Aliyun Reglas

Total de reglas: 317

Reglas por Severidad

Alta Severidad (98 Reglas)

ID de Regla	Nombre	Descripción
ack-cluster-node-multi-zone	Despliegue Multi-zona del Cluster ACK	Los nodos del clúster ACK deben distribuirse en 3 o más zonas de disponibilidad para alta disponibilidad.
ack-cluster-public-endpoint-check	Verificación de Endpoint Público del Cluster ACK	Los clústeres ACK no deben tener un endpoint público configurado, o el listener SLB asociado debe tener ACL habilitado.
acs-cluster-node-multi-zone	Despliegue Multi-Zona de Nodos de Clúster ACS	Los nodos del clúster ACS deben distribuirse en 3 o más zonas de disponibilidad para alta disponibilidad.
actiontrail-enabled	ActionTrail Habilitado	Garantiza que ActionTrail esté habilitado para registrar actividades de la cuenta.
actiontrail-trail-intact-enabled	Trilha ActionTrail Intacta Habilitada	La trilha ActionTrail debe estar habilitada y rastrear todos los tipos de eventos (Lectura y Escritura).
alb-acl-public-access-check	La ACL ALB No Permite Acceso Público	Garantiza que las listas de control de acceso ALB no contengan 0.0.0.0/0 (permitiendo todas las IPs).
alb-all-listener-health-check-enabled	Verificación de Salud de Todos los Oyentes ALB Habilitada	Garantiza que todos los oyentes ALB tengan verificaciones de salud habilitadas.
alb-delete-protection-enabled	Protección de Eliminación de Instancia ALB Habilitada	Garantiza que las instancias ALB tengan protección contra eliminación habilitada.
alb-instance-multi-zone	Despliegue Multi-zona de Instancia ALB	Las instancias ALB deben implementarse en múltiples zonas de disponibilidad para alta disponibilidad. Si solo se selecciona una zona, una falla en la zona afectará la instancia ALB y la estabilidad del negocio.
alb-instance-waf-enabled	La Instancia ALB Tiene Protección WAF	Garantiza que las instancias ALB tengan protección WAF3 (Web Application Firewall) habilitada.
alb-server-group-multi-server	El Grupo de Servidores ALB Tiene Múltiples Servidores	Garantiza que los grupos de servidores ALB contengan al menos dos servidores backend para alta disponibilidad.
alidns-route-53-mx-check	Registro MX de DNS Tiene SPF Válido en Registro TXT Asociado	Garantiza que los registros MX tengan registros TXT asociados con valores SPF válidos para validación de correo electrónico.
api-gateway-group-force-https	Forzar HTTPS del Grupo de API Gateway	Garantiza que los grupos de API Gateway con dominios personalizados públicos tengan redirección forzada HTTPS habilitada.
bastionhost-instance-expired-check	Verificación de Expiración de Instancia BastionHost	Las instancias BastionHost prepagadas deben tener renovación automática habilitada.
cdn-domain-multiple-origin-servers	Múltiples Servidores de Origen de Dominio CDN	Los dominios CDN deben configurarse con múltiples servidores de origen para alta disponibilidad y tolerancia a fallos.
cr-instance-any-ip-access-check	Instancia CR Sin Acceso de Cualquier IP	Garantiza que las instancias de Container Registry no tengan ninguna IP (0.0.0.0/0) en su lista blanca.
cr-repository-image-scanning-enabled	Escaneo de Imagen de Instancia CR Habilitado	Garantiza que las instancias de Container Registry tengan escaneo de imágenes habilitado para la detección de vulnerabilidades de seguridad.
cr-repository-type-private	Tipo de Repositorio CR Privado	Garantiza que los repositorios CR estén configurados como PRIVADOS.
dcdn-domain-multiple-origin-servers	Dominio DCDN Múltiples Servidores de Origen	Los dominios DCDN deben configurarse con múltiples servidores de origen para alta disponibilidad y tolerancia a fallos.
eci-containergroup-environment-no-specified-keys	El Grupo de Contenedores ECI No Contiene Variables de Entorno Sensibles	Garantiza que los grupos de contenedores ECI no tengan variables de entorno sensibles como contraseñas o claves de acceso.
ecs-available-disk-encrypted	Cifrado de Disco ECS Habilitado	Garantiza que todos los discos ECS estén cifrados.
ecs-instance-attached-security-group	Instancia ECS con Grupo de Seguridad Adjunto	Si la instancia ECS está incluida en el grupo de seguridad especificado, la configuración se considera conforme.
ecs-instance-deletion-protection-enabled	Protección de Eliminación de Instancia ECS Habilitada	Asegura que las instancias ECS tengan habilitada la protección contra eliminación.
ecs-instance-enabled-security-protection	Protección de Seguridad de Instancia ECS Habilitada	Garantiza que las instancias ECS tengan estrategia de mejora de seguridad habilitada.
ecs-instance-expired-check	Verificación de Expiración de Instancia Prepagada ECS	Las instancias prepagadas deben tener renovación automática habilitada para evitar la interrupción del servicio debido a la expiración.
ecs-instance-no-public-ip	La Instancia ECS No Debe Vincular IP Pública	Las instancias ECS no deben vincular directamente IP pública IPv4 o IP elástica, considerado conforme.
ecs-launch-template-version-attach-security-group	La Versión de Plantilla de Inicio ECS Adjunta Grupos de Seguridad	Las versiones de plantilla de inicio ECS tienen grupos de seguridad configurados para instancias, considerado conforme.
ecs-running-instance-no-public-ip	Instancia ECS Sin IP Pública	Las instancias ECS no deben tener una dirección IP pública para reducir la exposición directa a Internet.
ecs-security-group-egress-not-all-access	Egreso de Grupo de Seguridad No Establecido en Acceso Total	La dirección de egreso del grupo de seguridad no debe establecerse para permitir todo el acceso (todos los protocolos, todos los puertos, todos los destinos).
ecs-security-group-not-internet-cidr-access	IP de Origen de Ingress de Grupo de Seguridad No Incluye IP Pública	Las reglas de ingreso del grupo de seguridad con política de aceptación no deben tener IP de origen que contenga IPs públicas de internet.
ecs-security-group-not-open-all-port	Ingress de Grupo de Seguridad No Abre Todos los Puertos	Las reglas de ingreso del grupo de seguridad no deben permitir todos los puertos. Cuando el rango de puertos no está establecido en -1/-1, se considera conforme.
ecs-security-group-not-open-all-protocol	Ingress de Grupo de Seguridad No Abre Todos los Protocolos	Las reglas de ingreso del grupo de seguridad no deben permitir todos los protocolos. Cuando el tipo de protocolo no está establecido en ALL, se considera conforme.
ecs-security-group-risky-ports-check-with-protocol	Verificación de Puertos de Riesgo del Grupo de Seguridad con Protocolo	Cuando la fuente de ingreso del grupo de seguridad se establece en 0.0.0.0/0, el rango de puertos no debe incluir puertos de riesgo (22, 3389) para protocolos especificados (TCP/UDP), para reducir el riesgo de ataques de fuerza bruta.
ecs-security-group-white-list-port-check	Verificación de Ingress de Puerto No en Lista Blanca de Grupo de Seguridad	Excepto los puertos en lista blanca (80), otros puertos no deben tener reglas de ingreso que permitan el acceso desde 0.0.0.0/0.
elasticsearch-instance-enabled-kibana-public-check	La Instancia de Elasticsearch Kibana No Habilita el Acceso Público	Garantiza que la instancia de Elasticsearch Kibana no sea accesible desde redes públicas.
elasticsearch-instance-enabled-public-check	La Instancia Elasticsearch No Habilita Acceso Público	Garantiza que las instancias Elasticsearch no sean accesibles desde redes públicas.
elasticsearch-instance-node-not-use-specified-spec	La Instancia Elasticsearch No Usa Especificación Deprecada	Garantiza que las instancias Elasticsearch no usen especificaciones de nodo deprecadas o no compatibles.
elasticsearch-instance-version-not-deprecated	La Instancia de Elasticsearch No Usa Versión Obsoleta	Garantiza que las instancias de Elasticsearch no estén usando versiones obsoletas o EOL.
elasticsearch-public-and-any-ip-access-check	Verificación de Acceso Público y de Cualquier IP de Elasticsearch	Garantiza que las instancias Elasticsearch no tengan acceso público habilitado o una lista blanca abierta.
ess-scaling-configuration-data-disk-encrypted	Cifrado de Disco de Datos de Configuración de Escalado ESS	Las configuraciones de escalado ESS deben habilitar el cifrado de disco de datos para proteger los datos en reposo.
ess-scaling-configuration-sg-public-access	Acceso Público del Grupo de Seguridad de Configuración de Escalado ESS	Los grupos de seguridad de configuración de escalado ESS no deben permitir el acceso desde 0.0.0.0/0 para prevenir el acceso no autorizado.
ess-scaling-configuration-system-disk-encrypted	Cifrado de Disco del Sistema de Configuración de Escalado ESS	Las configuraciones de escalado ESS deben habilitar el cifrado del disco del sistema para proteger los datos del sistema en reposo.
fc-function-runtime-check	Verificación de Runtime de Función FC	Las funciones FC no deben usar runtimes deprecados que puedan tener vulnerabilidades de seguridad.
fc-trigger-http-not-anonymous	Verificación de Autenticación del Disparador HTTP FC	Los disparadores HTTP FC deben requerir autenticación para prevenir acceso no autorizado.
gpdb-instance-disk-encryption-enabled	Cifrado de Disco GPDB Habilitado	Garantiza que las instancias GPDB tengan cifrado de disco habilitado.
hbase-cluster-expired-check	Verificación de Expiración de Clúster HBase	Los clústeres HBase prepagados deben tener renovación automática habilitada.
hbase-cluster-ha-check	HA de Clúster HBase Habilitado	Garantiza que los clústeres HBase estén configurados para Alta Disponibilidad (HA).
kafka-instance-disk-encrypted	Disco de Instancia Kafka Cifrado	La instancia Kafka debe tener cifrado de disco habilitado durante la implementación para protección de datos.
kafka-instance-public-access-check	Acceso Público de Kafka Deshabilitado	Garantiza que las instancias Kafka no tengan acceso a la red pública.
maxcompute-project-encryption-enabled	Cifrado de Proyecto MaxCompute Habilitado	Garantiza que los proyectos MaxCompute tengan cifrado habilitado para proteger los datos almacenados.
maxcompute-project-ip-whitelist-enabled	Lista Blanca de IP del Proyecto MaxCompute Habilitada	Garantiza que los proyectos MaxCompute tengan una lista blanca de IP configurada para restringir el acceso.
mongodb-cluster-expired-check	Verificación de Expiración de Instancia MongoDB	Las instancias MongoDB prepagadas deben tener renovación automática habilitada.
mongodb-instance-class-not-shared	Instancia MongoDB Usa Clase Dedicada	Garantiza que las instancias MongoDB usen clases de instancia dedicadas o exclusivas, no instancias compartidas.
mongodb-min-maxconnections-limit	MongoDB Cumple los Requisitos Mínimos de Conexión	Garantiza que las instancias MongoDB proporcionen al menos el número mínimo requerido de conexiones.
mongodb-min-maxiops-limit	MongoDB Cumple con los Requisitos Mínimos de IOPS	Garantiza que las instancias MongoDB proporcionen al menos el IOPS mínimo requerido.
mongodb-public-access-check	Restricción de Internet de Lista Blanca MongoDB	Garantiza que las listas blancas de IP de seguridad MongoDB no contengan 0.0.0.0/0.
mongodb-public-and-any-ip-access-check	Verificación de Acceso Público y de Cualquier IP de MongoDB	Garantiza que las instancias MongoDB no tengan una lista blanca abierta (0.0.0.0/0).
mse-cluster-architecture-check	Clúster MSE Tiene Múltiples Nodos	Garantiza que los clústeres MSE (Motor de Microservicios) tengan más de 3 nodos para alta disponibilidad.
mse-cluster-internet-check	El Clúster MSE No Tiene Acceso Público a Internet	Garantiza que los clústeres MSE no tengan acceso público a Internet habilitado.
mse-gateway-architecture-check	La Puerta de Enlace MSE Tiene Múltiples Nodos	Garantiza que las puertas de enlace MSE (Motor de Microservicios) tengan más de 1 nodo para alta disponibilidad.
nas-access-group-public-access-check	Restricción de IP del Grupo de Acceso NAS	Garantiza que las reglas de acceso NAS no permitan 0.0.0.0/0.
nat-risk-ports-check	Verificación de Puertos de Riesgo de Puerta de Enlace NAT	Los mapeos DNAT de la puerta de enlace NAT no deben exponer puertos riesgosos a internet para prevenir vulnerabilidades de seguridad.
oss-bucket-anonymous-prohibited	Acceso Anónimo de Bucket OSS Prohibido	Garantiza que el acceso anónimo esté prohibido para el bucket OSS.
oss-bucket-only-https-enabled	Solo HTTPS de Bucket OSS Habilitado	El bucket OSS debe tener una política que niegue las solicitudes que no sean HTTPS para garantizar la seguridad del transporte de datos.
oss-bucket-policy-no-any-anonymous	La política de bucket OSS no otorga permisos a usuarios anónimos	La política de bucket OSS no otorga permisos de lectura o escritura a usuarios anónimos.
oss-bucket-policy-outside-organization-check	Política de Bucket OSS Sin Acceso Fuera de la Organización	Garantiza que las políticas de bucket OSS no otorguen acceso a principales fuera de la organización.
oss-bucket-public-read-prohibited	Lectura Pública de Bucket OSS Prohibida	Los buckets OSS no deben permitir acceso de lectura público a menos que sea específicamente necesario. El acceso de lectura público permite a cualquiera acceder y descargar objetos en el bucket.
oss-bucket-public-write-prohibited	Escritura Pública de Bucket OSS Prohibida	Los buckets OSS no deben permitir acceso de escritura público. El acceso de escritura público permite a cualquiera cargar, modificar o eliminar objetos en el bucket, lo que plantea riesgos de seguridad significativos.
oss-bucket-server-side-encryption-enabled	Cifrado del Lado del Servidor de Bucket OSS Habilitado	Los buckets OSS deben tener cifrado del lado del servidor habilitado para proteger los datos en reposo. El cifrado del lado del servidor usa KMS o AES256 para cifrar datos almacenados en OSS.
parameter-sensitive-noecho-check	Los Parámetros Sensibles Deben Tener NoEcho	Los parámetros de plantilla que contienen información sensible (contraseñas, claves API, secretos) deben protegerse estableciendo NoEcho en true o usando valores válidos de AssociationProperty para evitar que se muestren en texto plano.
polardb-cluster-enabled-tde	TDE de Cluster PolarDB Habilitado	Garantiza que los clústeres PolarDB tengan Transparent Data Encryption (TDE) habilitado.
polardb-cluster-expired-check	Verificación de Expiración de Cluster PolarDB	Los clústeres PolarDB prepagos deben tener renovación automática habilitada.
polardb-public-access-check	Verificación de Acceso Público de PolarDB	Garantiza que la lista blanca de IP de PolarDB no esté establecida en 0.0.0.0/0.
polardb-public-and-any-ip-access-check	Verificación de Acceso Público y de Cualquier IP de PolarDB	Garantiza que los clústeres PolarDB no tengan endpoints públicos y no estén abiertos a ninguna dirección IP (0.0.0.0/0).
ram-policy-no-statements-with-admin-access-check	Política RAM Sin Acceso de Administrador	Garantiza que las políticas RAM personalizadas no otorguen acceso completo de administrador.
ram-user-mfa-check	MFA de Usuario RAM Habilitado	Los usuarios RAM con acceso a la consola deben tener habilitada la autenticación multifactor (MFA).
rds-instance-enabled-disk-encryption	Cifrado de Disco de Instancia RDS Habilitado	Garantiza que las instancias RDS tengan cifrado de disco habilitado.
rds-instance-expired-check	Verificación de Expiración de Instancia Prepaga RDS	Las instancias RDS prepagas deben tener renovación automática habilitada.
rds-public-access-check	Verificación de Acceso Público de Instancia RDS	Las instancias RDS no deben configurarse con direcciones de red públicas. El acceso público expone las bases de datos a posibles amenazas de seguridad de internet.
rds-public-connection-and-any-ip-access-check	Verificación de Conexión Pública y Acceso de Cualquier IP de RDS	Garantiza que las instancias RDS con conexiones públicas no tengan una lista blanca abierta a todas las IPs.
rds-white-list-internet-ip-access-check	Restricción de Internet de Lista Blanca RDS	Garantiza que las listas blancas de IP de seguridad RDS no contengan 0.0.0.0/0.
redis-instance-expired-check	Verificación de Expiración de Instancia Prepaga Redis	Las instancias Redis prepagas deben tener renovación automática habilitada.
redis-instance-no-public-ip	Instancia Redis Sin IP Pública	Garantiza que la instancia Redis no tenga una IP pública asignada.
redis-instance-open-auth-mode	Modo de Autenticación Redis Habilitado	Garantiza que las instancias Redis requieran autenticación y no estén en modo 'sin contraseña'.
redis-public-and-any-ip-access-check	Verificación de Acceso Público y de Cualquier IP de Redis	Garantiza que las instancias Redis no tengan acceso público habilitado o una lista blanca abierta.
root-ak-check	Verificación de AccessKey de Usuario Root	Garantiza que la cuenta root no tenga AccessKeys activos.
root-mfa-check	Verificación de MFA de Usuario Root	Garantiza que la autenticación multifactor (MFA) esté habilitada para la cuenta root.
sg-public-access-check	Ingress de Grupo de Seguridad Válido	Las reglas de ingreso del grupo de seguridad no deben permitir todos los puertos (-1/-1) desde todas las fuentes (0.0.0.0/0) simultáneamente.
sg-risky-ports-check	El Grupo de Seguridad No Abre Puertos de Riesgo a 0.0.0.0/0	Cuando la fuente de la regla de entrada del grupo de seguridad se establece en 0.0.0.0/0, el rango de puertos no debe incluir puertos de riesgo especificados, considerado conforme. Si la fuente no es 0.0.0.0/0, es conforme incluso si se incluyen puertos de riesgo.
slb-acl-public-access-check	Verificación de Acceso Público de ACL de SLB	Garantiza que las ACL de SLB no contengan 0.0.0.0/0 para prevenir acceso público sin restricciones.
slb-all-listener-health-check-enabled	Verificación de Salud de Todos los Listeners SLB Habilitada	Garantiza que todos los listeners SLB tengan verificaciones de salud habilitadas.
slb-all-listener-servers-multi-zone	SLB Multi-zona con Servidores Backend Multi-zona	Las instancias SLB deben ser multi-zona, y todos los grupos de servidores utilizados por los listeners deben tener recursos agregados desde múltiples zonas.
slb-delete-protection-enabled	Protección contra Eliminación de Instancia SLB Habilitada	Garantiza que las instancias SLB tengan protección contra eliminación habilitada.
slb-listener-risk-ports-check	Verificación de Puertos de Riesgo del Listener SLB	Garantiza que los listeners SLB no expongan puertos de alto riesgo como 22 o 3389.
transit-router-vpc-attachment-multi-zone	Configuración Multi-Zona de Conexión VPC del Enrutador de Tránsito	Las conexiones VPC del enrutador de tránsito deben configurarse con vSwitches en al menos dos zonas de disponibilidad diferentes para alta disponibilidad entre zonas.
tsdb-instance-security-ip-check	La Instancia TSDB No Permite Acceso de Cualquier IP	Garantiza que las instancias TSDB no tengan listas blancas de seguridad que permitan todas las IPs.
use-waf-instance-for-security-protection	Usar WAF para Protección de Seguridad	El Firewall de Aplicaciones Web (WAF) debe usarse para proteger sitios web y aplicaciones de ataques basados en web.
vpc-network-acl-risky-ports-check	Verificación de Puertos de Riesgo de ACL de Red VPC	Garantiza que las ACL de red VPC no permitan acceso sin restricciones a puertos de riesgo (22, 3389).

Media Severidad (179 Reglas)

ID de Regla	Nombre	Descripción
ack-cluster-encryption-enabled	Cifrado de Secret del Cluster ACK Habilitado	Los clústeres ACK Pro deben tener cifrado de Secret en reposo habilitado usando KMS.
ack-cluster-inspect-kubelet-version-outdate-check	Verificación de Versión de Kubelet ACK	Garantiza que la versión de Kubelet en el clúster ACK esté actualizada.
ack-cluster-log-plugin-installed	Complemento de Registro de Clúster ACK Instalado	Garantiza que el complemento log-service esté instalado en el clúster ACK.
ack-cluster-rrsa-enabled	RRSA del Cluster ACK Habilitado	Garantiza que la función RAM Roles for Service Accounts (RRSA) esté habilitada para el clúster ACK.
ack-cluster-supported-version	Versión Compatible del Clúster ACK	Garantiza que el clúster ACK esté ejecutando una versión compatible.
ack-cluster-upgrade-latest-version	Clúster ACK Actualizado a la Última Versión	Garantiza que el clúster ACK esté ejecutando la última versión disponible.
adb-cluster-multi-zone	Implementación Multi-Zona del Clúster ADB	El clúster ADB debe implementarse en modo multi-zona.
alb-all-listenter-has-server	El Oyente ALB Tiene Servidor Backend	Garantiza que todos los oyentes ALB estén asociados con un grupo de servidores no vacío.
alb-instance-bind-security-group-or-enabled-acl	Instancia ALB Vincular Grupo de Seguridad o Habilitar ACL	La instancia ALB debe tener grupos de seguridad asociados o ACL configurado para todos los oyentes en ejecución.
alb-server-group-multi-zone	Distribución Multi-Zona del Grupo de Servidores ALB	Los grupos de servidores ALB deben tener servidores backend distribuidos en múltiples zonas de disponibilidad para alta disponibilidad. Esta regla no se aplica a grupos de servidores sin servidores adjuntos, ni a grupos de servidores de tipo IP/Function Compute.
alidns-domain-regex-match	Los Nombres de Dominio DNS de Alibaba Cloud Coinciden con la Convención de Nomenclatura	Garantiza que los nombres de dominio DNS de Alibaba Cloud coincidan con la expresión regular de convención de nomenclatura especificada.
api-gateway-api-auth-jwt	Autenticación JWT de API de API Gateway	Garantiza que las APIs de API Gateway usen autenticación JWT.
api-gateway-api-auth-required	Autenticación de API del Gateway de API Requerida	Garantiza que las APIs del Gateway de API tengan autenticación configurada.
api-gateway-api-internet-request-https	HTTPS de Solicitud de Internet del Gateway de API Habilitado	Garantiza que las APIs del Gateway de API expuestas a internet usen el protocolo HTTPS.
api-gateway-api-visibility-private	Visibilidad de API de API Gateway Privada	Garantiza que las API de API Gateway estén configuradas con visibilidad PRIVADA.
api-gateway-group-bind-domain	Vincular Dominio del Grupo de API Gateway	Garantiza que los grupos de API Gateway tengan dominios personalizados vinculados.
api-gateway-group-enabled-ssl	SSL de Grupo de API Gateway Habilitado	Garantiza que SSL esté habilitado para los grupos de API Gateway.
api-gateway-group-https-policy-check	Verificación de Política HTTPS del Grupo de API Gateway	Garantiza que los grupos de API Gateway tengan la política de seguridad HTTPS configurada correctamente.
api-gateway-group-log-enabled	Registro de Grupo de API Gateway Habilitado	Garantiza que los grupos de API Gateway tengan registro configurado.
apigateway-instance-multi-zone	Implementación Multi-Zona de Instancia de API Gateway	Las instancias de API Gateway deben implementarse en configuración multi-zona para alta disponibilidad.
bastionhost-instance-spec-check	Verificación de Especificación Multi-Zona de Instancia BastionHost	La instancia BastionHost debe usar la versión Enterprise que admite despliegue multi-zona.
cen-cross-region-bandwidth-check	Verificación de Ancho de Banda Inter-Región CEN	Las conexiones inter-región de instancia CEN deben tener asignación de ancho de banda suficiente para cumplir con los requisitos de rendimiento.
clickhouse-dbcluster-multi-zone	Despliegue Multi-Zona de ClickHouse DBCluster	Los clústeres ClickHouse deben usar la edición HighAvailability (Double-replica) para despliegue multi-zona. Nota: Esto se aplica solo a la edición comunitaria.
cr-instance-multi-zone	Instancia CR con Bucket OSS Redundante de Zona	Las instancias de Container Registry deben estar asociadas con buckets OSS redundantes de zona para alta disponibilidad.
ecs-disk-all-encrypted-by-kms	Disco ECS con Cifrado KMS Habilitado	Los discos ECS (incluidos el disco del sistema y los discos de datos) están cifrados con KMS, considerado conforme.
ecs-disk-encrypted	Criptografía de disco de datos ECS habilitada	El disco de datos ECS tiene cifrado habilitado, se considera conforme.
ecs-disk-in-use	El Disco ECS Está en Uso	Los discos ECS están adjuntos a una instancia o en estado de uso, considerado conforme. Los discos disponibles o no adjuntos pueden ser recursos inactivos.
ecs-disk-retain-auto-snapshot	Retener Instantánea Automática cuando se Libera el Disco ECS	Configure los discos ECS para retener instantáneas automáticas cuando se liberen, considerado conforme. Esto ayuda a proteger los datos de eliminación accidental.
ecs-in-use-disk-encrypted	Cifrado de Disco en Uso de ECS	Los discos de datos ECS deben tener cifrado habilitado para proteger los datos en reposo. Los discos cifrados usan claves KMS para cifrar datos, asegurando la seguridad de los datos y el cumplimiento de los requisitos regulatorios.
ecs-instance-auto-renewal-enabled	Instancia de suscripción ECS tiene renovación automática habilitada	Las instancias de suscripción ECS (prepagadas) tienen renovación automática habilitada, consideradas conformes. Las instancias de pago por uso no son aplicables.
ecs-instance-image-expired-check	Verificación de Expiración de Imagen de Instancia ECS	Garantiza que la imagen usada por la instancia ECS no haya expirado.
ecs-instance-image-type-check	Verificación de Tipo de Imagen de Instancia ECS	Garantiza que las instancias ECS usen imágenes de fuentes autorizadas.
ecs-instance-login-use-keypair	Inicio de Sesión de Instancia ECS Usando Par de Claves	Garantiza que las instancias ECS usen pares de claves para iniciar sesión en lugar de contraseñas.
ecs-instance-meta-data-mode-check	El acceso a metadatos de instancia ECS usa modo de seguridad mejorado (IMDSv2)	Al acceder a metadatos de instancia ECS, se aplica el modo de seguridad mejorado (IMDSv2), considerado conforme. Las instancias asociadas con clústeres ACK no son aplicables.
ecs-instance-no-public-and-anyip	La Instancia ECS No Debe Vincular IP Público o Permitir Acceso de Cualquier IP	Las instancias ECS no deben vincular directamente IPs públicos IPv4 o IPs elásticos, y los grupos de seguridad asociados no deben exponer 0.0.0.0/0. Conforme cuando no se vincula ninguna IP pública.
ecs-instance-not-bind-key-pair	Instancia ECS No Vinculada a Par de Claves	Garantiza que las instancias ECS usen pares de claves para autenticación en lugar de contraseñas.
ecs-instance-type-family-not-deprecated	Tipo de Instancia ECS No Deprecado	Garantiza que las instancias ECS no usen tipos de instancia deprecados o heredados.
ecs-instances-in-vpc	Instancias ECS en VPC	Las instancias ECS deben implementarse en redes VPC (Virtual Private Cloud) en lugar de redes clásicas. VPC proporciona mejor aislamiento de red, seguridad y flexibilidad.
ecs-internetmaxbandwidth-check	Verificación de Ancho de Banda Máximo de Internet ECS	Garantiza que el ancho de banda saliente de Internet ECS no exceda los límites especificados.
ecs-launch-template-network-type-check	La plantilla de inicio de ECS usa tipo de red VPC	Las versiones de plantilla de inicio de ECS tienen el tipo de red configurado como VPC, considerado conforme. El tipo de red clásica no se recomienda para entornos de producción.
ecs-launch-template-version-data-disk-encrypted	La Versión de Plantilla de Inicio ECS Habilita el Cifrado de Disco de Datos	Todos los discos de datos configurados en las versiones de plantilla de inicio ECS están cifrados, considerado conforme.
ecs-launch-template-version-image-type-check	Verificación de Tipo de Imagen de Plantilla de Inicio	Garantiza que las plantillas de inicio ECS usen tipos de imagen autorizados.
ecs-running-instances-in-vpc	Las Instancias ECS en Ejecución Están en VPC	Las instancias ECS en ejecución se implementan en Virtual Private Cloud (VPC), consideradas conformes. Esto proporciona aislamiento de red y seguridad mejorada.
ecs-snapshot-policy-timepoints-check	Puntos de Tiempo de Política de Instantánea Automática ECS Configurados Razonablemente	Los puntos de tiempo de creación de instantáneas en la política de instantáneas automáticas están dentro del rango de tiempo especificado, considerado conforme. Crear instantáneas reduce temporalmente el rendimiento de E/S del almacenamiento en bloque, con diferencias de rendimiento generalmente dentro del 10%, causando ralentizaciones breves. Se recomienda seleccionar puntos de tiempo que eviten las horas pico comerciales.
eip-delete-protection-enabled	Protección de Eliminación de EIP Habilitada	Garantiza que las instancias EIP tengan protección de eliminación habilitada.
elasticsearch-instance-enabled-data-node-encryption	Cifrado de Nodo de Datos de Elasticsearch Habilitado	Garantiza que los nodos de datos en la instancia de Elasticsearch tengan cifrado de disco habilitado.
elasticsearch-instance-enabled-node-config-disk-encryption	Cifrado de Disco de Configuración de Nodo ES	Garantiza que las configuraciones de nodos elásticos de Elasticsearch tengan cifrado de disco habilitado.
elasticsearch-instance-multi-zone	Implementación Multi-Zona de Instancia Elasticsearch	Las instancias Elasticsearch deben implementarse en múltiples zonas de disponibilidad.
emr-cluster-master-public-access-check	Verificación de Acceso Público del Nodo Maestro del Clúster EMR	Los nodos maestros del clúster EMR en ECS no deben tener IP pública habilitada.
ess-group-health-check	Verificación de Salud del Grupo de Escalado ESS	Los grupos de escalado ESS deben habilitar la verificación de salud de instancias ECS para asegurar que solo instancias saludables estén en servicio.
ess-scaling-configuration-attach-security-group	Grupo de Seguridad de Configuración de Escalado ESS	Las configuraciones de escalado ESS deben adjuntar grupos de seguridad a las instancias para un aislamiento de red y control de acceso adecuados.
ess-scaling-configuration-enabled-internet-check	Verificación de Acceso a Internet de Configuración de Escalado ESS	Garantiza que las configuraciones de escalado ESS no habiliten direcciones IP públicas para instancias a menos que sea necesario.
ess-scaling-configuration-image-check	Verificación de Imagen de Configuración de Escalado ESS	Las configuraciones de escalado ESS deben usar imágenes mantenidas para garantizar seguridad y estabilidad.
ess-scaling-configuration-image-type-check	Verificación de Tipo de Imagen de Configuración de Escalado ESS	Las configuraciones de escalado ESS deben usar imágenes de fuentes especificadas para mayor seguridad y gestión.
ess-scaling-group-attach-multi-switch	Grupo de Escalado ESS Multi-VSwitch	Los grupos de escalado ESS deben estar asociados con al menos dos VSwitches para alta disponibilidad en múltiples zonas.
ess-scaling-group-attach-slb	Grupo de Escalado ESS Adjuntar SLB	Los grupos de escalado ESS deben adjuntarse al Equilibrador de Carga Clásico (SLB) para una distribución adecuada del tráfico.
ess-scaling-group-loadbalancer-check	Verificación de Existencia de Equilibrador de Carga del Grupo de Escalado ESS	Los grupos de escalado ESS deben estar adjuntos a instancias de equilibrador de carga existentes y activas para una distribución adecuada del tráfico.
fc-function-custom-domain-and-cert-enable	Verificación de Certificado de Dominio Personalizado de Función FC	Los dominios personalizados FC deben tener certificados SSL configurados para comunicación segura.
fc-function-custom-domain-and-https-enable	Verificación HTTPS de Dominio Personalizado de Función FC	Los dominios personalizados FC deben tener HTTPS habilitado para comunicación segura.
fc-function-custom-domain-and-tls-enable	Dominio Personalizado y TLS de Función FC Habilitado	Garantiza que los dominios personalizados para funciones de Function Compute tengan TLS habilitado.
fc-function-internet-and-custom-domain-enable	Acceso a Internet del Servicio FC con Dominio Personalizado	Los servicios FC con acceso a Internet deben estar vinculados a dominios personalizados para un control de acceso adecuado.
fc-function-settings-check	Verificación de Configuración de Función FC	Las configuraciones de función FC deben cumplir con los requisitos especificados para un rendimiento y seguridad óptimos.
fc-service-bind-role	Servicio FC Vinculado a Rol RAM	Garantiza que el servicio Function Compute tenga un rol RAM vinculado.
fc-service-internet-access-disable	Acceso a Internet del Servicio FC Deshabilitado	Garantiza que el servicio Function Compute tenga acceso a Internet deshabilitado cuando solo deba acceder a recursos internos.
fc-service-log-enable	Habilitar Registro del Servicio FC	Los servicios FC deben tener registro habilitado para monitoreo y solución de problemas.
fc-service-tracing-enable	Habilitar Seguimiento de Servicio FC	Los servicios FC deben tener seguimiento habilitado para monitoreo de rendimiento y depuración.
fc-service-vpc-binding	Vinculación VPC del Servicio FC Habilitada	Garantiza que el servicio Function Compute esté configurado para acceder a recursos dentro de un VPC.
firewall-asset-open-protect	Protección de Activos del Firewall en la Nube Habilitada	Garantiza que los activos estén protegidos por el Firewall en la Nube.
gpdb-instance-multi-zone	Despliegue Multi-Zona de Instancia GPDB	Las instancias GPDB deben desplegarse con una zona de espera para alta disponibilidad.
gwlb-loadbalancer-multi-zone	Despliegue Multi-Zona del Balanceador de Carga GWLB	Las instancias del Balanceador de Carga GWLB deben desplegarse en al menos dos zonas de disponibilidad para alta disponibilidad.
hbase-cluster-deletion-protection	Protección de Eliminación de Clúster HBase Habilitada	Garantiza que los clústeres HBase tengan protección contra eliminación habilitada.
hbase-cluster-in-vpc	Clúster HBase en VPC	Garantiza que el clúster HBase esté desplegado dentro de un VPC.
hbase-cluster-multi-zone	Implementación Multi-Zona del Clúster HBase	Los clústeres HBase deben implementarse en modo clúster con al menos 2 nodos para alta disponibilidad.
internet-nat-gateway-in-specified-vpc	Puerta de Enlace NAT de Internet en VPC Especificado	Las puertas de enlace NAT orientadas a Internet deben crearse en VPCs especificados según los requisitos de seguridad de red.
intranet-nat-gateway-in-specified-vpc	Puerta de Enlace NAT de Intranet en VPC Especificado	Las puertas de enlace NAT orientadas a intranet deben crearse en VPC especificados según los requisitos de seguridad de red.
kafka-instance-multi-zone	Despliegue Multi-Zona de Instancia Kafka	Las instancias Kafka deben desplegarse en múltiples zonas de disponibilidad para alta disponibilidad.
kms-instance-multi-zone	Despliegue Multi-Zona de Instancia KMS	Las instancias KMS deben desplegarse en al menos dos zonas de disponibilidad para alta disponibilidad y recuperación ante desastres.
kms-key-delete-protection-enabled	Protección de Eliminación de Clave KMS Habilitada	La clave maestra KMS tiene protección de eliminación habilitada, se considera conforme. Las claves que no están en estado habilitado y las claves de servicio (que no se pueden eliminar) no son aplicables.
kms-key-rotation-enabled	Rotación automática de clave KMS habilitada	La clave maestra de usuario KMS tiene rotación automática habilitada, considerada conforme. Las claves de servicio y las claves importadas externamente no son aplicables.
kms-secret-rotation-enabled	Rotación automática de secreto KMS habilitada	El secreto KMS tiene rotación automática habilitada, considerado conforme. Los secretos genéricos no son aplicables.
lindorm-instance-in-vpc	Verificación de Lindorm en VPC	Garantiza que las instancias Lindorm se desplieguen dentro de una VPC.
lindorm-instance-multi-zone	Despliegue Multi-Zona de Instancia Lindorm	Las instancias Lindorm deben configurarse para despliegue multi-zona con al menos 4 nodos LindormTable para alta disponibilidad.
mongodb-instance-enabled-ssl	SSL de Instancia MongoDB Habilitado	Garantiza que las instancias MongoDB tengan cifrado SSL habilitado.
mongodb-instance-encryption-byok-check	La Instancia MongoDB Usa Clave Personalizada para TDE	Garantiza que las instancias MongoDB usen claves KMS personalizadas para Cifrado Transparente de Datos (TDE).
mongodb-instance-in-vpc	La Instancia MongoDB Usa Red VPC	Garantiza que las instancias MongoDB se desplieguen en una red de Nube Privada Virtual (VPC).
mongodb-instance-log-audit	Auditoría de Registro de Instancia MongoDB Habilitada	Garantiza que las instancias MongoDB tengan auditoría de registro habilitada.
mongodb-instance-multi-node	La Instancia MongoDB Usa Múltiples Nodos	Garantiza que las instancias MongoDB se implementen con múltiples nodos para alta disponibilidad.
mongodb-instance-multi-zone	Despliegue Multi-Zona de Instancia MongoDB	Las instancias MongoDB deben desplegarse en múltiples zonas de disponibilidad para alta disponibilidad.
mongodb-instance-release-protection	Protección de Liberación de Instancia MongoDB Habilitada	Garantiza que las instancias MongoDB tengan protección contra liberación habilitada.
mse-cluster-config-auth-enabled	Autenticación de Configuración de Clúster MSE Habilitada	Garantiza que el centro de configuración del clúster del Motor de Microservicios (MSE) tenga autenticación habilitada.
mse-cluster-multi-availability-area-architecture-check	Configuración de Alta Disponibilidad del Clúster MSE	Los clústeres MSE deben usar la Edición Profesional con al menos 3 instancias (número impar) para alta disponibilidad.
mse-cluster-stable-version-check	El Clúster MSE Usa Versión Estable	Garantiza que la versión del motor del clúster MSE sea mayor que la versión estable mínima.
mse-gateway-multi-availability-area-architecture-check	Implementación Multi-Zona de Disponibilidad de Puerta de Enlace MSE	Las puertas de enlace MSE deben implementarse en múltiples zonas de disponibilidad configurando un VSwitch de respaldo.
nas-filesystem-mount-target-access-group-check	Verificación de Grupo de Acceso de Objetivo de Montaje NAS	Garantiza que los objetivos de montaje NAS no usen 'DEFAULT_VPC_GROUP_NAME'.
natgateway-delete-protection-enabled	Protección de Eliminación de Puerta de Enlace NAT Habilitada	Garantiza que las puertas de enlace NAT tengan protección contra eliminación habilitada.
natgateway-eip-used-check	Verificación de Uso de EIP de Puerta de Enlace NAT	SNAT y DNAT no deben usar el mismo EIP para evitar conflictos potenciales y mejorar la segmentación de red.
natgateway-snat-eip-bandwidth-check	Consistencia de Ancho de Banda EIP SNAT de Puerta de Enlace NAT	Cuando las entradas SNAT están vinculadas a múltiples EIPs, la configuración del pico de ancho de banda debe ser consistente o deben agregarse a un paquete de ancho de banda compartido.
nlb-loadbalancer-multi-zone	Implementación Multi-Zona del Equilibrador de Carga NLB	Las instancias del equilibrador de carga NLB deben implementarse en al menos dos zonas de disponibilidad para alta disponibilidad.
nlb-server-group-multi-zone	Distribución Multi-Zona del Grupo de Servidores NLB	Los grupos de servidores NLB deben tener servidores backend distribuidos en múltiples zonas de disponibilidad para alta disponibilidad. Esta regla no se aplica a grupos de servidores sin servidores adjuntos, ni a grupos de servidores de tipo IP.
oss-bucket-authorize-specified-ip	Bucket OSS Autoriza IP Especificada	Garantiza que las políticas de bucket OSS restrinjan el acceso a rangos de IP especificados.
oss-bucket-backup-enable	Respaldo OSS Habilitado	Garantiza que los buckets OSS tengan respaldo o control de versiones habilitado.
oss-bucket-logging-enabled	Registro de Logs de Bucket OSS Habilitado	Los buckets OSS deben tener registro de logs habilitado para rastrear acceso y operaciones. El registro de logs ayuda en la auditoría de seguridad, solución de problemas y requisitos de conformidad.
oss-bucket-remote-replication	Replicación Remota de Bucket OSS Habilitada	Garantiza que la replicación entre regiones esté habilitada para el bucket OSS para recuperación ante desastres.
oss-bucket-tls-version-check	Verificación de Versión TLS de Bucket OSS	Garantiza que el bucket OSS esté configurado para usar una versión segura de TLS (TLS 1.2 o superior).
oss-bucket-versioning-enabled	Versionado de Bucket OSS Habilitado	El bucket OSS debe tener versionado habilitado para proteger contra eliminación o sobrescritura accidental.
oss-default-encryption-kms	Cifrado KMS del lado del servidor de bucket OSS habilitado	El bucket OSS tiene cifrado KMS del lado del servidor habilitado, se considera conforme.
oss-encryption-byok-check	Verificación de Cifrado BYOK de Bucket OSS	Los buckets OSS deben usar claves KMS administradas por el cliente (BYOK - Bring Your Own Key) para el cifrado. Esto proporciona un mejor control sobre las claves de cifrado y cumple con los requisitos de cumplimiento.
oss-zrs-enabled	Almacenamiento con Redundancia de Zona de Bucket OSS Habilitado	Los buckets OSS deben usar almacenamiento con redundancia de zona (ZRS) para alta disponibilidad y durabilidad de datos.
ots-instance-multi-zone	Almacenamiento Redundante de Zona de Instancia OTS	Garantiza que las instancias Tablestore (OTS) usen almacenamiento redundante de zona para alta disponibilidad.
ots-instance-network-not-normal	Tipo de Red Restringido OTS	Garantiza que las instancias de Table Store (OTS) no usen el tipo de red 'Normal' (sin restricciones).
pai-eas-instances-multi-zone	Implementación Multi-Zona de Instancia PAI EAS	Garantiza que las instancias PAI EAS se implementen en múltiples zonas para alta disponibilidad.
polardb-cluster-default-time-zone-not-system	Zona Horaria Predeterminada del Clúster PolarDB No es Sistema	Garantiza que la zona horaria predeterminada del clúster PolarDB no esté establecida en SYSTEM.
polardb-cluster-delete-protection-enabled	Protección contra Eliminación de Cluster PolarDB Habilitada	Garantiza que los clústeres PolarDB tengan protección contra eliminación habilitada.
polardb-cluster-enabled-ssl	SSL de Cluster PolarDB Habilitado	Garantiza que los clústeres PolarDB tengan cifrado SSL habilitado.
polardb-cluster-multi-zone	Implementación Multi-zona de Cluster PolarDB	Los clústeres PolarDB deben implementarse en múltiples zonas de disponibilidad para alta disponibilidad.
polardb-dbcluster-in-vpc	Clúster PolarDB en VPC	Garantiza que el clúster PolarDB se despliegue en una VPC.
polardb-revision-version-used-check	Verificación de Versión de Revisión PolarDB Utilizada	Garantiza que el clúster PolarDB esté usando una versión de revisión de kernel estable.
polardb-x2-instance-multi-zone	Despliegue Multi-Zona de Instancia PolarDB-X 2.0	Las instancias PolarDB-X 2.0 deben desplegarse en 3 zonas de disponibilidad.
privatelink-server-endpoint-multi-zone	Despliegue Multi-Zona del Servicio de Punto de Extremo VPC PrivateLink	Los servicios de punto de extremo VPC PrivateLink deben tener recursos desplegados en múltiples zonas de disponibilidad para alta disponibilidad.
privatelink-servier-endpoint-multi-zone	Despliegue Multi-Zona de Punto Final de Servicio PrivateLink	Garantiza que los puntos finales de servicio PrivateLink estén desplegados en múltiples zonas para alta disponibilidad.
ram-password-policy-check	Verificación de Política de Contraseña RAM	Garantiza que la política de contraseña RAM cumpla con los requisitos de seguridad especificados.
ram-policy-no-has-specified-document	Política RAM Sin Documento Especificado	Garantiza que las políticas RAM personalizadas no contengan la configuración de permisos especificada.
ram-role-has-specified-policy	El Rol RAM Tiene Política Especificada	Garantiza que los roles RAM tengan las políticas especificadas adjuntas.
ram-role-no-product-admin-access	El Rol RAM No Tiene Acceso de Administrador de Producto	Garantiza que los roles RAM no tengan acceso administrativo completo o permisos de administrador de producto.
ram-user-activated-ak-quantity-check	Verificación de Cantidad de AK Activo de Usuario RAM	Garantiza que los usuarios RAM no tengan más de una AccessKey activa.
ram-user-ak-create-date-expired-check	Verificación de Expiración de Fecha de Creación de AccessKey de Usuario RAM	Garantiza que las AccessKeys de usuario RAM no sean más antiguas que el número especificado de días.
ram-user-ak-used-expired-check	Verificación de Fecha de Último Uso de AccessKey de Usuario RAM	Garantiza que las AccessKeys de usuario RAM se hayan utilizado dentro del número especificado de días.
ram-user-has-specified-policy	El Usuario RAM Tiene Política Especificada	Garantiza que los usuarios RAM tengan las políticas requeridas adjuntas, incluidas las heredadas de grupos.
ram-user-login-check	Verificación de Login de Usuario RAM Habilitado	Garantiza que los usuarios RAM que no necesitan acceso a la consola tengan el inicio de sesión deshabilitado.
ram-user-no-has-specified-policy	Usuario RAM Sin Política Especificada	Garantiza que los usuarios RAM no tengan políticas riesgosas especificadas adjuntas.
ram-user-no-product-admin-access	Usuario RAM Sin Acceso Administrativo de Producto	Garantiza que los usuarios RAM no tengan acceso administrativo completo a los productos en la nube a menos que sea necesario.
ram-user-role-no-product-admin-access	El Rol de Usuario RAM No Tiene Acceso de Administrador de Producto	Garantiza que los roles definidos por el usuario RAM no tengan permisos administrativos de producto.
ram-user-specified-permission-bound	Límite de Permiso Especificado del Usuario RAM	Garantiza que los usuarios RAM no tengan permisos de alto riesgo especificados vinculados.
rds-instacne-delete-protection-enabled	Protección contra Eliminación de Instancia RDS Habilitada	Garantiza que las instancias RDS tengan protección contra eliminación habilitada.
rds-instance-enabled-auditing	Auditoría de Instancia RDS Habilitada	Garantiza que las instancias RDS tengan auditoría SQL habilitada.
rds-instance-enabled-log-backup	Backup de Log de Instancia RDS Habilitado	Garantiza que las instancias RDS tengan backup de log habilitado.
rds-instance-enabled-ssl	SSL de Instancia RDS Habilitado	Garantiza que las instancias RDS tengan cifrado SSL habilitado.
rds-instance-enabled-tde-disk-encryption	Instancia RDS TDE o Cifrado de Disco Habilitado	La instancia RDS debe tener TDE (Cifrado Transparente de Datos) o cifrado de disco habilitado.
rds-instance-has-guard-instance	La Instancia RDS Tiene Instancia de Guardia	Garantiza que las instancias RDS de producción tengan una instancia de guardia (recuperación ante desastres) correspondiente.
rds-instances-in-vpc	Instancia RDS en VPC	Garantiza que la instancia RDS se implemente dentro de un VPC.
rds-multi-az-support	Despliegue Multi-AZ de Instancia RDS	Las instancias RDS deben implementarse en configuración multi-AZ para alta disponibilidad y conmutación por error automática.
redis-architecturetype-cluster-check	Verificación de Tipo de Arquitectura de Clúster Redis	Garantiza que la instancia Redis use el tipo de arquitectura de clúster.
redis-instance-backup-log-enabled	Backup de Log de Instancia Redis Habilitado	Garantiza que el backup de log esté habilitado para la instancia Redis.
redis-instance-double-node-type	Tipo de Nodo Doble de Instancia Redis	Garantiza que la instancia Redis use tipo de nodo doble para alta disponibilidad.
redis-instance-enabled-byok-tde	TDE BYOK de Instancia Redis Habilitado	Garantiza que las instancias Redis tengan Transparent Data Encryption (TDE) habilitado usando Bring Your Own Key (BYOK).
redis-instance-enabled-ssl	SSL de Instancia Redis Habilitado	Garantiza que las instancias Redis tengan cifrado SSL habilitado.
redis-instance-in-vpc	Instancia Redis en VPC	Garantiza que la instancia Redis se despliegue en una VPC.
redis-instance-multi-zone	Despliegue Multi-zona de Instancia Redis	Las instancias Redis deben implementarse en múltiples zonas de disponibilidad para alta disponibilidad.
redis-instance-release-protection	Protección contra Liberación de Instancia Redis Habilitada	Garantiza que las instancias Redis tengan protección contra liberación habilitada.
redis-instance-tls-version-check	Verificación de Versión TLS de Instancia Redis	Garantiza que la instancia Redis tenga SSL habilitado con una versión TLS aceptable.
redis-min-capacity-limit	Límite de Capacidad Mínima de Redis	Garantiza que la instancia Redis tenga capacidad de memoria que cumpla con el requisito mínimo.
rocketmq-v5-instance-multi-zone	Despliegue Multi-Zona de Instancia RocketMQ 5.0	Las instancias RocketMQ 5.0 deben desplegarse en modo Cluster HA que admite disponibilidad multi-zona.
security-center-version-check	Verificación de Versión del Centro de Seguridad	El Centro de Seguridad debe estar en una versión que proporcione funciones de protección suficientes.
slb-all-listener-enabled-acl	Todos los Oyentes SLB Tienen Control de Acceso	Todos los oyentes en ejecución de las instancias SLB deben tener listas de control de acceso (ACL) configuradas para seguridad.
slb-all-listener-http-disabled	HTTP de Todos los Oyentes SLB Deshabilitado	Garantiza que ningún oyente SLB use el protocolo HTTP inseguro.
slb-all-listener-http-redirect-https	Redirección HTTP a HTTPS de SLB Habilitada	Garantiza que los oyentes HTTP de SLB estén configurados para redirigir el tráfico a HTTPS.
slb-all-listenter-has-server	Todos los Oyentes SLB Tienen Servidores Backend	Todos los oyentes de las instancias SLB deben tener al menos el número especificado de servidores backend adjuntos.
slb-all-listenter-tls-policy-check	Verificación de Política TLS del Listener SLB	Garantiza que los listeners HTTPS de SLB usen políticas de cifrado TLS seguras.
slb-default-server-group-multi-server	El Grupo de Servidores Predeterminado SLB Tiene Múltiples Servidores	El grupo de servidores predeterminado de las instancias SLB debe tener al menos dos servidores para evitar un punto único de falla.
slb-instance-autorenewal-check	Verificación de Renovación Automática de Instancia SLB	Las instancias SLB prepagadas deben tener renovación automática habilitada para evitar interrupciones del servicio.
slb-instance-default-server-group-multi-zone	Grupo de Servidores Predeterminado SLB Multi-Zona	El grupo de servidores predeterminado de las instancias SLB debe tener recursos distribuidos en múltiples zonas de disponibilidad.
slb-instance-log-enabled	Registro de Instancia SLB Habilitado	Garantiza que el registro de acceso esté habilitado para la instancia SLB.
slb-instance-multi-zone	Implementación Multi-zona de Instancia SLB	Las instancias SLB deben implementarse en múltiples zonas configurando zonas maestra y esclava para alta disponibilidad.
slb-instance-spec-check	Verificación de Especificación de Instancia SLB	Las especificaciones de instancia SLB deben cumplir con los criterios de rendimiento requeridos según la lista especificada.
slb-listener-https-enabled	HTTPS de Listener SLB Habilitado	Garantiza que los listeners SLB usen el protocolo HTTPS para comunicación segura.
slb-loadbalancer-in-vpc	Verificación SLB en VPC	Garantiza que las instancias SLB estén desplegadas dentro de una Virtual Private Cloud (VPC).
slb-master-slave-server-group-multi-zone	Grupo de Servidores Maestro-Esclavo SLB Multi-Zona	El grupo de servidores maestro-esclavo de las instancias SLB debe tener recursos distribuidos en múltiples zonas de disponibilidad.
slb-no-public-ip	Instancia SLB Sin IP Pública	Las instancias SLB no deben tener direcciones IP públicas para reducir la superficie de ataque.
slb-vserver-group-multi-zone	Implementación Multi-Zona de Grupo de Servidor Virtual SLB	Garantiza que los grupos de servidor virtual SLB contengan instancias de múltiples zonas de disponibilidad.
sls-logstore-enabled-encrypt	Cifrado de Logstore SLS Habilitado	Garantiza que los Logstores SLS tengan cifrado del lado del servidor habilitado.
sls-logstore-encrypt-key-origin-check	Verificación de Origen de Clave de Cifrado de Logstore SLS	Garantiza que los Logstores SLS usen material de clave importado externamente (BYOK) para el cifrado, lo que proporciona un mejor control sobre las claves de cifrado.
sls-project-multi-zone	Almacenamiento Redundante de Zona del Proyecto SLS	Los proyectos SLS deben usar almacenamiento redundante de zona (ZRS) para alta disponibilidad y durabilidad de datos.
vpc-flow-logs-enabled	Registros de Flujo VPC Habilitados	Garantiza que los registros de flujo VPC estén habilitados para monitorear el tráfico de red.
vpc-network-acl-not-empty	ACL de Red VPC No Vacío	Garantiza que las ACL de red VPC tengan al menos una regla configurada.
vpn-connection-master-slave-established	Conexión VPN Túnel Dual Establecido	Use una puerta de enlace VPN de túnel dual y ambos túneles maestro y esclavo están establecidos con el par.
vpn-gateway-multi-zone	Implementación Multi-Zona de Puerta de Enlace VPN	Las puertas de enlace VPN deben configurarse con un VSwitch de recuperación ante desastres para admitir disponibilidad multi-zona.
vswitch-available-ip-count	Verificación de Conteo de IP Disponibles de VSwitch	Garantiza que el VSwitch tenga un número suficiente de direcciones IP disponibles.
waf-instance-logging-enabled	Registro de Instancia WAF Habilitado	Garantiza que el registro esté habilitado para la instancia WAF para auditoría y análisis de seguridad.
waf3-defense-resource-logging-enabled	Registro de WAF 3.0 Habilitado	Garantiza que el registro esté habilitado para los recursos protegidos por WAF 3.0.

Baja Severidad (40 Reglas)

ID de Regla	Nombre	Descripción
ack-cluster-spec-check	Verificación de Especificación de Clúster ACK	Garantiza que los clústeres ACK usen especificaciones aprobadas (por ejemplo, ACK Pro).
alb-address-type-check	Verificación de Tipo de Dirección ALB	Garantiza que las instancias ALB usen el tipo de dirección preferido (por ejemplo, Intranet).
apig-group-custom-trace-enabled	Rastreo Personalizado de Grupo de API Gateway Habilitado	Garantiza que los grupos de API Gateway tengan rastreo personalizado habilitado.
cr-repository-immutablity-enable	La Versión de Imagen del Repositorio del Registro de Contenedores es Inmutable	La versión de imagen del repositorio del Registro de Contenedores es inmutable, considerado conforme.
eci-container-group-volumn-mounts	Verificación de Montaje de Volumen ECI	Garantiza que los grupos de contenedores ECI tengan volúmenes montados para almacenamiento de datos persistente.
ecs-disk-auto-snapshot-policy	Disco ECS tiene política de snapshot automático configurada	El disco ECS tiene política de snapshot automático configurada, considerada conforme. Los discos no en uso, discos que no admiten política de snapshot automático y discos no persistentes montados por clústeres ACK no son aplicables. Después de habilitar la política de snapshot automático, Alibaba Cloud creará automáticamente snapshots para discos en la nube según puntos de tiempo y ciclos predefinidos, permitiendo recuperación rápida de intrusión de virus o ataques de ransomware.
ecs-disk-idle-check	Verificación de Disco Inactivo ECS	Garantiza que los discos ECS estén adjuntos a una instancia y no en estado inactivo.
ecs-disk-regional-auto-check	Almacenamiento ESSD con Redundancia de Zona de Disco ECS	Los discos de datos ECS deben usar almacenamiento ESSD con redundancia de zona para alta disponibilidad. Los discos del sistema no son aplicables a esta regla.
ecs-instance-chargetype-check	Verificación de Tipo de Cargo de Instancia ECS	Garantiza que las instancias ECS usen el tipo de cargo autorizado.
ecs-instance-multiple-eni-check	La Instancia ECS Está Vinculada Solo a Una Interfaz de Red Elástica	Las instancias ECS están vinculadas solo a una interfaz de red elástica, considerado conforme. Esto ayuda a simplificar la configuración de red y reducir la complejidad.
ecs-instance-ram-role-attached	Rol RAM de Instancia ECS Adjunto	Garantiza que las instancias ECS tengan un rol IAM adjunto para acceso seguro a otros servicios en la nube.
ecs-internet-charge-type-check	Verificación de Tipo de Cargo de Internet ECS	Garantiza que las instancias ECS usen el tipo de cargo de Internet preferido.
ecs-security-group-description-check	Descripción de Grupo de Seguridad No Vacía	La descripción del grupo de seguridad no debe estar vacía. Tener una descripción ayuda con la gestión y la auditoría.
ecs-security-group-type-not-normal	Usar Tipo de Grupo de Seguridad Empresarial	El tipo de grupo de seguridad ECS no debe ser tipo normal. Usar grupo de seguridad empresarial se considera conforme.
ecs-snapshot-retention-days	Días de retención de snapshot automático ECS cumplen requisitos	Los días de retención de la política de snapshot automático ECS son mayores que el número especificado de días, considerado conforme. Valor predeterminado: 7 días.
ecs-system-disk-size-check	Verificación de Tamaño de Disco del Sistema ECS	Garantiza que los discos del sistema ECS cumplan con el tamaño mínimo requerido.
eip-attached	EIP Adjunto	Garantiza que las instancias EIP estén asociadas con un recurso.
eip-bandwidth-limit	Límite de Ancho de Banda EIP	Garantiza que el ancho de banda EIP no exceda un valor máximo especificado.
hbase-cluster-type-check	Verificación de Tipo de Clúster HBase	Garantiza que el clúster HBase sea de un tipo especificado o recomendado.
metadata-ros-composer-check	Verificación de Metadatos de Plantilla ALIYUN::ROS::Composer	La plantilla debe tener Metadata.ALIYUN::ROS::Composer configurado. El valor debe ser un diccionario (objeto).
nas-filesystem-encrypt-type-check	Cifrado de Sistema de Archivos NAS Configurado	El sistema de archivos NAS tiene cifrado configurado, se considera conforme.
oss-bucket-referer-limit	Protección de enlace directo de referer de bucket OSS configurada	El bucket OSS tiene protección contra enlaces directos de referer habilitada con una lista blanca configurada.
polardb-cluster-maintain-time-check	Verificación de Ventana de Mantenimiento de Cluster PolarDB	Garantiza que el clúster PolarDB tenga una ventana de mantenimiento configurada.
ram-group-has-member-check	El Grupo RAM Tiene Miembro	Garantiza que los grupos RAM tengan al menos un miembro.
ram-group-in-use-check	Verificación de Grupo RAM en Uso	Garantiza que los grupos RAM no estén inactivos - deben tener al menos un miembro y al menos una política adjunta.
ram-policy-in-use-check	Verificación de Política RAM en Uso	Garantiza que las políticas RAM estén adjuntas a al menos un usuario, grupo o rol RAM.
ram-user-group-membership-check	Verificación de Membresía de Grupo de Usuario RAM	Garantiza que los usuarios RAM pertenezcan al menos a un grupo para facilitar la gestión de permisos.
ram-user-last-login-expired-check	Verificación de Último Inicio de Sesión de Usuario RAM	Verifica si los usuarios RAM no han iniciado sesión durante mucho tiempo.
ram-user-no-policy-check	El Usuario RAM Tiene Política	Garantiza que los usuarios RAM tengan al menos una política adjunta.
rds-instance-maintain-time-check	Verificación de Ventana de Mantenimiento de Instancia RDS	Garantiza que la instancia RDS tenga configurada una ventana de mantenimiento.
rds-instance-storage-autoscale-enable	Autoescalado de Almacenamiento RDS Habilitado	Garantiza que las instancias RDS tengan autoescalado de almacenamiento habilitado para prevenir tiempo de inactividad debido a discos llenos.
redis-instance-backup-time-check	Verificación de Ventana de Respaldo de Instancia Redis	Garantiza que la instancia Redis tenga configurada una ventana de respaldo.
root-has-specified-role	La Cuenta Raíz Tiene Rol Especificado	Garantiza que la cuenta raíz tenga un rol RAM especificado para gobernanza y gestión.
slb-backendserver-weight-check	Verificación de Peso del Servidor Backend SLB	Garantiza que los servidores backend SLB tengan configuraciones de peso razonables.
slb-instance-loadbalancerspec-check	Verificación de Especificación de Instancia SLB	Garantiza que las instancias SLB usen especificaciones de rendimiento aprobadas.
slb-loadbalancer-bandwidth-limit	Límite de Ancho de Banda SLB	Garantiza que el ancho de banda de la instancia SLB no exceda un valor máximo especificado.
slb-modify-protection-check	Protección contra Modificación de SLB Habilitada	Garantiza que las instancias SLB tengan protección contra modificación habilitada.
sls-logstore-hot-ttl-check	Almacenamiento de Nivel Inteligente de Logstore SLS Habilitado	Garantiza que los Logstores SLS tengan almacenamiento inteligente de nivel caliente/frío habilitado para optimización de costos.
vpn-gateway-enabled-ssl-vpn	SSL-VPN de Puerta de Enlace VPN Habilitado	Garantiza que la puerta de enlace VPN tenga SSL-VPN habilitado para acceso seguro del cliente.
vpn-ipsec-connection-health-check-open	Verificación de Salud IPsec VPN Habilitada	Garantiza que las conexiones VPN IPsec tengan verificaciones de salud habilitadas para detectar fallas del túnel.

---

Este documento se genera automáticamente a partir de los metadatos de la política.