instance-deletion-protection-enabled	ECS-Instanz Löschschutz aktiviert	Stellt sicher, dass ECS-Instanzen Löschschutz aktiviert haben.
ecs-instance-enabled-security-protection	ECS-Instanz Sicherheitsschutz aktiviert	Stellt sicher, dass ECS-Instanzen Sicherheitsverbesserungsstrategie aktiviert haben.
ecs-instance-expired-check	ECS-Vorauszahlungs-Instanz Ablaufprüfung	Vorauszahlungs-Instanzen sollten automatische Verlängerung aktiviert haben, um Dienstunterbrechungen aufgrund von Ablauf zu vermeiden.
ecs-instance-no-public-ip	ECS-Instanz sollte keine öffentliche IP binden	ECS-Instanzen sollten keine IPv4-öffentliche IP oder Elastic IP direkt binden, was als konform gilt.
ecs-launch-template-version-attach-security-group	ECS-Startvorlagenversion fügt Sicherheitsgruppen hinzu	ECS-Startvorlagenversionen haben Sicherheitsgruppen für Instanzen konfiguriert, was als konform gilt.
ecs-running-instance-no-public-ip	ECS-Instanz Keine öffentliche IP	ECS-Instanzen sollten keine öffentliche IP-Adresse haben, um die direkte Internetexposition zu reduzieren.
ecs-security-group-egress-not-all-access	Sicherheitsgruppe Egress nicht auf Vollzugriff gesetzt	Die Egress-Richtung der Sicherheitsgruppe sollte nicht so eingestellt werden, dass sie allen Zugriff erlaubt (alle Protokolle, alle Ports, alle Ziele).
ecs-security-group-not-internet-cidr-access	Sicherheitsgruppe Ingress-Quell-IP enthält keine öffentliche IP	Sicherheitsgruppen-Ingress-Regeln mit Accept-Richtlinie sollten keine Quell-IP enthalten, die öffentliche Internet-IPs enthält.
ecs-security-group-not-open-all-port	Sicherheitsgruppe Ingress öffnet nicht alle Ports	Sicherheitsgruppen-Ingress-Regeln sollten nicht alle Ports erlauben. Wenn der Portbereich nicht auf -1/-1 gesetzt ist, wird dies als konform betrachtet.
ecs-security-group-not-open-all-protocol	Sicherheitsgruppe Ingress öffnet nicht alle Protokolle	Sicherheitsgruppen-Ingress-Regeln sollten nicht alle Protokolle erlauben. Wenn der Protokolltyp nicht auf ALL gesetzt ist, wird dies als konform betrachtet.
ecs-security-group-risky-ports-check-with-protocol	Sicherheitsgruppe riskante Ports-Prüfung mit Protokoll	Wenn die Sicherheitsgruppen-Eingangsquelle auf 0.0.0.0/0 gesetzt ist, sollte der Portbereich keine riskanten Ports (22, 3389) für angegebene Protokolle (TCP/UDP) enthalten, um das Risiko von Brute-Force-Angriffen zu reduzieren.
ecs-security-group-white-list-port-check	Sicherheitsgruppe Nicht-Whitelist-Port-Ingress-Prüfung	Außer Whitelist-Ports (80) sollten andere Ports keine Ingress-Regeln haben, die Zugriff von 0.0.0.0/0 erlauben.
elasticsearch-instance-enabled-kibana-public-check	Elasticsearch-Instanz Kibana aktiviert keinen öffentlichen Zugriff	Stellt sicher, dass Elasticsearch-Instanz Kibana nicht von öffentlichen Netzwerken aus zugänglich ist.
elasticsearch-instance-enabled-public-check	Elasticsearch-Instanz aktiviert keinen öffentlichen Zugriff	Stellt sicher, dass Elasticsearch-Instanzen nicht von öffentlichen Netzwerken aus zugänglich sind.
elasticsearch-instance-node-not-use-specified-spec	Elasticsearch-Instanz verwendet keine veraltete Spezifikation	Stellt sicher, dass Elasticsearch-Instanzen keine veralteten oder nicht unterstützten Knotenspezifikationen verwenden.
elasticsearch-instance-version-not-deprecated	Elasticsearch-Instanz verwendet keine veraltete Version	Stellt sicher, dass Elasticsearch-Instanzen keine veralteten oder EOL-Versionen verwenden.
elasticsearch-public-and-any-ip-access-check	Elasticsearch Öffentlicher und Beliebiger IP-Zugriff Prüfung	Stellt sicher, dass Elasticsearch-Instanzen keinen öffentlichen Zugriff aktiviert haben oder eine offene Whitelist haben.
ess-scaling-configuration-data-disk-encrypted	ESS-Skalierungskonfiguration Datenfestplattenverschlüsselung	ESS-Skalierungskonfigurationen sollten Datenfestplattenverschlüsselung aktivieren, um ruhende Daten zu schützen.
ess-scaling-configuration-sg-public-access	ESS-Skalierungskonfiguration Sicherheitsgruppe Öffentlicher Zugriff	ESS-Skalierungskonfigurations-Sicherheitsgruppen sollten keinen Zugriff von 0.0.0.0/0 zulassen, um unbefugten Zugriff zu verhindern.
ess-scaling-configuration-system-disk-encrypted	ESS-Skalierungskonfiguration System-Disk-Verschlüsselung	ESS-Skalierungskonfigurationen sollten System-Disk-Verschlüsselung aktivieren, um Systemdaten im Ruhezustand zu schützen.
fc-function-runtime-check	FC-Funktionslaufzeitprüfung	FC-Funktionen sollten keine veralteten Laufzeiten verwenden, die Sicherheitslücken haben können.
fc-trigger-http-not-anonymous	FC HTTP-Trigger Authentifizierungsprüfung	FC HTTP-Trigger sollten Authentifizierung erfordern, um unbefugten Zugriff zu verhindern.
gpdb-instance-disk-encryption-enabled	GPDB-Disk-Verschlüsselung aktiviert	Stellt sicher, dass GPDB-Instanzen Disk-Verschlüsselung aktiviert haben.
hbase-cluster-expired-check	HBase-Cluster-Ablaufprüfung	Vorausbezahlte HBase-Cluster sollten automatische Verlängerung aktiviert haben.
hbase-cluster-ha-check	HBase-Cluster HA aktiviert	Stellt sicher, dass HBase-Cluster für hohe Verfügbarkeit (HA) konfiguriert sind.
kafka-instance-disk-encrypted	Kafka-Instanz Festplatte verschlüsselt	Kafka-Instanz sollte während der Bereitstellung Festplattenverschlüsselung für den Datenschutz aktiviert haben.
kafka-instance-public-access-check	Kafka Öffentlicher Zugriff deaktiviert	Stellt sicher, dass Kafka-Instanzen keinen öffentlichen Netzwerkzugriff haben.
maxcompute-project-encryption-enabled	MaxCompute-Projekt Verschlüsselung aktiviert	Stellt sicher, dass MaxCompute-Projekte Verschlüsselung aktiviert haben, um gespeicherte Daten zu schützen.
maxcompute-project-ip-whitelist-enabled	MaxCompute-Projekt IP-Whitelist aktiviert	Stellt sicher, dass MaxCompute-Projekte eine IP-Whitelist konfiguriert haben, um den Zugriff einzuschränken.
mongodb-cluster-expired-check	MongoDB-Instanz-Ablaufprüfung	Vorausbezahlte MongoDB-Instanzen sollten automatische Verlängerung aktiviert haben.
mongodb-instance-class-not-shared	MongoDB-Instanz verwendet dedizierte Klasse	Stellt sicher, dass MongoDB-Instanzen dedizierte oder exklusive Instanzklassen verwenden, keine gemeinsam genutzten Instanzen.
mongodb-min-maxconnections-limit	MongoDB erfüllt Mindestverbindungsanforderungen	Stellt sicher, dass MongoDB-Instanzen mindestens die erforderliche Mindestanzahl von Verbindungen bereitstellen.
mongodb-min-maxiops-limit	MongoDB erfüllt Mindest-IOPS-Anforderungen	Stellt sicher, dass MongoDB-Instanzen mindestens die erforderliche Mindest-IOPS bereitstellen.
mongodb-public-access-check	MongoDB-Whitelist Internet-Einschränkung	Stellt sicher, dass MongoDB-Sicherheits-IP-Whitelists 0.0.0.0/0 nicht enthalten.
mongodb-public-and-any-ip-access-check	MongoDB öffentlicher und beliebiger IP-Zugriff-Prüfung	Stellt sicher, dass MongoDB-Instanzen keine offene Whitelist (0.0.0.0/0) haben.
mse-cluster-architecture-check	MSE-Cluster hat mehrere Knoten	Stellt sicher, dass MSE (Microservice Engine)-Cluster mehr als 3 Knoten für hohe Verfügbarkeit haben.
mse-cluster-internet-check	MSE-Cluster hat keinen öffentlichen Internetzugriff	Stellt sicher, dass MSE-Cluster keinen öffentlichen Internetzugriff aktiviert haben.
mse-gateway-architecture-check	MSE-Gateway hat mehrere Knoten	Stellt sicher, dass MSE (Microservice Engine)-Gateways mehr als 1 Knoten für hohe Verfügbarkeit haben.
nas-access-group-public-access-check	NAS-Zugriffsgruppe IP-Beschränkung	Stellt sicher, dass NAS-Zugriffsregeln 0.0.0.0/0 nicht erlauben.
nat-risk-ports-check	NAT-Gateway-Risikoport-Prüfung	NAT-Gateway-DNAT-Mappings sollten keine riskanten Ports dem Internet aussetzen, um Sicherheitslücken zu verhindern.
oss-bucket-anonymous-prohibited	OSS-Bucket anonyme Zugriffe verboten	Stellt sicher, dass anonyme Zugriffe für den OSS-Bucket verboten sind.
oss-bucket-only-https-enabled	OSS-Bucket nur HTTPS aktiviert	OSS-Bucket sollte eine Richtlinie haben, die Nicht-HTTPS-Anfragen ablehnt, um die Datentransportsicherheit zu gewährleisten.
oss-bucket-policy-no-any-anonymous	OSS-Bucket-Richtlinie gewährt anonymen Benutzern keine Berechtigungen	OSS-Bucket-Richtlinie gewährt anonymen Benutzern keine Lese- oder Schreibberechtigungen.
oss-bucket-policy-outside-organization-check	OSS-Bucket-Richtlinie kein Zugriff außerhalb der Organisation	Stellt sicher, dass OSS-Bucket-Richtlinien keinen Zugriff auf Prinzipalen außerhalb der Organisation gewähren.
oss-bucket-public-read-prohibited	OSS-Bucket öffentliches Lesen verboten	OSS-Buckets sollten keinen öffentlichen Lesezugriff zulassen, es sei denn, dies ist ausdrücklich erforderlich. Öffentlicher Lesezugriff ermöglicht es jedem, auf Objekte im Bucket zuzugreifen und sie herunterzuladen.
oss-bucket-public-write-prohibited	OSS-Bucket öffentliches Schreiben verboten	OSS-Buckets sollten keinen öffentlichen Schreibzugriff zulassen. Öffentlicher Schreibzugriff ermöglicht es jedem, Objekte im Bucket hochzuladen, zu ändern oder zu löschen, was erhebliche Sicherheitsrisiken birgt.
oss-bucket-server-side-encryption-enabled	OSS-Bucket-Serverseitige-Verschlüsselung aktiviert	OSS-Buckets sollten serverseitige Verschlüsselung aktiviert haben, um ruhende Daten zu schützen. Die serverseitige Verschlüsselung verwendet KMS oder AES256, um in OSS gespeicherte Daten zu verschlüsseln.
parameter-sensitive-noecho-check	Sensible Parameter müssen NoEcho haben	Vorlagenparameter, die sensible Informationen (Passwörter, API-Schlüssel, Geheimnisse) enthalten, müssen geschützt werden, indem NoEcho auf true gesetzt oder gültige AssociationProperty-Werte verwendet werden, um zu verhindern, dass sie im Klartext angezeigt werden.
polardb-cluster-enabled-tde	PolarDB-Cluster TDE aktiviert	Stellt sicher, dass PolarDB-Cluster Transparent Data Encryption (TDE) aktiviert haben.
polardb-cluster-expired-check	PolarDB-Cluster Ablaufprüfung	Vorausbezahlte PolarDB-Cluster sollten automatische Verlängerung aktiviert haben.
polardb-public-access-check	PolarDB Öffentlicher Zugriffsprüfung	Stellt sicher, dass die PolarDB-IP-Whitelist nicht auf 0.0.0.0/0 gesetzt ist.
polardb-public-and-any-ip-access-check	PolarDB öffentlicher und beliebiger IP-Zugriff-Prüfung	Stellt sicher, dass PolarDB-Cluster keine öffentlichen Endpunkte haben und nicht für beliebige IP-Adressen (0.0.0.0/0) geöffnet sind.
ram-policy-no-statements-with-admin-access-check	RAM-Richtlinie kein Admin-Zugriff	Stellt sicher, dass benutzerdefinierte RAM-Richtlinien keinen vollständigen AdministratorAccess gewähren.
ram-user-mfa-check	RAM-Benutzer MFA aktiviert	RAM-Benutzer mit Konsolenzugriff sollten Multi-Faktor-Authentifizierung (MFA) aktiviert haben.
rds-instance-enabled-disk-encryption	RDS-Instanz-Disk-Verschlüsselung aktiviert	Stellt sicher, dass RDS-Instanzen Disk-Verschlüsselung aktiviert haben.
rds-instance-expired-check	RDS Vorausbezahlte Instanz Ablaufprüfung	Vorausbezahlte RDS-Instanzen sollten automatische Verlängerung aktiviert haben.
rds-public-access-check	RDS-Instanz öffentlicher Zugriff Prüfung	RDS-Instanzen sollten nicht mit öffentlichen Netzwerkadressen konfiguriert werden. Öffentlicher Zugriff setzt Datenbanken potenziellen Sicherheitsbedrohungen aus dem Internet aus.
rds-public-connection-and-any-ip-access-check	RDS öffentliche Verbindung und beliebige IP-Zugriff-Prüfung	Stellt sicher, dass RDS-Instanzen mit öffentlichen Verbindungen keine Whitelist haben, die für alle IPs geöffnet ist.
rds-white-list-internet-ip-access-check	RDS-Whitelist Internet-Einschränkung	Stellt sicher, dass RDS-Sicherheits-IP-Whitelists 0.0.0.0/0 nicht enthalten.
redis-instance-expired-check	Redis Vorausbezahlte Instanz Ablaufprüfung	Vorausbezahlte Redis-Instanzen sollten automatische Verlängerung aktiviert haben.
redis-instance-no-public-ip	Redis-Instanz ohne öffentliche IP	Stellt sicher, dass der Redis-Instanz keine öffentliche IP zugewiesen ist.
redis-instance-open-auth-mode	Redis-Authentifizierungsmodus aktiviert	Stellt sicher, dass Redis-Instanzen Authentifizierung erfordern und sich nicht im 'kein Passwort'-Modus befinden.
redis-public-and-any-ip-access-check	Redis öffentlicher und beliebiger IP-Zugriff-Prüfung	Stellt sicher, dass Redis-Instanzen keinen öffentlichen Zugriff aktiviert haben oder eine offene Whitelist haben.
root-ak-check	Root-Benutzer AccessKey-Prüfung	Stellt sicher, dass das Root-Konto keine aktiven AccessKeys hat.
root-mfa-check	Root-Benutzer MFA-Prüfung	Stellt sicher, dass die Multi-Faktor-Authentifizierung (MFA) für das Root-Konto aktiviert ist.
sg-public-access-check	Sicherheitsgruppe Ingress gültig	Sicherheitsgruppen-Ingress-Regeln sollten nicht gleichzeitig alle Ports (-1/-1) von allen Quellen (0.0.0.0/0) erlauben.
sg-risky-ports-check	Sicherheitsgruppe öffnet keine riskanten Ports für 0.0.0.0/0	Wenn die Quelle der Sicherheitsgruppen-Eingangsregel auf 0.0.0.0/0 gesetzt ist, sollte der Portbereich keine angegebenen riskanten Ports enthalten, was als konform gilt. Wenn die Quelle nicht 0.0.0.0/0 ist, ist es konform, auch wenn riskante Ports enthalten sind.
slb-acl-public-access-check	SLB ACL öffentlicher Zugriff-Prüfung	Stellt sicher, dass SLB ACLs 0.0.0.0/0 nicht enthalten, um uneingeschränkten öffentlichen Zugriff zu verhindern.
slb-all-listener-health-check-enabled	SLB Alle Listener Gesundheitsprüfung aktiviert	Stellt sicher, dass alle SLB-Listener Gesundheitsprüfungen aktiviert haben.
slb-all-listener-servers-multi-zone	SLB Multi-Zone mit Multi-Zone-Backend-Servern	SLB-Instanzen sollten Multi-Zone sein, und alle von Listenern verwendeten Servergruppen sollten Ressourcen aus mehreren Zonen hinzugefügt haben.
slb-delete-protection-enabled	SLB-Instanz-Löschschutz aktiviert	Stellt sicher, dass SLB-Instanzen den Löschschutz aktiviert haben.
slb-listener-risk-ports-check	SLB Listener Risiko-Ports-Prüfung	Stellt sicher, dass SLB-Listener keine Hochrisiko-Ports wie 22 oder 3389 freigeben.
transit-router-vpc-attachment-multi-zone	Transit Router VPC-Anhang Multi-Zonen-Konfiguration	Transit Router VPC-Anhänge sollten mit vSwitches in mindestens zwei verschiedenen Verfügbarkeitszonen für regionsübergreifende Hochverfügbarkeit konfiguriert werden.
tsdb-instance-security-ip-check	TSDB-Instanz erlaubt keinen IP-Zugriff	Stellt sicher, dass TSDB-Instanzen keine Sicherheits-Whitelists haben, die alle IPs erlauben.
use-waf-instance-for-security-protection	Verwenden Sie WAF für Sicherheitsschutz	Web Application Firewall (WAF) sollte verwendet werden, um Websites und Apps vor webbasierten Angriffen zu schützen.
vpc-network-acl-risky-ports-check	VPC-Netzwerk-ACL Risikoport-Prüfung	Stellt sicher, dass VPC-Netzwerk-ACLs keinen uneingeschränkten Zugriff auf riskante Ports (22, 3389) erlauben.

Mittel Schweregrad (179 Regeln)

Regel-ID	Name	Beschreibung
ack-cluster-encryption-enabled	ACK-Cluster Secret-Verschlüsselung aktiviert	ACK Pro-Cluster sollten Secret-Verschlüsselung im Ruhezustand mit KMS aktiviert haben.
ack-cluster-inspect-kubelet-version-outdate-check	ACK Kubelet Versionsprüfung	Stellt sicher, dass die Kubelet-Version im ACK-Cluster auf dem neuesten Stand ist.
ack-cluster-log-plugin-installed	ACK-Cluster Log-Plugin installiert	Stellt sicher, dass das log-service-Addon im ACK-Cluster installiert ist.
ack-cluster-rrsa-enabled	ACK-Cluster RRSA aktiviert	Stellt sicher, dass die RAM Roles for Service Accounts (RRSA)-Funktion für den ACK-Cluster aktiviert ist.
ack-cluster-supported-version	ACK-Cluster Unterstützte Version	Stellt sicher, dass der ACK-Cluster eine unterstützte Version ausführt.
ack-cluster-upgrade-latest-version	ACK-Cluster auf neueste Version aktualisiert	Stellt sicher, dass der ACK-Cluster die neueste verfügbare Version ausführt.
adb-cluster-multi-zone	ADB-Cluster Multi-Zonen-Bereitstellung	Der ADB-Cluster sollte im Multi-Zonen-Modus bereitgestellt werden.
alb-all-listenter-has-server	ALB-Listener hat Backend-Server	Stellt sicher, dass alle ALB-Listener einer nicht leeren Servergruppe zugeordnet sind.
alb-instance-bind-security-group-or-enabled-acl	ALB-Instanz Sicherheitsgruppe binden oder ACL aktivieren	ALB-Instanz sollte Sicherheitsgruppen zugeordnet haben oder ACL für alle laufenden Listener konfiguriert haben.
alb-server-group-multi-zone	ALB-Servergruppe Multi-Zone-Verteilung	ALB-Servergruppen sollten Backend-Server über mehrere Verfügbarkeitszonen verteilt haben, um Hochverfügbarkeit zu gewährleisten. Diese Regel gilt nicht für Servergruppen ohne angehängte Server oder für IP/Function Compute-Typ-Servergruppen.
alidns-domain-regex-match	Alibaba Cloud DNS-Domänennamen entsprechen Namenskonvention	Stellt sicher, dass Alibaba Cloud DNS-Domänennamen dem angegebenen Namenskonventions-Regex entsprechen.
api-gateway-api-auth-jwt	API Gateway API-Authentifizierung JWT	Stellt sicher, dass API Gateway APIs JWT-Authentifizierung verwenden.
api-gateway-api-auth-required	API Gateway API-Authentifizierung erforderlich	Stellt sicher, dass API Gateway APIs Authentifizierung konfiguriert haben.
api-gateway-api-internet-request-https	API Gateway Internet-Anfrage HTTPS aktiviert	Stellt sicher, dass API Gateway APIs, die dem Internet ausgesetzt sind, das HTTPS-Protokoll verwenden.
api-gateway-api-visibility-private	API-Gateway-API-Sichtbarkeit privat	Stellt sicher, dass API-Gateway-APIs auf PRIVATE-Sichtbarkeit gesetzt sind.
api-gateway-group-bind-domain	API-Gateway-Gruppe Domain binden	Stellt sicher, dass API-Gateway-Gruppen benutzerdefinierte Domains gebunden haben.
api-gateway-group-enabled-ssl	API-Gateway-Gruppe SSL aktiviert	Stellt sicher, dass SSL für API-Gateway-Gruppen aktiviert ist.
api-gateway-group-https-policy-check	API Gateway Gruppe HTTPS-Richtlinienprüfung	Stellt sicher, dass API Gateway-Gruppen die HTTPS-Sicherheitsrichtlinie korrekt gesetzt haben.
api-gateway-group-log-enabled	API Gateway Gruppe Log aktiviert	Stellt sicher, dass API Gateway-Gruppen Protokollierung konfiguriert haben.
apigateway-instance-multi-zone	API Gateway-Instanz Multi-Zonen-Bereitstellung	API Gateway-Instanzen sollten in Multi-Zonen-Konfiguration für Hochverfügbarkeit bereitgestellt werden.
bastionhost-instance-spec-check	BastionHost-Instanz Multi-Zone-Spezifikationsprüfung	Die BastionHost-Instanz sollte die Enterprise-Version verwenden, die Multi-Zone-Bereitstellung unterstützt.
cen-cross-region-bandwidth-check	CEN Cross-Region Bandbreitenprüfung	CEN-Instanz Cross-Region-Verbindungen sollten ausreichende Bandbreitenzuweisung haben, um Leistungsanforderungen zu erfüllen.
clickhouse-dbcluster-multi-zone	ClickHouse DBCluster Multi-Zone-Bereitstellung	ClickHouse-Cluster sollten die HighAvailability (Double-Replica) Edition für Multi-Zone-Bereitstellung verwenden. Hinweis: Dies gilt nur für die Community-Edition.
cr-instance-multi-zone	CR-Instanz mit zonenredundantem OSS-Bucket	Container Registry-Instanzen sollten mit zonenredundanten OSS-Buckets für Hochverfügbarkeit verknüpft werden.
ecs-disk-all-encrypted-by-kms	ECS-Festplatte mit KMS-Verschlüsselung aktiviert	ECS-Festplatten (einschließlich Systemfestplatte und Datenträger) sind mit KMS verschlüsselt, was als konform gilt.
ecs-disk-encrypted	ECS-Datendisk-Verschlüsselung aktiviert	ECS-Datendisk hat Verschlüsselung aktiviert, wird als konform betrachtet.
ecs-disk-in-use	ECS-Festplatte ist in Verwendung	ECS-Festplatten sind an eine Instanz angehängt oder im Gebrauchszustand, was als konform gilt. Verfügbare oder nicht angehängte Festplatten können inaktive Ressourcen sein.
ecs-disk-retain-auto-snapshot	Automatische Momentaufnahme beibehalten, wenn ECS-Festplatte freigegeben wird	Konfigurieren Sie ECS-Festplatten so, dass automatische Momentaufnahmen beim Freigeben beibehalten werden, was als konform gilt. Dies hilft, Daten vor versehentlichem Löschen zu schützen.
ecs-in-use-disk-encrypted	ECS-Disk-Verschlüsselung in Verwendung	ECS-Datendisks sollten Verschlüsselung aktiviert haben, um ruhende Daten zu schützen. Verschlüsselte Disks verwenden KMS-Schlüssel zur Datenverschlüsselung und gewährleisten Datensicherheit und Compliance mit regulatorischen Anforderungen.
ecs-instance-auto-renewal-enabled	ECS-Abonnement-Instanz hat automatische Verlängerung aktiviert	ECS-Abonnement-Instanzen (vorausbezahlt) haben automatische Verlängerung aktiviert, werden als konform betrachtet. Pay-as-you-go-Instanzen sind nicht anwendbar.
ecs-instance-image-expired-check	ECS-Instanz Bild-Ablaufprüfung	Stellt sicher, dass das von der ECS-Instanz verwendete Bild nicht abgelaufen ist.
ecs-instance-image-type-check	ECS-Instanz Bildtyp-Prüfung	Stellt sicher, dass ECS-Instanzen Bilder aus autorisierten Quellen verwenden.
ecs-instance-login-use-keypair	ECS-Instanz-Anmeldung mit Schlüsselpaar	Stellt sicher, dass ECS-Instanzen Schlüsselpaare für die Anmeldung verwenden, anstatt Passwörter.
ecs-instance-meta-data-mode-check	ECS-Instanz-Metadatenzugriff verwendet sicherheitsverbesserten Modus (IMDSv2)	Beim Zugriff auf ECS-Instanz-Metadaten wird der sicherheitsverbesserte Modus (IMDSv2) erzwungen, wird als konform betrachtet. Mit ACK-Clustern verbundene Instanzen sind nicht anwendbar.
ecs-instance-no-public-and-anyip	ECS-Instanz sollte kein öffentliches IP binden oder Zugriff von beliebigen IPs zulassen	ECS-Instanzen sollten keine IPv4-öffentlichen IPs oder elastischen IPs direkt binden, und zugehörige Sicherheitsgruppen sollten 0.0.0.0/0 nicht freigeben. Konform, wenn keine öffentliche IP gebunden ist.
ecs-instance-not-bind-key-pair	ECS-Instanz nicht an Schlüsselpaar gebunden	Stellt sicher, dass ECS-Instanzen Schlüsselpaare für die Authentifizierung verwenden, anstatt Passwörter.
ecs-instance-type-family-not-deprecated	ECS-Instanztyp nicht veraltet	Stellt sicher, dass ECS-Instanzen keine veralteten oder Legacy-Instanztypen verwenden.
ecs-instances-in-vpc	ECS-Instanzen in VPC	ECS-Instanzen sollten in VPC (Virtual Private Cloud) Netzwerken und nicht in klassischen Netzwerken bereitgestellt werden. VPC bietet bessere Netzwerkisolation, Sicherheit und Flexibilität.
ecs-internetmaxbandwidth-check	ECS-Internet Max-Bandbreitenprüfung	Stellt sicher, dass die ausgehende Internet-Bandbreite von ECS die angegebenen Grenzwerte nicht überschreitet.
ecs-launch-template-network-type-check	ECS-Startvorlage verwendet VPC-Netzwerktyp	ECS-Startvorlagenversionen haben den Netzwerktyp auf VPC gesetzt, was als konform gilt. Der klassische Netzwerktyp wird für Produktionsumgebungen nicht empfohlen.
ecs-launch-template-version-data-disk-encrypted	ECS-Startvorlagenversion aktiviert Datenfestplattenverschlüsselung	Alle in ECS-Startvorlagenversionen konfigurierten Datenfestplatten sind verschlüsselt und gelten als konform.
ecs-launch-template-version-image-type-check	Startvorlage Bildtypprüfung	Stellt sicher, dass ECS-Startvorlagen autorisierte Bildtypen verwenden.
ecs-running-instances-in-vpc	Laufende ECS-Instanzen sind in VPC	Laufende ECS-Instanzen sind in Virtual Private Cloud (VPC) bereitgestellt, werden als konform betrachtet. Dies bietet Netzwerkisolation und verbesserte Sicherheit.
ecs-snapshot-policy-timepoints-check	ECS-Automatische Momentaufnahme-Richtlinien-Zeitpunkte angemessen konfiguriert	Die Zeitpunkte für die Momentaufnahmeerstellung in der automatischen Momentaufnahme-Richtlinie liegen innerhalb des angegebenen Zeitbereichs und gelten als konform. Das Erstellen von Momentaufnahmen reduziert vorübergehend die Block-Speicher-I/O-Leistung, wobei die Leistungsunterschiede im Allgemeinen innerhalb von 10% liegen und kurze Verlangsamungen verursachen. Es wird empfohlen, Zeitpunkte zu wählen, die Geschäftsspitzenzeiten vermeiden.
eip-delete-protection-enabled	EIP-Löschschutz aktiviert	Stellt sicher, dass EIP-Instanzen Löschschutz aktiviert haben.
elasticsearch-instance-enabled-data-node-encryption	Elasticsearch-Datenknoten-Verschlüsselung aktiviert	Stellt sicher, dass Datenknoten in der Elasticsearch-Instanz Disk-Verschlüsselung aktiviert haben.
elasticsearch-instance-enabled-node-config-disk-encryption	ES-Knoten-Konfiguration Festplattenverschlüsselung	Stellt sicher, dass Elasticsearch-Elastikknoten-Konfigurationen Festplattenverschlüsselung aktiviert haben.
elasticsearch-instance-multi-zone	Elasticsearch-Instanz Multi-Zonen-Bereitstellung	Elasticsearch-Instanzen sollten über mehrere Verfügbarkeitszonen hinweg bereitgestellt werden.
emr-cluster-master-public-access-check	EMR-Cluster-Master-Knoten öffentlicher Zugriffsprüfung	EMR on ECS-Cluster-Master-Knoten sollten keine öffentliche IP aktiviert haben.
ess-group-health-check	ESS-Skalierungsgruppe Gesundheitsprüfung	ESS-Skalierungsgruppen sollten ECS-Instanz-Gesundheitsprüfung aktivieren, um sicherzustellen, dass nur gesunde Instanzen im Dienst sind.
ess-scaling-configuration-attach-security-group	ESS-Skalierungskonfiguration Sicherheitsgruppe	ESS-Skalierungskonfigurationen sollten Sicherheitsgruppen an Instanzen anhängen, um ordnungsgemäße Netzwerkisolation und Zugriffskontrolle zu gewährleisten.
ess-scaling-configuration-enabled-internet-check	ESS-Skalierungskonfiguration Internetzugriffsprüfung	Stellt sicher, dass ESS-Skalierungskonfigurationen keine öffentlichen IP-Adressen für Instanzen aktivieren, es sei denn, es ist notwendig.
ess-scaling-configuration-image-check	ESS-Skalierungskonfiguration Bildprüfung	ESS-Skalierungskonfigurationen sollten gewartete Images verwenden, um Sicherheit und Stabilität zu gewährleisten.
ess-scaling-configuration-image-type-check	ESS-Skalierungskonfiguration Bildtyp-Prüfung	ESS-Skalierungskonfigurationen sollten Bilder aus angegebenen Quellen für bessere Sicherheit und Verwaltung verwenden.
ess-scaling-group-attach-multi-switch	ESS-Skalierungsgruppe Multi-VSwitch	ESS-Skalierungsgruppen sollten für Hochverfügbarkeit über mehrere Zonen hinweg mit mindestens zwei VSwitches verknüpft sein.
ess-scaling-group-attach-slb	ESS-Skalierungsgruppe SLB anhängen	ESS-Skalierungsgruppen sollten an Classic Load Balancer (SLB) angehängt werden, um eine ordnungsgemäße Verkehrsverteilung zu gewährleisten.
ess-scaling-group-loadbalancer-check	ESS-Skalierungsgruppe Load Balancer Existenzprüfung	ESS-Skalierungsgruppen sollten an vorhandene und aktive Load Balancer-Instanzen angehängt werden, um eine ordnungsgemäße Datenverteilung zu gewährleisten.
fc-function-custom-domain-and-cert-enable	FC-Funktion Benutzerdefinierte Domäne Zertifikatsprüfung	FC-benutzerdefinierte Domänen sollten SSL-Zertifikate für sichere Kommunikation konfiguriert haben.
fc-function-custom-domain-and-https-enable	FC-Funktion Benutzerdefinierte Domain HTTPS-Prüfung	FC-Benutzerdefinierte Domains sollten HTTPS für sichere Kommunikation aktiviert haben.
fc-function-custom-domain-and-tls-enable	FC-Funktion Benutzerdefinierte Domain und TLS aktiviert	Stellt sicher, dass benutzerdefinierte Domains für Function Compute-Funktionen TLS aktiviert haben.
fc-function-internet-and-custom-domain-enable	FC-Service Internetzugang mit benutzerdefinierter Domäne	FC-Services mit Internetzugang sollten an benutzerdefinierte Domänen gebunden werden, um ordnungsgemäße Zugriffskontrolle zu gewährleisten.
fc-function-settings-check	FC-Funktionseinstellungsprüfung	FC-Funktionseinstellungen sollten die angegebenen Anforderungen für optimale Leistung und Sicherheit erfüllen.
fc-service-bind-role	FC-Service an RAM-Rolle gebunden	Stellt sicher, dass der Function Compute-Service eine RAM-Rolle gebunden hat.
fc-service-internet-access-disable	FC-Service Internetzugriff deaktiviert	Stellt sicher, dass der Function Compute-Service Internetzugriff deaktiviert hat, wenn er nur auf interne Ressourcen zugreifen sollte.
fc-service-log-enable	FC-Service Protokoll aktivieren	FC-Services sollten Protokollierung für Überwachung und Fehlerbehebung aktiviert haben.
fc-service-tracing-enable	FC-Service Tracing aktivieren	FC-Services sollten Tracing für Leistungsüberwachung und Debugging aktiviert haben.
fc-service-vpc-binding	FC-Service VPC-Bindung aktiviert	Stellt sicher, dass der Function Compute-Service so konfiguriert ist, dass er auf Ressourcen innerhalb eines VPC zugreift.
firewall-asset-open-protect	Cloud-Firewall-Asset-Schutz aktiviert	Stellt sicher, dass Assets durch Cloud Firewall geschützt sind.
gpdb-instance-multi-zone	GPDB-Instanz Multi-Zone-Bereitstellung	GPDB-Instanzen sollten mit einer Standby-Zone für Hochverfügbarkeit bereitgestellt werden.
gwlb-loadbalancer-multi-zone	GWLB-LoadBalancer Multi-Zone-Bereitstellung	GWLB-LoadBalancer-Instanzen sollten für hohe Verfügbarkeit über mindestens zwei Verfügbarkeitszonen hinweg bereitgestellt werden.
hbase-cluster-deletion-protection	HBase-Cluster Löschschutz aktiviert	Stellt sicher, dass HBase-Cluster Löschschutz aktiviert haben.
hbase-cluster-in-vpc	HBase-Cluster im VPC	Stellt sicher, dass der HBase-Cluster innerhalb eines VPC bereitgestellt wird.
hbase-cluster-multi-zone	HBase-Cluster Multi-Zonen-Bereitstellung	HBase-Cluster sollten im Clustermodus mit mindestens 2 Knoten für Hochverfügbarkeit bereitgestellt werden.
internet-nat-gateway-in-specified-vpc	Internet-NAT-Gateway im angegebenen VPC	Internetorientierte NAT-Gateways sollten gemäß Netzwerksicherheitsanforderungen in angegebenen VPCs erstellt werden.
intranet-nat-gateway-in-specified-vpc	Intranet NAT-Gateway im angegebenen VPC	Intranet-NAT-Gateways sollten gemäß den Netzwerksicherheitsanforderungen in angegebenen VPCs erstellt werden.
kafka-instance-multi-zone	Kafka-Instanz Multi-Zone-Bereitstellung	Kafka-Instanzen sollten für hohe Verfügbarkeit über mehrere Verfügbarkeitszonen hinweg bereitgestellt werden.
kms-instance-multi-zone	KMS-Instanz Multi-Zone-Bereitstellung	KMS-Instanzen sollten für hohe Verfügbarkeit und Disaster Recovery über mindestens zwei Verfügbarkeitszonen hinweg bereitgestellt werden.
kms-key-delete-protection-enabled	KMS-Schlüssel-Löschschutz aktiviert	KMS-Masterschlüssel hat Löschschutz aktiviert, gilt als konform. Schlüssel, die nicht im aktivierten Status sind, und Dienstschlüssel (die nicht gelöscht werden können) sind nicht anwendbar.
kms-key-rotation-enabled	KMS-Schlüssel automatische Rotation aktiviert	KMS-Benutzer-Hauptschlüssel hat automatische Rotation aktiviert, wird als konform betrachtet. Dienstschlüssel und extern importierte Schlüssel sind nicht anwendbar.
kms-secret-rotation-enabled	KMS-Geheimnis automatische Rotation aktiviert	KMS-Geheimnis hat automatische Rotation aktiviert, wird als konform betrachtet. Generische Geheimnisse sind nicht anwendbar.
lindorm-instance-in-vpc	Lindorm in VPC-Prüfung	Stellt sicher, dass Lindorm-Instanzen innerhalb eines VPC bereitgestellt werden.
lindorm-instance-multi-zone	Lindorm-Instanz Multi-Zone-Bereitstellung	Lindorm-Instanzen sollten für Multi-Zone-Bereitstellung mit mindestens 4 LindormTable-Knoten für Hochverfügbarkeit konfiguriert werden.
mongodb-instance-enabled-ssl	MongoDB-Instanz SSL aktiviert	Stellt sicher, dass MongoDB-Instanzen SSL-Verschlüsselung aktiviert haben.
mongodb-instance-encryption-byok-check	MongoDB-Instanz verwendet benutzerdefinierten Schlüssel für TDE	Stellt sicher, dass MongoDB-Instanzen benutzerdefinierte KMS-Schlüssel für Transparent Data Encryption (TDE) verwenden.
mongodb-instance-in-vpc	MongoDB-Instanz verwendet VPC-Netzwerk	Stellt sicher, dass MongoDB-Instanzen in einem Virtual Private Cloud (VPC)-Netzwerk bereitgestellt werden.
mongodb-instance-log-audit	MongoDB-Instanz Protokollprüfung aktiviert	Stellt sicher, dass MongoDB-Instanzen Protokollprüfung aktiviert haben.
mongodb-instance-multi-node	MongoDB-Instanz verwendet mehrere Knoten	Stellt sicher, dass MongoDB-Instanzen mit mehreren Knoten für Hochverfügbarkeit bereitgestellt werden.
mongodb-instance-multi-zone	MongoDB-Instanz Multi-Zone-Bereitstellung	MongoDB-Instanzen sollten über mehrere Verfügbarkeitszonen hinweg für Hochverfügbarkeit bereitgestellt werden.
mongodb-instance-release-protection	MongoDB-Instanz Freigabeschutz aktiviert	Stellt sicher, dass MongoDB-Instanzen Freigabeschutz aktiviert haben.
mse-cluster-config-auth-enabled	MSE-Cluster Config Auth aktiviert	Stellt sicher, dass das Konfigurationszentrum des Microservices Engine (MSE)-Clusters Authentifizierung aktiviert hat.
mse-cluster-multi-availability-area-architecture-check	MSE-Cluster Hochverfügbarkeitskonfiguration	MSE-Cluster sollten die Professional Edition mit mindestens 3 Instanzen (ungerade Zahl) für Hochverfügbarkeit verwenden.
mse-cluster-stable-version-check	MSE-Cluster verwendet stabile Version	Stellt sicher, dass die MSE-Cluster-Engine-Version größer als die minimale stabile Version ist.
mse-gateway-multi-availability-area-architecture-check	MSE-Gateway Multi-Verfügbarkeitszonen-Bereitstellung	MSE-Gateways sollten durch Konfigurieren eines Backup-VSwitch über mehrere Verfügbarkeitszonen hinweg bereitgestellt werden.
nas-filesystem-mount-target-access-group-check	NAS-Mount-Ziel Zugriffsgruppenprüfung	Stellt sicher, dass NAS-Mount-Ziele 'DEFAULT_VPC_GROUP_NAME' nicht verwenden.
natgateway-delete-protection-enabled	NAT-Gateway Löschschutz aktiviert	Stellt sicher, dass NAT-Gateways Löschschutz aktiviert haben.
natgateway-eip-used-check	NAT-Gateway EIP-Verwendungsprüfung	SNAT und DNAT sollten nicht dasselbe EIP verwenden, um potenzielle Konflikte zu vermeiden und die Netzwerksegmentierung zu verbessern.
natgateway-snat-eip-bandwidth-check	NAT-Gateway SNAT EIP-Bandbreitenkonsistenz	Wenn SNAT-Einträge an mehrere EIPs gebunden sind, sollten die Bandbreiten-Peak-Einstellungen konsistent sein oder sie sollten zu einem gemeinsamen Bandbreitenpaket hinzugefügt werden.
nlb-loadbalancer-multi-zone	NLB LoadBalancer Multi-Zonen-Bereitstellung	NLB LoadBalancer-Instanzen sollten über mindestens zwei Verfügbarkeitszonen für Hochverfügbarkeit bereitgestellt werden.
nlb-server-group-multi-zone	NLB-Server-Gruppe Multi-Zone-Verteilung	NLB-Server-Gruppen sollten Backend-Server für hohe Verfügbarkeit über mehrere Verfügbarkeitszonen verteilt haben. Diese Regel gilt nicht für Server-Gruppen ohne angehängte Server oder für IP-Typ-Server-Gruppen.
oss-bucket-authorize-specified-ip	OSS-Bucket autorisiert angegebene IP	Stellt sicher, dass OSS-Bucket-Richtlinien den Zugriff auf angegebene IP-Bereiche einschränken.
oss-bucket-backup-enable	OSS-Backup aktiviert	Stellt sicher, dass OSS-Buckets Backup oder Versionskontrolle aktiviert haben.
oss-bucket-logging-enabled	OSS-Bucket Protokollierung aktiviert	OSS-Buckets sollten Protokollierung aktiviert haben, um Zugriffe und Vorgänge zu verfolgen. Die Protokollierung hilft bei Sicherheitsaudits, Fehlerbehebung und Compliance-Anforderungen.
oss-bucket-remote-replication	OSS-Bucket Remote-Replikation aktiviert	Stellt sicher, dass die regionsübergreifende Replikation für den OSS-Bucket für die Notfallwiederherstellung aktiviert ist.
oss-bucket-tls-version-check	OSS-Bucket TLS-Versionsprüfung	Stellt sicher, dass der OSS-Bucket so konfiguriert ist, dass er eine sichere TLS-Version (TLS 1.2 oder höher) verwendet.
oss-bucket-versioning-enabled	OSS-Bucket Versionsverwaltung aktiviert	OSS-Bucket sollte Versionsverwaltung aktiviert haben, um vor versehentlichem Löschen oder Überschreiben zu schützen.
oss-default-encryption-kms	OSS-Bucket serverseitige KMS-Verschlüsselung aktiviert	OSS-Bucket hat serverseitige KMS-Verschlüsselung aktiviert, wird als konform betrachtet.
oss-encryption-byok-check	OSS-Bucket BYOK-Verschlüsselungsprüfung	OSS-Buckets sollten kundenseitig verwaltete KMS-Schlüssel (BYOK - Bring Your Own Key) für die Verschlüsselung verwenden. Dies bietet eine bessere Kontrolle über Verschlüsselungsschlüssel und erfüllt Compliance-Anforderungen.
oss-zrs-enabled	OSS-Bucket zonenredundanter Speicher aktiviert	OSS-Buckets sollten zonenredundanten Speicher (ZRS) für hohe Verfügbarkeit und Datenbeständigkeit verwenden.
ots-instance-multi-zone	OTS-Instanz Zonenredundanter Speicher	Stellt sicher, dass Tablestore (OTS)-Instanzen zonenredundanten Speicher für Hochverfügbarkeit verwenden.
ots-instance-network-not-normal	OTS eingeschränkter Netzwerktyp	Stellt sicher, dass Table Store (OTS)-Instanzen nicht den 'Normal' (uneingeschränkten) Netzwerktyp verwenden.
pai-eas-instances-multi-zone	PAI EAS-Instanz Multi-Zonen-Bereitstellung	Stellt sicher, dass PAI EAS-Instanzen über mehrere Zonen hinweg für hohe Verfügbarkeit bereitgestellt werden.
polardb-cluster-default-time-zone-not-system	PolarDB-Cluster Standard-Zeitzone nicht System	Stellt sicher, dass die Standard-Zeitzone des PolarDB-Clusters nicht auf SYSTEM gesetzt ist.
polardb-cluster-delete-protection-enabled	PolarDB-Cluster-Löschschutz aktiviert	Stellt sicher, dass PolarDB-Cluster den Löschschutz aktiviert haben.
polardb-cluster-enabled-ssl	PolarDB-Cluster SSL aktiviert	Stellt sicher, dass PolarDB-Cluster SSL-Verschlüsselung aktiviert haben.
polardb-cluster-multi-zone	PolarDB-Cluster Multi-Zone-Bereitstellung	PolarDB-Cluster sollten für hohe Verfügbarkeit über mehrere Verfügbarkeitszonen bereitgestellt werden.
polardb-dbcluster-in-vpc	PolarDB-Cluster in VPC	Stellt sicher, dass der PolarDB-Cluster in einem VPC bereitgestellt wird.
polardb-revision-version-used-check	PolarDB Revisionsversion Verwendungsprüfung	Stellt sicher, dass der PolarDB-Cluster eine stabile Kernel-Revisionsversion verwendet.
polardb-x2-instance-multi-zone	PolarDB-X 2.0-Instanz Multi-Zone-Bereitstellung	PolarDB-X 2.0-Instanzen sollten über 3 Verfügbarkeitszonen hinweg bereitgestellt werden.
privatelink-server-endpoint-multi-zone	PrivateLink VPC-Endpunkt-Service Multi-Zone-Bereitstellung	PrivateLink VPC-Endpunkt-Services sollten Ressourcen für hohe Verfügbarkeit über mehrere Verfügbarkeitszonen hinweg bereitgestellt haben.
privatelink-servier-endpoint-multi-zone	PrivateLink Service Endpoint Multi-Zone-Bereitstellung	Stellt sicher, dass PrivateLink-Service-Endpunkte über mehrere Zonen hinweg für Hochverfügbarkeit bereitgestellt werden.
ram-password-policy-check	RAM-Passwortrichtlinien-Prüfung	Stellt sicher, dass die RAM-Passwortrichtlinie die festgelegten Sicherheitsanforderungen erfüllt.
ram-policy-no-has-specified-document	RAM-Richtlinie Kein Angegebenes Dokument	Stellt sicher, dass benutzerdefinierte RAM-Richtlinien nicht die angegebene Berechtigungskonfiguration enthalten.
ram-role-has-specified-policy	RAM-Rolle hat angegebene Richtlinie	Stellt sicher, dass RAM-Rollen die angegebenen Richtlinien angehängt haben.
ram-role-no-product-admin-access	RAM-Rolle Kein Produkt-Admin-Zugriff	Stellt sicher, dass RAM-Rollen keinen vollständigen Administratorzugriff oder Produkt-Administratorberechtigungen haben.
ram-user-activated-ak-quantity-check	RAM-Benutzer aktive AK-Mengenprüfung	Stellt sicher, dass RAM-Benutzer nicht mehr als einen aktiven AccessKey haben.
ram-user-ak-create-date-expired-check	RAM-Benutzer AccessKey Erstellungsdatum Ablaufprüfung	Stellt sicher, dass RAM-Benutzer AccessKeys nicht älter als die angegebene Anzahl von Tagen sind.
ram-user-ak-used-expired-check	RAM-Benutzer AccessKey letztes Verwendungsdatum-Prüfung	Stellt sicher, dass RAM-Benutzer AccessKeys innerhalb der angegebenen Anzahl von Tagen verwendet wurden.
ram-user-has-specified-policy	RAM-Benutzer hat angegebene Richtlinie	Stellt sicher, dass RAM-Benutzer die erforderlichen Richtlinien angehängt haben, einschließlich derer, die von Gruppen geerbt wurden.
ram-user-login-check	RAM-Benutzer Login-Aktivierungsprüfung	Stellt sicher, dass RAM-Benutzer, die keinen Konsolenzugriff benötigen, Login deaktiviert haben.
ram-user-no-has-specified-policy	RAM-Benutzer keine angegebene Richtlinie	Stellt sicher, dass RAM-Benutzer keine angegebenen riskanten Richtlinien angehängt haben.
ram-user-no-product-admin-access	RAM-Benutzer kein Produkt-Administrativzugriff	Stellt sicher, dass RAM-Benutzer keinen vollständigen administrativen Zugriff auf Cloud-Produkte haben, es sei denn, es ist notwendig.
ram-user-role-no-product-admin-access	RAM-Benutzerrolle Kein Produkt-Admin-Zugriff	Stellt sicher, dass RAM-benutzerdefinierte Rollen keine Produkt-Administratorberechtigungen haben.
ram-user-specified-permission-bound	RAM-Benutzer Angegebene Berechtigungsgrenze	Stellt sicher, dass RAM-Benutzer keine angegebenen Hochrisiko-Berechtigungen gebunden haben.
rds-instacne-delete-protection-enabled	RDS-Instanz-Löschschutz aktiviert	Stellt sicher, dass RDS-Instanzen den Löschschutz aktiviert haben.
rds-instance-enabled-auditing	RDS-Instanz-Überwachung aktiviert	Stellt sicher, dass RDS-Instanzen SQL-Überwachung aktiviert haben.
rds-instance-enabled-log-backup	RDS-Instanz Log-Backup aktiviert	Stellt sicher, dass RDS-Instanzen Log-Backup aktiviert haben.
rds-instance-enabled-ssl	RDS-Instanz SSL aktiviert	Stellt sicher, dass RDS-Instanzen SSL-Verschlüsselung aktiviert haben.
rds-instance-enabled-tde-disk-encryption	RDS-Instanz TDE oder Festplattenverschlüsselung aktiviert	RDS-Instanz sollte TDE (Transparent Data Encryption) oder Festplattenverschlüsselung aktiviert haben.
rds-instance-has-guard-instance	RDS-Instanz hat Guard-Instanz	Stellt sicher, dass Produktions-RDS-Instanzen eine entsprechende Guard-Instanz (Notfallwiederherstellung) haben.
rds-instances-in-vpc	RDS-Instanz in VPC	Stellt sicher, dass die RDS-Instanz innerhalb eines VPC bereitgestellt wird.
rds-multi-az-support	RDS-Instanz Multi-AZ-Bereitstellung	RDS-Instanzen sollten für hohe Verfügbarkeit und automatisches Failover in Multi-AZ-Konfiguration bereitgestellt werden.
redis-architecturetype-cluster-check	Redis-Architekturtyp Cluster-Prüfung	Stellt sicher, dass die Redis-Instanz den Cluster-Architekturtyp verwendet.
redis-instance-backup-log-enabled	Redis-Instanz Log-Backup aktiviert	Stellt sicher, dass Log-Backup für die Redis-Instanz aktiviert ist.
redis-instance-double-node-type	Redis-Instanz Doppelknotentyp	Stellt sicher, dass Redis-Instanz den Doppelknotentyp für Hochverfügbarkeit verwendet.
redis-instance-enabled-byok-tde	Redis-Instanz BYOK TDE aktiviert	Stellt sicher, dass Redis-Instanzen Transparent Data Encryption (TDE) mit Bring Your Own Key (BYOK) aktiviert haben.
redis-instance-enabled-ssl	Redis-Instanz SSL aktiviert	Stellt sicher, dass Redis-Instanzen SSL-Verschlüsselung aktiviert haben.
redis-instance-in-vpc	Redis-Instanz in VPC	Stellt sicher, dass die Redis-Instanz in einem VPC bereitgestellt wird.
redis-instance-multi-zone	Redis-Instanz Multi-Zone-Bereitstellung	Redis-Instanzen sollten für hohe Verfügbarkeit über mehrere Verfügbarkeitszonen bereitgestellt werden.
redis-instance-release-protection	Redis-Instanz Freigabeschutz aktiviert	Stellt sicher, dass Redis-Instanzen Freigabeschutz aktiviert haben.
redis-instance-tls-version-check	Redis-Instanz TLS-Versionsprüfung	Stellt sicher, dass die Redis-Instanz SSL mit einer akzeptablen TLS-Version aktiviert hat.
redis-min-capacity-limit	Redis Mindestkapazitätsgrenze	Stellt sicher, dass die Redis-Instanz eine Speicherkapazität hat, die die Mindestanforderung erfüllt.
rocketmq-v5-instance-multi-zone	RocketMQ 5.0 Instanz Multi-Zone-Bereitstellung	RocketMQ 5.0-Instanzen sollten im Cluster-HA-Modus bereitgestellt werden, der Multi-Zone-Verfügbarkeit unterstützt.
security-center-version-check	Sicherheitszentrum Versionsprüfung	Das Sicherheitszentrum sollte eine Version sein, die ausreichende Schutzfunktionen bietet.
slb-all-listener-enabled-acl	SLB Alle Listener haben Zugriffskontrolle	Alle laufenden Listener von SLB-Instanzen sollten Zugriffssteuerungslisten (ACL) für die Sicherheit konfiguriert haben.
slb-all-listener-http-disabled	SLB Alle Listener HTTP deaktiviert	Stellt sicher, dass keine SLB-Listener das unsichere HTTP-Protokoll verwenden.
slb-all-listener-http-redirect-https	SLB HTTP-Weiterleitung zu HTTPS aktiviert	Stellt sicher, dass SLB-HTTP-Listener so konfiguriert sind, dass Datenverkehr zu HTTPS weitergeleitet wird.
slb-all-listenter-has-server	SLB alle Listener haben Backend-Server	Alle Listener von SLB-Instanzen sollten mindestens die angegebene Anzahl von Backend-Servern angehängt haben.
slb-all-listenter-tls-policy-check	SLB Listener TLS-Richtlinien-Prüfung	Stellt sicher, dass SLB HTTPS-Listener sichere TLS-Verschlüsselungsrichtlinien verwenden.
slb-default-server-group-multi-server	SLB-Standard-Servergruppe hat mehrere Server	Die Standard-Servergruppe von SLB-Instanzen sollte mindestens zwei Server haben, um einen Single Point of Failure zu vermeiden.
slb-instance-autorenewal-check	SLB-Instanz Auto-Verlängerungsprüfung	Vorausbezahlte SLB-Instanzen sollten Auto-Verlängerung aktiviert haben, um Dienstunterbrechungen zu vermeiden.
slb-instance-default-server-group-multi-zone	SLB Standard-Server-Gruppe Multi-Zone	Die Standard-Server-Gruppe von SLB-Instanzen sollte Ressourcen über mehrere Verfügbarkeitszonen verteilt haben.
slb-instance-log-enabled	SLB-Instanz-Protokollierung aktiviert	Stellt sicher, dass Zugriffsprotokollierung für die SLB-Instanz aktiviert ist.
slb-instance-multi-zone	SLB-Instanz Multi-Zone-Bereitstellung	SLB-Instanzen sollten über mehrere Zonen hinweg bereitgestellt werden, indem sowohl Master- als auch Slave-Zonen für hohe Verfügbarkeit konfiguriert werden.
slb-instance-spec-check	SLB-Instanz-Spezifikationsprüfung	SLB-Instanz-Spezifikationen sollten die erforderlichen Leistungskriterien basierend auf der angegebenen Liste erfüllen.
slb-listener-https-enabled	SLB-Listener HTTPS aktiviert	Stellt sicher, dass SLB-Listener das HTTPS-Protokoll für sichere Kommunikation verwenden.
slb-loadbalancer-in-vpc	SLB im VPC Prüfung	Stellt sicher, dass SLB-Instanzen innerhalb eines Virtual Private Cloud (VPC) bereitgestellt werden.
slb-master-slave-server-group-multi-zone	SLB Master-Slave-Server-Gruppe Multi-Zone	Die Master-Slave-Server-Gruppe von SLB-Instanzen sollte Ressourcen über mehrere Verfügbarkeitszonen verteilt haben.
slb-no-public-ip	SLB-Instanz Keine öffentliche IP	SLB-Instanzen sollten keine öffentlichen IP-Adressen haben, um die Angriffsfläche zu reduzieren.
slb-vserver-group-multi-zone	SLB VServer-Gruppe Multi-Zonen-Bereitstellung	Stellt sicher, dass SLB-VServer-Gruppen Instanzen aus mehreren Verfügbarkeitszonen enthalten.
sls-logstore-enabled-encrypt	SLS-Logstore Verschlüsselung aktiviert	Stellt sicher, dass SLS-Logstores serverseitige Verschlüsselung aktiviert haben.
sls-logstore-encrypt-key-origin-check	SLS-Logstore Verschlüsselungsschlüssel-Herkunftsprüfung	Stellt sicher, dass SLS-Logstores extern importiertes Schlüsselmaterial (BYOK) für die Verschlüsselung verwenden, was eine bessere Kontrolle über Verschlüsselungsschlüssel bietet.
sls-project-multi-zone	SLS-Projekt Zonenredundanter Speicher	SLS-Projekte sollten zonenredundanten Speicher (ZRS) für Hochverfügbarkeit und Datenbeständigkeit verwenden.
vpc-flow-logs-enabled	VPC-Flussprotokolle aktiviert	Stellt sicher, dass VPC-Flussprotokolle für die Überwachung des Netzwerkverkehrs aktiviert sind.
vpc-network-acl-not-empty	VPC-Netzwerk-ACL nicht leer	Stellt sicher, dass VPC-Netzwerk-ACLs mindestens eine Regel konfiguriert haben.
vpn-connection-master-slave-established	VPN-Verbindung Dual-Tunnel eingerichtet	Verwenden Sie ein Dual-Tunnel-VPN-Gateway und beide Master- und Slave-Tunnel sind mit dem Peer eingerichtet.
vpn-gateway-multi-zone	VPN-Gateway Multi-Zonen-Bereitstellung	VPN-Gateways sollten mit einem Disaster-Recovery-VSwitch konfiguriert werden, um Multi-Zonen-Verfügbarkeit zu unterstützen.
vswitch-available-ip-count	VSwitch Verfügbare IP-Anzahlprüfung	Stellt sicher, dass der VSwitch eine ausreichende Anzahl verfügbarer IP-Adressen hat.
waf-instance-logging-enabled	WAF-Instanz Protokollierung aktiviert	Stellt sicher, dass die Protokollierung für die WAF-Instanz für die Überwachung und Sicherheitsanalyse aktiviert ist.
waf3-defense-resource-logging-enabled	WAF 3.0 Protokollierung aktiviert	Stellt sicher, dass die Protokollierung für von WAF 3.0 geschützte Ressourcen aktiviert ist.

Niedrig Schweregrad (40 Regeln)

Regel-ID	Name	Beschreibung
ack-cluster-spec-check	ACK-Cluster-Spezifikationsprüfung	Stellt sicher, dass ACK-Cluster genehmigte Spezifikationen (z. B. ACK Pro) verwenden.
alb-address-type-check	ALB-Adresstyp-Prüfung	Stellt sicher, dass ALB-Instanzen den bevorzugten Adresstyp (z. B. Intranet) verwenden.
apig-group-custom-trace-enabled	API Gateway Gruppe Benutzerdefinierte Verfolgung aktiviert	Stellt sicher, dass API Gateway-Gruppen benutzerdefinierte Verfolgung aktiviert haben.
cr-repository-immutablity-enable	Container Registry Repository Bildversion ist unveränderlich	Container Registry Repository Bildversion ist unveränderlich, was als konform gilt.
eci-container-group-volumn-mounts	ECI-Volumen-Mount-Prüfung	Stellt sicher, dass ECI-Containergruppen Volumes für persistente Datenspeicherung gemountet haben.
ecs-disk-auto-snapshot-policy	ECS-Disk hat automatische Snapshot-Richtlinie konfiguriert	ECS-Disk hat automatische Snapshot-Richtlinie konfiguriert, wird als konform betrachtet. Nicht verwendete Disks, Disks, die keine automatische Snapshot-Richtlinie unterstützen, und nicht persistente Disks, die von ACK-Clustern gemountet werden, sind nicht anwendbar. Nach Aktivierung der automatischen Snapshot-Richtlinie erstellt Alibaba Cloud automatisch Snapshots für Cloud-Disks gemäß voreingestellten Zeitpunkten und Zyklen, was eine schnelle Wiederherstellung nach Virenbefall oder Ransomware-Angriffen ermöglicht.
ecs-disk-idle-check	ECS-Disk-Leerlaufprüfung	Stellt sicher, dass ECS-Disks an eine Instanz angehängt sind und nicht im Leerlaufzustand sind.
ecs-disk-regional-auto-check	ECS-Disk-Zonenredundanter ESSD-Speicher	ECS-Datendisks sollten zonenredundanten ESSD-Speicher für hohe Verfügbarkeit verwenden. Systemdisks sind für diese Regel nicht anwendbar.
ecs-instance-chargetype-check	ECS-Instanz-Gebührentyp-Prüfung	Stellt sicher, dass ECS-Instanzen den autorisierten Gebührentyp verwenden.
ecs-instance-multiple-eni-check	ECS-Instanz ist nur an eine elastische Netzwerkschnittstelle gebunden	ECS-Instanzen sind nur an eine elastische Netzwerkschnittstelle gebunden, was als konform gilt. Dies hilft, die Netzwerkkonfiguration zu vereinfachen und die Komplexität zu reduzieren.
ecs-instance-ram-role-attached	ECS-Instanz RAM-Rolle angehängt	Stellt sicher, dass ECS-Instanzen eine IAM-Rolle angehängt haben, um sicher auf andere Cloud-Dienste zuzugreifen.
ecs-internet-charge-type-check	ECS Internet-Abrechnungstyp-Prüfung	Stellt sicher, dass ECS-Instanzen den bevorzugten Internet-Abrechnungstyp verwenden.
ecs-security-group-description-check	Sicherheitsgruppe Beschreibung nicht leer	Die Beschreibung der Sicherheitsgruppe sollte nicht leer sein. Eine Beschreibung hilft bei der Verwaltung und Prüfung.
ecs-security-group-type-not-normal	Unternehmens-Sicherheitsgruppentyp verwenden	Der ECS-Sicherheitsgruppentyp sollte nicht der normale Typ sein. Die Verwendung von Unternehmens-Sicherheitsgruppen gilt als konform.
ecs-snapshot-retention-days	ECS automatische Snapshot-Aufbewahrungstage erfüllen Anforderungen	ECS automatische Snapshot-Richtlinie Aufbewahrungstage ist größer als die angegebene Anzahl von Tagen, wird als konform betrachtet. Standardwert: 7 Tage.
ecs-system-disk-size-check	ECS-Systemfestplatten-Größenprüfung	Stellt sicher, dass ECS-Systemfestplatten die Mindestgrößenanforderung erfüllen.
eip-attached	EIP angehängt	Stellt sicher, dass EIP-Instanzen einer Ressource zugeordnet sind.
eip-bandwidth-limit	EIP-Bandbreitenlimit	Stellt sicher, dass die EIP-Bandbreite einen angegebenen Maximalwert nicht überschreitet.
hbase-cluster-type-check	HBase-Cluster-Typ-Prüfung	Stellt sicher, dass der HBase-Cluster vom angegebenen oder empfohlenen Typ ist.
metadata-ros-composer-check	Vorlagen-Metadaten ALIYUN::ROS::Composer Prüfung	Vorlage muss Metadata.ALIYUN::ROS::Composer konfiguriert haben. Der Wert muss ein Wörterbuch (Objekt) sein.
nas-filesystem-encrypt-type-check	NAS-Dateisystem-Verschlüsselung konfiguriert	NAS-Dateisystem hat Verschlüsselung konfiguriert, gilt als konform.
oss-bucket-referer-limit	OSS-Bucket Referer-Hotlink-Schutz konfiguriert	OSS-Bucket hat Referer-Hotlink-Schutz mit konfigurierter Whitelist aktiviert.
polardb-cluster-maintain-time-check	PolarDB-Cluster Wartungsfenster-Prüfung	Stellt sicher, dass der PolarDB-Cluster ein Wartungsfenster konfiguriert hat.
ram-group-has-member-check	RAM-Gruppe hat Mitglied	Stellt sicher, dass RAM-Gruppen mindestens ein Mitglied haben.
ram-group-in-use-check	RAM-Gruppe In Verwendung Prüfung	Stellt sicher, dass RAM-Gruppen nicht im Leerlauf sind - müssen mindestens ein Mitglied und mindestens eine angehängte Richtlinie haben.
ram-policy-in-use-check	RAM-Richtlinie In Verwendung Prüfung	Stellt sicher, dass RAM-Richtlinien an mindestens einen RAM-Benutzer, eine Gruppe oder eine Rolle angehängt sind.
ram-user-group-membership-check	RAM-Benutzer Gruppenmitgliedschaftsprüfung	Stellt sicher, dass RAM-Benutzer zu mindestens einer Gruppe gehören, um die Berechtigungsverwaltung zu erleichtern.
ram-user-last-login-expired-check	RAM-Benutzer letzte Anmeldung-Prüfung	Prüft, ob RAM-Benutzer seit langer Zeit nicht angemeldet waren.
ram-user-no-policy-check	RAM-Benutzer hat Richtlinie	Stellt sicher, dass RAM-Benutzer mindestens eine Richtlinie angehängt haben.
rds-instance-maintain-time-check	RDS-Instanz Wartungsfenster-Prüfung	Stellt sicher, dass die RDS-Instanz ein Wartungsfenster konfiguriert hat.
rds-instance-storage-autoscale-enable	RDS-Speicher-Autoscale aktiviert	Stellt sicher, dass RDS-Instanzen Speicher-Autoscale aktiviert haben, um Ausfallzeiten aufgrund voller Festplatten zu verhindern.
redis-instance-backup-time-check	Redis-Instanz Backup-Fenster-Prüfung	Stellt sicher, dass die Redis-Instanz ein Backup-Fenster konfiguriert hat.
root-has-specified-role	Root-Konto hat angegebene Rolle	Stellt sicher, dass das Root-Konto eine angegebene RAM-Rolle für Governance und Verwaltung hat.
slb-backendserver-weight-check	SLB-Backend-Server-Gewichtsprüfung	Stellt sicher, dass SLB-Backend-Server vernünftige Gewichtskonfigurationen haben.
slb-instance-loadbalancerspec-check	SLB-Instanz Spezifikationsprüfung	Stellt sicher, dass SLB-Instanzen genehmigte Leistungsspezifikationen verwenden.
slb-loadbalancer-bandwidth-limit	SLB-Bandbreitenlimit	Stellt sicher, dass die Bandbreite der SLB-Instanz einen angegebenen Maximalwert nicht überschreitet.
slb-modify-protection-check	SLB Änderungsschutz aktiviert	Stellt sicher, dass SLB-Instanzen Änderungsschutz aktiviert haben.
sls-logstore-hot-ttl-check	SLS Logstore Smart Tier Storage aktiviert	Stellt sicher, dass SLS-Logstores intelligentes Hot/Cold-Tier-Speicher für die Kostenoptimierung aktiviert haben.
vpn-gateway-enabled-ssl-vpn	VPN-Gateway SSL-VPN aktiviert	Stellt sicher, dass das VPN-Gateway SSL-VPN für sicheren Client-Zugriff aktiviert hat.
vpn-ipsec-connection-health-check-open	VPN IPsec Health Check aktiviert	Stellt sicher, dass VPN-IPsec-Verbindungen Health Checks aktiviert haben, um Tunnelausfälle zu erkennen.

---

Dieses Dokument wird automatisch aus den Richtlinien-Metadaten generiert.