Aliyun Règles

Total des règles : 317

Règles par Gravité

Élevée Gravité (98 Règles)

ID de Règle	Nom	Description
ack-cluster-node-multi-zone	Déploiement Multi-Zones du Cluster ACK	Les nœuds du cluster ACK doivent être distribués sur 3 zones de disponibilité ou plus pour une haute disponibilité.
ack-cluster-public-endpoint-check	Vérification de l'Endpoint Public du Cluster ACK	Les clusters ACK ne doivent pas avoir d'endpoint public configuré, ou le listener SLB associé doit avoir l'ACL activé.
acs-cluster-node-multi-zone	Déploiement Multi-Zone des Nœuds du Cluster ACS	Les nœuds du cluster ACS doivent être distribués sur 3 zones de disponibilité ou plus pour une haute disponibilité.
actiontrail-enabled	ActionTrail Activé	Garantit qu'ActionTrail est activé pour enregistrer les activités du compte.
actiontrail-trail-intact-enabled	Piste ActionTrail Intacte Activée	La piste ActionTrail doit être activée et suivre tous les types d'événements (Lecture et Écriture).
alb-acl-public-access-check	L'ACL ALB N'autorise Pas l'Accès Public	Garantit que les listes de contrôle d'accès ALB ne contiennent pas 0.0.0.0/0 (autorisant toutes les IP).
alb-all-listener-health-check-enabled	Vérification de Santé de Tous les Écouteurs ALB Activée	Garantit que tous les écouteurs ALB ont des vérifications de santé activées.
alb-delete-protection-enabled	Protection contre la Suppression d'Instance ALB Activée	Garantit que les instances ALB ont la protection contre la suppression activée.
alb-instance-multi-zone	Déploiement Multi-Zones de l'Instance ALB	Les instances ALB doivent être déployées sur plusieurs zones de disponibilité pour une haute disponibilité. Si une seule zone est sélectionnée, une panne de zone affectera l'instance ALB et la stabilité de l'entreprise.
alb-instance-waf-enabled	L'Instance ALB a une Protection WAF	Garantit que les instances ALB ont la protection WAF3 (Web Application Firewall) activée.
alb-server-group-multi-server	Le Groupe de Serveurs ALB a Plusieurs Serveurs	Garantit que les groupes de serveurs ALB contiennent au moins deux serveurs backend pour une haute disponibilité.
alidns-route-53-mx-check	L'Enregistrement MX DNS a un SPF Valide dans l'Enregistrement TXT Associé	Garantit que les enregistrements MX ont des enregistrements TXT associés avec des valeurs SPF valides pour la validation des e-mails.
api-gateway-group-force-https	Forcer HTTPS du Groupe API Gateway	Garantit que les groupes API Gateway avec des domaines personnalisés publics ont la redirection HTTPS forcée activée.
bastionhost-instance-expired-check	Vérification d'Expiration d'Instance BastionHost	Les instances BastionHost prépayées doivent avoir le renouvellement automatique activé.
cdn-domain-multiple-origin-servers	Plusieurs Serveurs d'Origine de Domaine CDN	Les domaines CDN doivent être configurés avec plusieurs serveurs d'origine pour une haute disponibilité et une tolérance aux pannes.
cr-instance-any-ip-access-check	Instance CR Sans Accès IP Quelconque	Garantit que les instances Container Registry n'ont pas d'IP quelconque (0.0.0.0/0) dans leur liste blanche.
cr-repository-image-scanning-enabled	Balayage d'Image d'Instance CR Activé	Garantit que les instances Container Registry ont le balayage d'images activé pour la détection des vulnérabilités de sécurité.
cr-repository-type-private	Type de Dépôt CR Privé	Garantit que les dépôts CR sont définis sur PRIVÉ.
dcdn-domain-multiple-origin-servers	Domaine DCDN Serveurs d'Origine Multiples	Les domaines DCDN doivent être configurés avec plusieurs serveurs d'origine pour une haute disponibilité et une tolérance aux pannes.
eci-containergroup-environment-no-specified-keys	Le Groupe de Conteneurs ECI Ne Contient Pas de Variables d'Environnement Sensibles	Garantit que les groupes de conteneurs ECI n'ont pas de variables d'environnement sensibles comme les mots de passe ou les clés d'accès.
ecs-available-disk-encrypted	Chiffrement de Disque ECS Activé	Garantit que tous les disques ECS sont chiffrés.
ecs-instance-attached-security-group	Instance ECS avec Groupe de Sécurité Attaché	Si l'instance ECS est incluse dans le groupe de sécurité spécifié, la configuration est considérée comme conforme.
ecs-instance-deletion-protection-enabled	Protection contre la Suppression d'Instance ECS Activée	Garantit que les instances ECS ont la protection contre la suppression activée.
ecs-instance-enabled-security-protection	Protection de Sécurité d'Instance ECS Activée	Garantit que les instances ECS ont la stratégie d'amélioration de la sécurité activée.
ecs-instance-expired-check	Vérification d'Expiration d'Instance Prépayée ECS	Les instances prépayées doivent avoir le renouvellement automatique activé pour éviter l'interruption de service due à l'expiration.
ecs-instance-no-public-ip	L'Instance ECS Ne Doit Pas Lier d'IP Publique	Les instances ECS ne doivent pas lier directement d'IP publique IPv4 ou d'IP élastique, considéré comme conforme.
ecs-launch-template-version-attach-security-group	La Version du Modèle de Démarrage ECS Attache les Groupes de Sécurité	Les versions de modèle de démarrage ECS ont des groupes de sécurité configurés pour les instances, considéré comme conforme.
ecs-running-instance-no-public-ip	Instance ECS Sans IP Publique	Les instances ECS ne doivent pas avoir d'adresse IP publique pour réduire l'exposition directe à Internet.
ecs-security-group-egress-not-all-access	Egress du Groupe de Sécurité Non Défini sur Accès Total	La direction d'egress du groupe de sécurité ne doit pas être définie pour autoriser tout accès (tous les protocoles, tous les ports, toutes les destinations).
ecs-security-group-not-internet-cidr-access	IP Source d'Ingress du Groupe de Sécurité N'Inclut Pas d'IP Publique	Les règles d'ingress du groupe de sécurité avec politique d'acceptation ne doivent pas avoir d'IP source contenant des IPs Internet publiques.
ecs-security-group-not-open-all-port	Ingress du Groupe de Sécurité N'Ouvre Pas Tous les Ports	Les règles d'ingress du groupe de sécurité ne doivent pas autoriser tous les ports. Lorsque la plage de ports n'est pas définie sur -1/-1, elle est considérée comme conforme.
ecs-security-group-not-open-all-protocol	Ingress du Groupe de Sécurité N'Ouvre Pas Tous les Protocoles	Les règles d'ingress du groupe de sécurité ne doivent pas autoriser tous les protocoles. Lorsque le type de protocole n'est pas défini sur ALL, il est considéré comme conforme.
ecs-security-group-risky-ports-check-with-protocol	Vérification des Ports à Risque du Groupe de Sécurité avec Protocole	Lorsque la source d'ingress du groupe de sécurité est définie sur 0.0.0.0/0, la plage de ports ne doit pas inclure les ports à risque (22, 3389) pour les protocoles spécifiés (TCP/UDP), afin de réduire le risque d'attaques par force brute.
ecs-security-group-white-list-port-check	Vérification d'Ingress de Port Non-Liste Blanche du Groupe de Sécurité	À l'exception des ports en liste blanche (80), les autres ports ne doivent pas avoir de règles d'ingress autorisant l'accès depuis 0.0.0.0/0.
elasticsearch-instance-enabled-kibana-public-check	L'Instance Elasticsearch Kibana N'Active Pas l'Accès Public	Garantit que l'instance Elasticsearch Kibana n'est pas accessible depuis les réseaux publics.
elasticsearch-instance-enabled-public-check	L'Instance Elasticsearch N'active Pas l'Accès Public	Garantit que les instances Elasticsearch ne sont pas accessibles depuis les réseaux publics.
elasticsearch-instance-node-not-use-specified-spec	L'Instance Elasticsearch N'utilise Pas de Spécification Dépréciée	Garantit que les instances Elasticsearch n'utilisent pas de spécifications de nœud dépréciées ou non prises en charge.
elasticsearch-instance-version-not-deprecated	L'Instance Elasticsearch N'Utilise Pas de Version Obsolète	Garantit que les instances Elasticsearch n'utilisent pas de versions obsolètes ou EOL.
elasticsearch-public-and-any-ip-access-check	Vérification d'Accès Public et IP Elasticsearch	Garantit que les instances Elasticsearch n'ont pas d'accès public activé ou une liste blanche ouverte.
ess-scaling-configuration-data-disk-encrypted	Chiffrement de Disque de Données de Configuration de Mise à l'Échelle ESS	Les configurations de mise à l'échelle ESS doivent activer le chiffrement des disques de données pour protéger les données au repos.
ess-scaling-configuration-sg-public-access	Accès Public du Groupe de Sécurité de Configuration de Mise à l'Échelle ESS	Les groupes de sécurité de configuration de mise à l'échelle ESS ne doivent pas autoriser l'accès depuis 0.0.0.0/0 pour empêcher l'accès non autorisé.
ess-scaling-configuration-system-disk-encrypted	Chiffrement du Disque Système de la Configuration de Mise à l'Échelle ESS	Les configurations de mise à l'échelle ESS doivent activer le chiffrement du disque système pour protéger les données système au repos.
fc-function-runtime-check	Vérification du Runtime de Fonction FC	Les fonctions FC ne doivent pas utiliser de runtimes dépréciés qui peuvent avoir des vulnérabilités de sécurité.
fc-trigger-http-not-anonymous	Vérification d'Authentification du Déclencheur HTTP FC	Les déclencheurs HTTP FC doivent exiger une authentification pour empêcher l'accès non autorisé.
gpdb-instance-disk-encryption-enabled	Chiffrement de Disque GPDB Activé	Garantit que les instances GPDB ont le chiffrement de disque activé.
hbase-cluster-expired-check	Vérification d'Expiration du Cluster HBase	Les clusters HBase prépayés doivent avoir le renouvellement automatique activé.
hbase-cluster-ha-check	HA du Cluster HBase Activé	Garantit que les clusters HBase sont configurés pour la Haute Disponibilité (HA).
kafka-instance-disk-encrypted	Disque d'Instance Kafka Chiffré	L'instance Kafka doit avoir le chiffrement de disque activé lors du déploiement pour la protection des données.
kafka-instance-public-access-check	Accès Public Kafka Désactivé	Garantit que les instances Kafka n'ont pas d'accès réseau public.
maxcompute-project-encryption-enabled	Chiffrement de Projet MaxCompute Activé	Garantit que les projets MaxCompute ont le chiffrement activé pour protéger les données stockées.
maxcompute-project-ip-whitelist-enabled	Liste Blanche IP du Projet MaxCompute Activée	Garantit que les projets MaxCompute ont une liste blanche IP configurée pour restreindre l'accès.
mongodb-cluster-expired-check	Vérification d'Expiration de l'Instance MongoDB	Les instances MongoDB prépayées doivent avoir le renouvellement automatique activé.
mongodb-instance-class-not-shared	L'Instance MongoDB Utilise une Classe Dédiée	Garantit que les instances MongoDB utilisent des classes d'instance dédiées ou exclusives, et non des instances partagées.
mongodb-min-maxconnections-limit	MongoDB Répond aux Exigences Minimales de Connexion	Garantit que les instances MongoDB fournissent au moins le nombre minimum requis de connexions.
mongodb-min-maxiops-limit	MongoDB Répond aux Exigences Minimales d'IOPS	Garantit que les instances MongoDB fournissent au moins l'IOPS minimum requis.
mongodb-public-access-check	Restriction Internet de Liste Blanche MongoDB	Garantit que les listes blanches d'IP de sécurité MongoDB ne contiennent pas 0.0.0.0/0.
mongodb-public-and-any-ip-access-check	Vérification d'Accès Public et de N'importe Quelle IP MongoDB	Garantit que les instances MongoDB n'ont pas de liste blanche ouverte (0.0.0.0/0).
mse-cluster-architecture-check	Le Cluster MSE a Plusieurs Nœuds	Garantit que les clusters MSE (Moteur de Microservices) ont plus de 3 nœuds pour une haute disponibilité.
mse-cluster-internet-check	Le Cluster MSE N'a Pas d'Accès Internet Public	Garantit que les clusters MSE n'ont pas d'accès Internet public activé.
mse-gateway-architecture-check	La Passerelle MSE a Plusieurs Nœuds	Garantit que les passerelles MSE (Moteur de Microservices) ont plus d'un nœud pour une haute disponibilité.
nas-access-group-public-access-check	Restriction IP du Groupe d'Accès NAS	Garantit que les règles d'accès NAS n'autorisent pas 0.0.0.0/0.
nat-risk-ports-check	Vérification des Ports à Risque de la Passerelle NAT	Les mappages DNAT de la passerelle NAT ne doivent pas exposer des ports risqués à Internet pour prévenir les vulnérabilités de sécurité.
oss-bucket-anonymous-prohibited	Accès Anonyme au Bucket OSS Interdit	Garantit que l'accès anonyme est interdit pour le bucket OSS.
oss-bucket-only-https-enabled	Seul HTTPS de Bucket OSS Activé	Le bucket OSS doit avoir une politique qui refuse les requêtes non-HTTPS pour assurer la sécurité du transport des données.
oss-bucket-policy-no-any-anonymous	La politique de bucket OSS n'accorde pas de permissions aux utilisateurs anonymes	La politique de bucket OSS n'accorde pas de permissions de lecture ou d'écriture aux utilisateurs anonymes.
oss-bucket-policy-outside-organization-check	Politique de Bucket OSS Sans Accès Hors Organisation	Garantit que les politiques de bucket OSS n'accordent pas d'accès aux principaux en dehors de l'organisation.
oss-bucket-public-read-prohibited	Lecture Publique de Bucket OSS Interdite	Les buckets OSS ne doivent pas autoriser l'accès en lecture public sauf si cela est spécifiquement requis. L'accès en lecture public permet à quiconque d'accéder et de télécharger des objets dans le bucket.
oss-bucket-public-write-prohibited	Écriture Publique de Bucket OSS Interdite	Les buckets OSS ne doivent pas autoriser l'accès en écriture public. L'accès en écriture public permet à quiconque de télécharger, modifier ou supprimer des objets dans le bucket, ce qui pose des risques de sécurité importants.
oss-bucket-server-side-encryption-enabled	Chiffrement Côté Serveur de Bucket OSS Activé	Les buckets OSS doivent avoir le chiffrement côté serveur activé pour protéger les données au repos. Le chiffrement côté serveur utilise KMS ou AES256 pour chiffrer les données stockées dans OSS.
parameter-sensitive-noecho-check	Les Paramètres Sensibles Doivent Avoir NoEcho	Les paramètres de modèle qui contiennent des informations sensibles (mots de passe, clés API, secrets) doivent être protégés en définissant NoEcho sur true ou en utilisant des valeurs AssociationProperty valides pour éviter qu'ils ne soient affichés en texte clair.
polardb-cluster-enabled-tde	TDE du Cluster PolarDB Activé	Garantit que les clusters PolarDB ont Transparent Data Encryption (TDE) activé.
polardb-cluster-expired-check	Vérification d'Expiration du Cluster PolarDB	Les clusters PolarDB prépayés doivent avoir le renouvellement automatique activé.
polardb-public-access-check	Vérification d'Accès Public PolarDB	Garantit que la liste blanche IP PolarDB n'est pas définie sur 0.0.0.0/0.
polardb-public-and-any-ip-access-check	Vérification d'Accès Public et de N'importe Quelle IP PolarDB	Garantit que les clusters PolarDB n'ont pas d'endpoints publics et ne sont pas ouverts à n'importe quelle adresse IP (0.0.0.0/0).
ram-policy-no-statements-with-admin-access-check	Politique RAM Sans Accès Administrateur	Garantit que les politiques RAM personnalisées n'accordent pas un accès administrateur complet.
ram-user-mfa-check	MFA Utilisateur RAM Activé	Les utilisateurs RAM avec accès à la console doivent avoir l'authentification multifacteur (MFA) activée.
rds-instance-enabled-disk-encryption	Chiffrement de Disque d'Instance RDS Activé	Garantit que les instances RDS ont le chiffrement de disque activé.
rds-instance-expired-check	Vérification d'Expiration d'Instance Prépayée RDS	Les instances RDS prépayées doivent avoir le renouvellement automatique activé.
rds-public-access-check	Vérification d'Accès Public d'Instance RDS	Les instances RDS ne doivent pas être configurées avec des adresses réseau publiques. L'accès public expose les bases de données à des menaces de sécurité potentielles d'Internet.
rds-public-connection-and-any-ip-access-check	Vérification de Connexion Publique et d'Accès de N'importe Quelle IP RDS	Garantit que les instances RDS avec connexions publiques n'ont pas de liste blanche ouverte à toutes les IPs.
rds-white-list-internet-ip-access-check	Restriction Internet de Liste Blanche RDS	Garantit que les listes blanches d'IP de sécurité RDS ne contiennent pas 0.0.0.0/0.
redis-instance-expired-check	Vérification d'Expiration d'Instance Prépayée Redis	Les instances Redis prépayées doivent avoir le renouvellement automatique activé.
redis-instance-no-public-ip	Instance Redis Sans IP Publique	Garantit que l'instance Redis n'a pas d'IP publique assignée.
redis-instance-open-auth-mode	Mode d'Authentification Redis Activé	Garantit que les instances Redis nécessitent une authentification et ne sont pas en mode 'sans mot de passe'.
redis-public-and-any-ip-access-check	Vérification d'Accès Public et de N'importe Quelle IP Redis	Garantit que les instances Redis n'ont pas d'accès public activé ou une liste blanche ouverte.
root-ak-check	Vérification de la Clé d'Accès Utilisateur Root	Garantit que le compte root n'a pas de clés d'accès actives.
root-mfa-check	Vérification MFA Utilisateur Root	Garantit que l'authentification multifacteur (MFA) est activée pour le compte root.
sg-public-access-check	Ingress du Groupe de Sécurité Valide	Les règles d'ingress du groupe de sécurité ne doivent pas autoriser tous les ports (-1/-1) depuis toutes les sources (0.0.0.0/0) simultanément.
sg-risky-ports-check	Le Groupe de Sécurité N'ouvre Pas de Ports à Risque à 0.0.0.0/0	Lorsque la source de la règle d'entrée du groupe de sécurité est définie sur 0.0.0.0/0, la plage de ports ne doit pas inclure de ports à risque spécifiés, considéré comme conforme. Si la source n'est pas 0.0.0.0/0, c'est conforme même si des ports à risque sont inclus.
slb-acl-public-access-check	Vérification d'Accès Public ACL SLB	Garantit que les ACL SLB ne contiennent pas 0.0.0.0/0 pour empêcher l'accès public sans restriction.
slb-all-listener-health-check-enabled	Vérification de Santé de Tous les Listeners SLB Activée	Garantit que tous les listeners SLB ont les vérifications de santé activées.
slb-all-listener-servers-multi-zone	SLB Multi-zones avec Serveurs Backend Multi-zones	Les instances SLB doivent être multi-zones, et tous les groupes de serveurs utilisés par les listeners doivent avoir des ressources ajoutées depuis plusieurs zones.
slb-delete-protection-enabled	Protection contre la Suppression d'Instance SLB Activée	Garantit que les instances SLB ont la protection contre la suppression activée.
slb-listener-risk-ports-check	Vérification des Ports à Risque du Listener SLB	Garantit que les listeners SLB n'exposent pas de ports à haut risque comme 22 ou 3389.
transit-router-vpc-attachment-multi-zone	Configuration Multi-Zone de Connexion VPC du Routeur de Transit	Les connexions VPC du routeur de transit doivent être configurées avec des vSwitches dans au moins deux zones de disponibilité différentes pour une haute disponibilité inter-zones.
tsdb-instance-security-ip-check	L'Instance TSDB N'autorise Pas l'Accès IP	Garantit que les instances TSDB n'ont pas de listes blanches de sécurité qui autorisent toutes les IP.
use-waf-instance-for-security-protection	Utiliser WAF pour la Protection de Sécurité	Le Pare-feu d'Application Web (WAF) doit être utilisé pour protéger les sites web et les applications contre les attaques basées sur le web.
vpc-network-acl-risky-ports-check	Vérification des Ports à Risque de l'ACL Réseau VPC	Garantit que les ACL réseau VPC n'autorisent pas l'accès sans restriction aux ports à risque (22, 3389).

Moyenne Gravité (179 Règles)

ID de Règle	Nom	Description
ack-cluster-encryption-enabled	Chiffrement Secret du Cluster ACK Activé	Les clusters ACK Pro doivent avoir le chiffrement Secret au repos activé avec KMS.
ack-cluster-inspect-kubelet-version-outdate-check	Vérification de Version Kubelet ACK	Garantit que la version Kubelet dans le cluster ACK est à jour.
ack-cluster-log-plugin-installed	Plugin de Journal du Cluster ACK Installé	Garantit que le module complémentaire log-service est installé dans le cluster ACK.
ack-cluster-rrsa-enabled	RRSA du Cluster ACK Activé	Garantit que la fonctionnalité RAM Roles for Service Accounts (RRSA) est activée pour le cluster ACK.
ack-cluster-supported-version	Version Prise en Charge du Cluster ACK	Garantit que le cluster ACK exécute une version prise en charge.
ack-cluster-upgrade-latest-version	Cluster ACK Mis à Jour vers la Dernière Version	Garantit que le cluster ACK exécute la dernière version disponible.
adb-cluster-multi-zone	Déploiement Multi-Zone du Cluster ADB	Le cluster ADB doit être déployé en mode multi-zone.
alb-all-listenter-has-server	L'Écouteur ALB a un Serveur Backend	Garantit que tous les écouteurs ALB sont associés à un groupe de serveurs non vide.
alb-instance-bind-security-group-or-enabled-acl	Instance ALB Lier Groupe de Sécurité ou Activer ACL	L'instance ALB doit avoir des groupes de sécurité associés ou ACL configuré pour tous les écouteurs en cours d'exécution.
alb-server-group-multi-zone	Distribution Multi-Zone du Groupe de Serveurs ALB	Les groupes de serveurs ALB doivent avoir des serveurs backend distribués sur plusieurs zones de disponibilité pour une haute disponibilité. Cette règle ne s'applique pas aux groupes de serveurs sans serveurs attachés, ni aux groupes de serveurs de type IP/Function Compute.
alidns-domain-regex-match	Les Noms de Domaine DNS d'Alibaba Cloud Correspondent à la Convention de Dénomination	Garantit que les noms de domaine DNS d'Alibaba Cloud correspondent à l'expression régulière de convention de dénomination spécifiée.
api-gateway-api-auth-jwt	Authentification JWT de l'API API Gateway	Garantit que les API API Gateway utilisent l'authentification JWT.
api-gateway-api-auth-required	Authentification API du Gateway API Requise	Garantit que les APIs du Gateway API ont l'authentification configurée.
api-gateway-api-internet-request-https	HTTPS de Requête Internet du Gateway API Activé	Garantit que les APIs du Gateway API exposées à Internet utilisent le protocole HTTPS.
api-gateway-api-visibility-private	Visibilité API de l'API Gateway Privée	Garantit que les API de l'API Gateway sont définies sur la visibilité PRIVÉE.
api-gateway-group-bind-domain	Lier le Domaine du Groupe API Gateway	Garantit que les groupes API Gateway ont des domaines personnalisés liés.
api-gateway-group-enabled-ssl	SSL du Groupe API Gateway Activé	Garantit que SSL est activé pour les groupes API Gateway.
api-gateway-group-https-policy-check	Vérification de Politique HTTPS du Groupe API Gateway	Garantit que les groupes API Gateway ont la politique de sécurité HTTPS définie correctement.
api-gateway-group-log-enabled	Journal du Groupe API Gateway Activé	Garantit que les groupes API Gateway ont la journalisation configurée.
apigateway-instance-multi-zone	Déploiement Multi-Zone d'Instance API Gateway	Les instances API Gateway doivent être déployées en configuration multi-zone pour une haute disponibilité.
bastionhost-instance-spec-check	Vérification de Spécification Multi-Zone d'Instance BastionHost	L'instance BastionHost doit utiliser la version Enterprise qui prend en charge le déploiement multi-zone.
cen-cross-region-bandwidth-check	Vérification de la Bande Passante Inter-Région CEN	Les connexions inter-région d'instance CEN doivent avoir une allocation de bande passante suffisante pour répondre aux exigences de performance.
clickhouse-dbcluster-multi-zone	Déploiement Multi-Zone ClickHouse DBCluster	Les clusters ClickHouse doivent utiliser l'édition HighAvailability (Double-replica) pour le déploiement multi-zone. Note : Cela s'applique uniquement à l'édition communautaire.
cr-instance-multi-zone	Instance CR avec Bucket OSS Redondant par Zone	Les instances Container Registry doivent être associées à des buckets OSS redondants par zone pour une haute disponibilité.
ecs-disk-all-encrypted-by-kms	Disque ECS avec Chiffrement KMS Activé	Les disques ECS (y compris le disque système et les disques de données) sont chiffrés avec KMS, considéré comme conforme.
ecs-disk-encrypted	Chiffrement du disque de données ECS activé	Le disque de données ECS a le chiffrement activé, considéré comme conforme.
ecs-disk-in-use	Le Disque ECS est en Utilisation	Les disques ECS sont attachés à une instance ou en état d'utilisation, considéré comme conforme. Les disques disponibles ou non attachés peuvent être des ressources inactives.
ecs-disk-retain-auto-snapshot	Conserver l'Instantané Automatique lors de la Libération du Disque ECS	Configurez les disques ECS pour conserver les instantanés automatiques lors de la libération, considéré comme conforme. Cela aide à protéger les données contre la suppression accidentelle.
ecs-in-use-disk-encrypted	Chiffrement de Disque en Utilisation ECS	Les disques de données ECS doivent avoir le chiffrement activé pour protéger les données au repos. Les disques chiffrés utilisent des clés KMS pour chiffrer les données, garantissant la sécurité des données et la conformité aux exigences réglementaires.
ecs-instance-auto-renewal-enabled	Instance d'abonnement ECS a le renouvellement automatique activé	Les instances d'abonnement ECS (prépayées) ont le renouvellement automatique activé, considérées comme conformes. Les instances à la demande ne sont pas applicables.
ecs-instance-image-expired-check	Vérification d'Expiration d'Image d'Instance ECS	Garantit que l'image utilisée par l'instance ECS n'a pas expiré.
ecs-instance-image-type-check	Vérification du Type d'Image d'Instance ECS	Garantit que les instances ECS utilisent des images provenant de sources autorisées.
ecs-instance-login-use-keypair	Connexion d'Instance ECS Utilisant une Paire de Clés	Garantit que les instances ECS utilisent des paires de clés pour la connexion au lieu de mots de passe.
ecs-instance-meta-data-mode-check	L'accès aux métadonnées d'instance ECS utilise le mode de sécurité renforcé (IMDSv2)	Lors de l'accès aux métadonnées d'instance ECS, le mode de sécurité renforcé (IMDSv2) est appliqué, considéré comme conforme. Les instances associées aux clusters ACK ne sont pas applicables.
ecs-instance-no-public-and-anyip	L'Instance ECS Ne Doit Pas Lier d'IP Publique ou Autoriser l'Accès de N'importe Quelle IP	Les instances ECS ne doivent pas lier directement des IPs publiques IPv4 ou des IPs élastiques, et les groupes de sécurité associés ne doivent pas exposer 0.0.0.0/0. Conforme lorsqu'aucune IP publique n'est liée.
ecs-instance-not-bind-key-pair	Instance ECS Non Liée à une Paire de Clés	Garantit que les instances ECS utilisent des paires de clés pour l'authentification au lieu de mots de passe.
ecs-instance-type-family-not-deprecated	Type d'Instance ECS Non Déprécié	Garantit que les instances ECS n'utilisent pas de types d'instance dépréciés ou hérités.
ecs-instances-in-vpc	Instances ECS dans le VPC	Les instances ECS doivent être déployées dans des réseaux VPC (Virtual Private Cloud) plutôt que dans des réseaux classiques. VPC offre une meilleure isolation réseau, sécurité et flexibilité.
ecs-internetmaxbandwidth-check	Vérification de la Bande Passante Internet Maximale ECS	Garantit que la bande passante Internet sortante ECS ne dépasse pas les limites spécifiées.
ecs-launch-template-network-type-check	Le modèle de lancement ECS utilise le type de réseau VPC	Les versions de modèle de lancement ECS ont le type de réseau défini sur VPC, considéré comme conforme. Le type de réseau classique n'est pas recommandé pour les environnements de production.
ecs-launch-template-version-data-disk-encrypted	La Version du Modèle de Démarrage ECS Active le Chiffrement de Disque de Données	Tous les disques de données configurés dans les versions de modèle de démarrage ECS sont chiffrés, considéré comme conforme.
ecs-launch-template-version-image-type-check	Vérification du Type d'Image du Modèle de Démarrage	Garantit que les modèles de démarrage ECS utilisent des types d'image autorisés.
ecs-running-instances-in-vpc	Les Instances ECS en Cours d'Exécution Sont dans le VPC	Les instances ECS en cours d'exécution sont déployées dans Virtual Private Cloud (VPC), considérées comme conformes. Cela offre un isolement réseau et une sécurité renforcée.
ecs-snapshot-policy-timepoints-check	Points Temporels de Politique d'Instantané Automatique ECS Configurés Raisonnablement	Les points temporels de création d'instantanés dans la politique d'instantanés automatiques sont dans la plage de temps spécifiée, considérés comme conformes. La création d'instantanés réduit temporairement les performances d'E/S du stockage en bloc, avec des différences de performance généralement inférieures à 10%, provoquant de brefs ralentissements. Il est recommandé de sélectionner des points temporels qui évitent les heures de pointe commerciales.
eip-delete-protection-enabled	Protection contre la Suppression EIP Activée	Garantit que les instances EIP ont la protection contre la suppression activée.
elasticsearch-instance-enabled-data-node-encryption	Chiffrement du Nœud de Données Elasticsearch Activé	Garantit que les nœuds de données dans l'instance Elasticsearch ont le chiffrement de disque activé.
elasticsearch-instance-enabled-node-config-disk-encryption	Chiffrement de Disque de Configuration de Nœud ES	Garantit que les configurations de nœuds élastiques Elasticsearch ont le chiffrement de disque activé.
elasticsearch-instance-multi-zone	Déploiement Multi-Zone d'Instance Elasticsearch	Les instances Elasticsearch doivent être déployées sur plusieurs zones de disponibilité.
emr-cluster-master-public-access-check	Vérification de l'Accès Public du Nœud Maître du Cluster EMR	Les nœuds maîtres du cluster EMR sur ECS ne doivent pas avoir d'IP publique activée.
ess-group-health-check	Vérification de Santé du Groupe de Mise à l'Échelle ESS	Les groupes de mise à l'échelle ESS doivent activer la vérification de santé des instances ECS pour s'assurer que seules les instances saines sont en service.
ess-scaling-configuration-attach-security-group	Groupe de Sécurité de Configuration de Mise à l'Échelle ESS	Les configurations de mise à l'échelle ESS doivent attacher des groupes de sécurité aux instances pour une isolation réseau et un contrôle d'accès appropriés.
ess-scaling-configuration-enabled-internet-check	Vérification de l'Accès Internet de la Configuration de Mise à l'Échelle ESS	Garantit que les configurations de mise à l'échelle ESS n'activent pas d'adresses IP publiques pour les instances sauf si nécessaire.
ess-scaling-configuration-image-check	Vérification d'Image de Configuration de Mise à l'Échelle ESS	Les configurations de mise à l'échelle ESS doivent utiliser des images maintenues pour assurer la sécurité et la stabilité.
ess-scaling-configuration-image-type-check	Vérification du Type d'Image de Configuration de Mise à l'Échelle ESS	Les configurations de mise à l'échelle ESS doivent utiliser des images provenant de sources spécifiées pour une meilleure sécurité et gestion.
ess-scaling-group-attach-multi-switch	Groupe de Mise à l'Échelle ESS Multi-VSwitch	Les groupes de mise à l'échelle ESS doivent être associés à au moins deux VSwitches pour une haute disponibilité sur plusieurs zones.
ess-scaling-group-attach-slb	Groupe de Mise à l'Échelle ESS Attacher SLB	Les groupes de mise à l'échelle ESS doivent être attachés à l'Équilibreur de Charge Classique (SLB) pour une distribution appropriée du trafic.
ess-scaling-group-loadbalancer-check	Vérification d'Existence de l'Équilibreur de Charge du Groupe de Mise à l'Échelle ESS	Les groupes de mise à l'échelle ESS doivent être attachés à des instances d'équilibreur de charge existantes et actives pour une distribution appropriée du trafic.
fc-function-custom-domain-and-cert-enable	Vérification du Certificat de Domaine Personnalisé de Fonction FC	Les domaines personnalisés FC doivent avoir des certificats SSL configurés pour une communication sécurisée.
fc-function-custom-domain-and-https-enable	Vérification HTTPS du Domaine Personnalisé de Fonction FC	Les domaines personnalisés FC doivent avoir HTTPS activé pour une communication sécurisée.
fc-function-custom-domain-and-tls-enable	Domaine Personnalisé et TLS de Fonction FC Activé	Garantit que les domaines personnalisés pour les fonctions Function Compute ont TLS activé.
fc-function-internet-and-custom-domain-enable	Accès Internet au Service FC avec Domaine Personnalisé	Les services FC avec accès Internet doivent être liés à des domaines personnalisés pour un contrôle d'accès approprié.
fc-function-settings-check	Vérification des Paramètres de Fonction FC	Les paramètres de fonction FC doivent répondre aux exigences spécifiées pour des performances et une sécurité optimales.
fc-service-bind-role	Service FC Lié au Rôle RAM	Garantit que le service Function Compute a un rôle RAM lié.
fc-service-internet-access-disable	Accès Internet du Service FC Désactivé	Garantit que le service Function Compute a l'accès Internet désactivé lorsqu'il ne doit accéder qu'aux ressources internes.
fc-service-log-enable	Activer le Journal du Service FC	Les services FC doivent avoir la journalisation activée pour la surveillance et le dépannage.
fc-service-tracing-enable	Activer le Traçage de Service FC	Les services FC doivent avoir le traçage activé pour la surveillance des performances et le débogage.
fc-service-vpc-binding	Liaison VPC du Service FC Activée	Garantit que le service Function Compute est configuré pour accéder aux ressources dans un VPC.
firewall-asset-open-protect	Protection des Actifs du Pare-feu Cloud Activée	Garantit que les actifs sont protégés par le Pare-feu Cloud.
gpdb-instance-multi-zone	Déploiement Multi-Zone d'Instance GPDB	Les instances GPDB doivent être déployées avec une zone de secours pour une haute disponibilité.
gwlb-loadbalancer-multi-zone	Déploiement Multi-Zone du Répartiteur de Charge GWLB	Les instances du Répartiteur de Charge GWLB doivent être déployées sur au moins deux zones de disponibilité pour une haute disponibilité.
hbase-cluster-deletion-protection	Protection contre la Suppression de Cluster HBase Activée	Garantit que les clusters HBase ont la protection contre la suppression activée.
hbase-cluster-in-vpc	Cluster HBase dans VPC	Garantit que le cluster HBase est déployé dans un VPC.
hbase-cluster-multi-zone	Déploiement Multi-Zone du Cluster HBase	Les clusters HBase doivent être déployés en mode cluster avec au moins 2 nœuds pour une haute disponibilité.
internet-nat-gateway-in-specified-vpc	Passerelle NAT Internet dans VPC Spécifié	Les passerelles NAT orientées Internet doivent être créées dans des VPC spécifiés selon les exigences de sécurité réseau.
intranet-nat-gateway-in-specified-vpc	Passerelle NAT Intranet dans VPC Spécifié	Les passerelles NAT orientées intranet doivent être créées dans des VPC spécifiés selon les exigences de sécurité réseau.
kafka-instance-multi-zone	Déploiement Multi-Zone de l'Instance Kafka	Les instances Kafka doivent être déployées sur plusieurs zones de disponibilité pour une haute disponibilité.
kms-instance-multi-zone	Déploiement Multi-Zone de l'Instance KMS	Les instances KMS doivent être déployées sur au moins deux zones de disponibilité pour une haute disponibilité et une reprise après sinistre.
kms-key-delete-protection-enabled	Protection contre la Suppression de Clé KMS Activée	La clé maître KMS a la protection contre la suppression activée, considérée comme conforme. Les clés qui ne sont pas en état activé et les clés de service (qui ne peuvent pas être supprimées) ne sont pas applicables.
kms-key-rotation-enabled	Rotation automatique de clé KMS activée	La clé maître utilisateur KMS a la rotation automatique activée, considérée comme conforme. Les clés de service et les clés importées externement ne sont pas applicables.
kms-secret-rotation-enabled	Rotation automatique de secret KMS activée	Le secret KMS a la rotation automatique activée, considéré comme conforme. Les secrets génériques ne sont pas applicables.
lindorm-instance-in-vpc	Vérification de Lindorm dans VPC	Garantit que les instances Lindorm sont déployées dans un VPC.
lindorm-instance-multi-zone	Déploiement Multi-Zone d'Instance Lindorm	Les instances Lindorm doivent être configurées pour un déploiement multi-zone avec au moins 4 nœuds LindormTable pour une haute disponibilité.
mongodb-instance-enabled-ssl	SSL d'Instance MongoDB Activé	Garantit que les instances MongoDB ont le chiffrement SSL activé.
mongodb-instance-encryption-byok-check	L'Instance MongoDB Utilise une Clé Personnalisée pour TDE	Garantit que les instances MongoDB utilisent des clés KMS personnalisées pour le Chiffrement Transparent des Données (TDE).
mongodb-instance-in-vpc	L'Instance MongoDB Utilise le Réseau VPC	Garantit que les instances MongoDB sont déployées dans un réseau de Cloud Privé Virtuel (VPC).
mongodb-instance-log-audit	Audit de Journal d'Instance MongoDB Activé	Garantit que les instances MongoDB ont l'audit de journalisation activé.
mongodb-instance-multi-node	L'Instance MongoDB Utilise Plusieurs Nœuds	Garantit que les instances MongoDB sont déployées avec plusieurs nœuds pour une haute disponibilité.
mongodb-instance-multi-zone	Déploiement Multi-Zone d'Instance MongoDB	Les instances MongoDB doivent être déployées sur plusieurs zones de disponibilité pour une haute disponibilité.
mongodb-instance-release-protection	Protection contre la Libération d'Instance MongoDB Activée	Garantit que les instances MongoDB ont la protection contre la libération activée.
mse-cluster-config-auth-enabled	Authentification de Configuration de Cluster MSE Activée	Garantit que le centre de configuration du cluster du moteur de microservices (MSE) a l'authentification activée.
mse-cluster-multi-availability-area-architecture-check	Configuration de Haute Disponibilité du Cluster MSE	Les clusters MSE doivent utiliser l'Édition Professionnelle avec au moins 3 instances (nombre impair) pour une haute disponibilité.
mse-cluster-stable-version-check	Le Cluster MSE Utilise une Version Stable	Garantit que la version du moteur du cluster MSE est supérieure à la version stable minimale.
mse-gateway-multi-availability-area-architecture-check	Déploiement Multi-Zone de Disponibilité de la Passerelle MSE	Les passerelles MSE doivent être déployées sur plusieurs zones de disponibilité en configurant un VSwitch de sauvegarde.
nas-filesystem-mount-target-access-group-check	Vérification du Groupe d'Accès de Cible de Montage NAS	Garantit que les cibles de montage NAS n'utilisent pas 'DEFAULT_VPC_GROUP_NAME'.
natgateway-delete-protection-enabled	Protection contre la Suppression de la Passerelle NAT Activée	Garantit que les passerelles NAT ont la protection contre la suppression activée.
natgateway-eip-used-check	Vérification de l'Utilisation EIP de la Passerelle NAT	SNAT et DNAT ne doivent pas utiliser le même EIP pour éviter les conflits potentiels et améliorer la segmentation réseau.
natgateway-snat-eip-bandwidth-check	Cohérence de Bande Passante EIP SNAT de Passerelle NAT	Lorsque les entrées SNAT sont liées à plusieurs EIP, les paramètres de pic de bande passante doivent être cohérents ou ils doivent être ajoutés à un package de bande passante partagée.
nlb-loadbalancer-multi-zone	Déploiement Multi-Zone de l'Équilibreur de Charge NLB	Les instances d'équilibreur de charge NLB doivent être déployées sur au moins deux zones de disponibilité pour une haute disponibilité.
nlb-server-group-multi-zone	Distribution Multi-Zone du Groupe de Serveurs NLB	Les groupes de serveurs NLB doivent avoir des serveurs backend distribués sur plusieurs zones de disponibilité pour une haute disponibilité. Cette règle ne s'applique pas aux groupes de serveurs sans serveurs attachés, ni aux groupes de serveurs de type IP.
oss-bucket-authorize-specified-ip	Bucket OSS Autorise IP Spécifiée	Garantit que les politiques de bucket OSS restreignent l'accès aux plages d'IP spécifiées.
oss-bucket-backup-enable	Sauvegarde OSS Activée	Garantit que les buckets OSS ont la sauvegarde ou le contrôle de version activé.
oss-bucket-logging-enabled	Journalisation de Bucket OSS Activée	Les buckets OSS doivent avoir la journalisation activée pour suivre les accès et les opérations. La journalisation aide à l'audit de sécurité, au dépannage et aux exigences de conformité.
oss-bucket-remote-replication	Réplication Distante de Bucket OSS Activée	Garantit que la réplication inter-régions est activée pour le bucket OSS pour la reprise après sinistre.
oss-bucket-tls-version-check	Vérification de la Version TLS de Bucket OSS	Garantit que le bucket OSS est configuré pour utiliser une version sécurisée de TLS (TLS 1.2 ou supérieure).
oss-bucket-versioning-enabled	Versioning de Bucket OSS Activé	Le bucket OSS doit avoir le versioning activé pour protéger contre la suppression ou l'écrasement accidentel.
oss-default-encryption-kms	Chiffrement KMS côté serveur de bucket OSS activé	Le bucket OSS a le chiffrement KMS côté serveur activé, considéré comme conforme.
oss-encryption-byok-check	Vérification du Chiffrement BYOK de Bucket OSS	Les buckets OSS doivent utiliser des clés KMS gérées par le client (BYOK - Bring Your Own Key) pour le chiffrement. Cela offre un meilleur contrôle sur les clés de chiffrement et répond aux exigences de conformité.
oss-zrs-enabled	Stockage Redondant par Zone de Bucket OSS Activé	Les buckets OSS doivent utiliser le stockage redondant par zone (ZRS) pour une haute disponibilité et une durabilité des données.
ots-instance-multi-zone	Stockage Redondant par Zone d'Instance OTS	Garantit que les instances Tablestore (OTS) utilisent un stockage redondant par zone pour une haute disponibilité.
ots-instance-network-not-normal	Type de Réseau Restreint OTS	Garantit que les instances Table Store (OTS) n'utilisent pas le type de réseau 'Normal' (sans restriction).
pai-eas-instances-multi-zone	Déploiement Multi-Zone d'Instance PAI EAS	Garantit que les instances PAI EAS sont déployées sur plusieurs zones pour une haute disponibilité.
polardb-cluster-default-time-zone-not-system	Fuseau Horaire par Défaut du Cluster PolarDB N'est Pas Système	Garantit que le fuseau horaire par défaut du cluster PolarDB n'est pas défini sur SYSTEM.
polardb-cluster-delete-protection-enabled	Protection contre la Suppression du Cluster PolarDB Activée	Garantit que les clusters PolarDB ont la protection contre la suppression activée.
polardb-cluster-enabled-ssl	SSL du Cluster PolarDB Activé	Garantit que les clusters PolarDB ont le chiffrement SSL activé.
polardb-cluster-multi-zone	Déploiement Multi-zones du Cluster PolarDB	Les clusters PolarDB doivent être déployés sur plusieurs zones de disponibilité pour une haute disponibilité.
polardb-dbcluster-in-vpc	Cluster PolarDB dans VPC	Garantit que le cluster PolarDB est déployé dans un VPC.
polardb-revision-version-used-check	Vérification de la Version de Révision PolarDB Utilisée	Garantit que le cluster PolarDB utilise une version de révision de noyau stable.
polardb-x2-instance-multi-zone	Déploiement Multi-Zone de l'Instance PolarDB-X 2.0	Les instances PolarDB-X 2.0 doivent être déployées sur 3 zones de disponibilité.
privatelink-server-endpoint-multi-zone	Déploiement Multi-Zone du Service de Point de Terminaison VPC PrivateLink	Les services de point de terminaison VPC PrivateLink doivent avoir des ressources déployées sur plusieurs zones de disponibilité pour une haute disponibilité.
privatelink-servier-endpoint-multi-zone	Déploiement Multi-Zone du Point de Terminaison de Service PrivateLink	Garantit que les points de terminaison de service PrivateLink sont déployés sur plusieurs zones pour une haute disponibilité.
ram-password-policy-check	Vérification de la Politique de Mot de Passe RAM	Garantit que la politique de mot de passe RAM répond aux exigences de sécurité spécifiées.
ram-policy-no-has-specified-document	Politique RAM Sans Document Spécifié	Garantit que les politiques RAM personnalisées ne contiennent pas la configuration de permissions spécifiée.
ram-role-has-specified-policy	Le Rôle RAM a une Politique Spécifiée	Garantit que les rôles RAM ont les politiques spécifiées attachées.
ram-role-no-product-admin-access	Le Rôle RAM N'a Pas d'Accès Administrateur Produit	Garantit que les rôles RAM n'ont pas d'accès administratif complet ou de permissions d'administrateur de produit.
ram-user-activated-ak-quantity-check	Vérification de la Quantité d'AK Actif d'Utilisateur RAM	Garantit que les utilisateurs RAM n'ont pas plus d'une AccessKey active.
ram-user-ak-create-date-expired-check	Vérification d'Expiration de la Date de Création d'AccessKey d'Utilisateur RAM	Garantit que les AccessKeys d'utilisateur RAM ne sont pas plus anciennes que le nombre de jours spécifié.
ram-user-ak-used-expired-check	Vérification de la Date de Dernière Utilisation d'AccessKey d'Utilisateur RAM	Garantit que les AccessKeys d'utilisateur RAM ont été utilisées dans le nombre de jours spécifié.
ram-user-has-specified-policy	L'Utilisateur RAM a une Politique Spécifiée	Garantit que les utilisateurs RAM ont les politiques requises attachées, y compris celles héritées des groupes.
ram-user-login-check	Vérification de l'Activation de la Connexion Utilisateur RAM	Garantit que les utilisateurs RAM qui n'ont pas besoin d'accès à la console ont la connexion désactivée.
ram-user-no-has-specified-policy	Utilisateur RAM Sans Politique Spécifiée	Garantit que les utilisateurs RAM n'ont pas de politiques risquées spécifiées attachées.
ram-user-no-product-admin-access	Utilisateur RAM Sans Accès Administratif au Produit	Garantit que les utilisateurs RAM n'ont pas d'accès administratif complet aux produits cloud sauf si nécessaire.
ram-user-role-no-product-admin-access	Le Rôle d'Utilisateur RAM N'a Pas d'Accès Administrateur Produit	Garantit que les rôles définis par l'utilisateur RAM n'ont pas de permissions administratives de produit.
ram-user-specified-permission-bound	Limite de Permission Spécifiée de l'Utilisateur RAM	Garantit que les utilisateurs RAM n'ont pas de permissions à haut risque spécifiées liées.
rds-instacne-delete-protection-enabled	Protection contre la Suppression d'Instance RDS Activée	Garantit que les instances RDS ont la protection contre la suppression activée.
rds-instance-enabled-auditing	Audit d'Instance RDS Activé	Garantit que les instances RDS ont l'audit SQL activé.
rds-instance-enabled-log-backup	Sauvegarde de Journal d'Instance RDS Activée	Garantit que les instances RDS ont la sauvegarde de journal activée.
rds-instance-enabled-ssl	SSL d'Instance RDS Activé	Garantit que les instances RDS ont le chiffrement SSL activé.
rds-instance-enabled-tde-disk-encryption	Instance RDS TDE ou Chiffrement de Disque Activé	L'instance RDS doit avoir TDE (Chiffrement Transparent des Données) ou le chiffrement de disque activé.
rds-instance-has-guard-instance	L'Instance RDS a une Instance de Garde	Garantit que les instances RDS de production ont une instance de garde (récupération après sinistre) correspondante.
rds-instances-in-vpc	Instance RDS dans VPC	Garantit que l'instance RDS est déployée dans un VPC.
rds-multi-az-support	Déploiement Multi-AZ d'Instance RDS	Les instances RDS doivent être déployées en configuration multi-AZ pour une haute disponibilité et un basculement automatique.
redis-architecturetype-cluster-check	Vérification du Type d'Architecture de Cluster Redis	Garantit que l'instance Redis utilise le type d'architecture de cluster.
redis-instance-backup-log-enabled	Sauvegarde de Journal d'Instance Redis Activée	Garantit que la sauvegarde de journal est activée pour l'instance Redis.
redis-instance-double-node-type	Type de Nœud Double d'Instance Redis	Garantit que l'instance Redis utilise le type de nœud double pour une haute disponibilité.
redis-instance-enabled-byok-tde	TDE BYOK d'Instance Redis Activé	Garantit que les instances Redis ont Transparent Data Encryption (TDE) activé en utilisant Bring Your Own Key (BYOK).
redis-instance-enabled-ssl	SSL d'Instance Redis Activé	Garantit que les instances Redis ont le chiffrement SSL activé.
redis-instance-in-vpc	Instance Redis dans VPC	Garantit que l'instance Redis est déployée dans un VPC.
redis-instance-multi-zone	Déploiement Multi-Zones d'Instance Redis	Les instances Redis doivent être déployées sur plusieurs zones de disponibilité pour une haute disponibilité.
redis-instance-release-protection	Protection contre la Libération d'Instance Redis Activée	Garantit que les instances Redis ont la protection contre la libération activée.
redis-instance-tls-version-check	Vérification de Version TLS d'Instance Redis	Garantit que l'instance Redis a SSL activé avec une version TLS acceptable.
redis-min-capacity-limit	Limite de Capacité Minimale Redis	Garantit que l'instance Redis a une capacité mémoire répondant à l'exigence minimale.
rocketmq-v5-instance-multi-zone	Déploiement Multi-Zone d'Instance RocketMQ 5.0	Les instances RocketMQ 5.0 doivent être déployées en mode Cluster HA qui prend en charge la disponibilité multi-zone.
security-center-version-check	Vérification de Version du Centre de Sécurité	Le Centre de Sécurité doit être à une version qui fournit des fonctionnalités de protection suffisantes.
slb-all-listener-enabled-acl	Tous les Écouteurs SLB ont un Contrôle d'Accès	Tous les écouteurs en cours d'exécution des instances SLB doivent avoir des listes de contrôle d'accès (ACL) configurées pour la sécurité.
slb-all-listener-http-disabled	HTTP de Tous les Écouteurs SLB Désactivé	Garantit qu'aucun écouteur SLB n'utilise le protocole HTTP non sécurisé.
slb-all-listener-http-redirect-https	Redirection HTTP vers HTTPS SLB Activée	Garantit que les écouteurs HTTP SLB sont configurés pour rediriger le trafic vers HTTPS.
slb-all-listenter-has-server	Tous les Auditeurs SLB ont des Serveurs Backend	Tous les auditeurs des instances SLB doivent avoir au moins le nombre spécifié de serveurs backend attachés.
slb-all-listenter-tls-policy-check	Vérification de la Politique TLS du Listener SLB	Garantit que les listeners HTTPS SLB utilisent des politiques de chiffrement TLS sécurisées.
slb-default-server-group-multi-server	Le Groupe de Serveurs par Défaut SLB a Plusieurs Serveurs	Le groupe de serveurs par défaut des instances SLB doit avoir au moins deux serveurs pour éviter un point de défaillance unique.
slb-instance-autorenewal-check	Vérification de Renouvellement Automatique d'Instance SLB	Les instances SLB prépayées doivent avoir le renouvellement automatique activé pour éviter les interruptions de service.
slb-instance-default-server-group-multi-zone	Groupe de Serveurs par Défaut SLB Multi-Zone	Le groupe de serveurs par défaut des instances SLB doit avoir des ressources distribuées sur plusieurs zones de disponibilité.
slb-instance-log-enabled	Journalisation d'Instance SLB Activée	Garantit que la journalisation d'accès est activée pour l'instance SLB.
slb-instance-multi-zone	Déploiement Multi-zones de l'Instance SLB	Les instances SLB doivent être déployées sur plusieurs zones en configurant à la fois les zones maître et esclave pour une haute disponibilité.
slb-instance-spec-check	Vérification de Spécification d'Instance SLB	Les spécifications d'instance SLB doivent répondre aux critères de performance requis basés sur la liste spécifiée.
slb-listener-https-enabled	HTTPS du Listener SLB Activé	Garantit que les listeners SLB utilisent le protocole HTTPS pour une communication sécurisée.
slb-loadbalancer-in-vpc	Vérification SLB dans VPC	Garantit que les instances SLB sont déployées dans un Virtual Private Cloud (VPC).
slb-master-slave-server-group-multi-zone	Groupe de Serveurs Maître-Esclave SLB Multi-Zone	Le groupe de serveurs maître-esclave des instances SLB doit avoir des ressources distribuées sur plusieurs zones de disponibilité.
slb-no-public-ip	Instance SLB Sans IP Publique	Les instances SLB ne doivent pas avoir d'adresses IP publiques pour réduire la surface d'attaque.
slb-vserver-group-multi-zone	Déploiement Multi-Zone du Groupe de Serveurs Virtuels SLB	Garantit que les groupes de serveurs virtuels SLB contiennent des instances de plusieurs zones de disponibilité.
sls-logstore-enabled-encrypt	Chiffrement du Logstore SLS Activé	Garantit que les Logstores SLS ont le chiffrement côté serveur activé.
sls-logstore-encrypt-key-origin-check	Vérification de l'Origine de la Clé de Chiffrement du Logstore SLS	Garantit que les Logstores SLS utilisent du matériel de clé importé externe (BYOK) pour le chiffrement, ce qui offre un meilleur contrôle sur les clés de chiffrement.
sls-project-multi-zone	Stockage Redondant par Zone du Projet SLS	Les projets SLS doivent utiliser un stockage redondant par zone (ZRS) pour une haute disponibilité et une durabilité des données.
vpc-flow-logs-enabled	Journaux de Flux VPC Activés	Garantit que les journaux de flux VPC sont activés pour surveiller le trafic réseau.
vpc-network-acl-not-empty	ACL de Réseau VPC Non Vide	Garantit que les ACL de réseau VPC ont au moins une règle configurée.
vpn-connection-master-slave-established	Connexion VPN Tunnel Double Établi	Utilisez une passerelle VPN à tunnel double et les tunnels maître et esclave sont établis avec le pair.
vpn-gateway-multi-zone	Déploiement Multi-Zone de la Passerelle VPN	Les passerelles VPN doivent être configurées avec un VSwitch de récupération d'urgence pour prendre en charge la disponibilité multi-zone.
vswitch-available-ip-count	Vérification du Nombre d'IP Disponibles VSwitch	Garantit que le VSwitch a un nombre suffisant d'adresses IP disponibles.
waf-instance-logging-enabled	Journalisation d'Instance WAF Activée	Garantit que la journalisation est activée pour l'instance WAF pour l'audit et l'analyse de sécurité.
waf3-defense-resource-logging-enabled	Journalisation WAF 3.0 Activée	Garantit que la journalisation est activée pour les ressources protégées par WAF 3.0.

Faible Gravité (40 Règles)

ID de Règle	Nom	Description
ack-cluster-spec-check	Vérification de Spécification de Cluster ACK	Garantit que les clusters ACK utilisent des spécifications approuvées (par exemple, ACK Pro).
alb-address-type-check	Vérification du Type d'Adresse ALB	Garantit que les instances ALB utilisent le type d'adresse préféré (par exemple, Intranet).
apig-group-custom-trace-enabled	Traçage Personnalisé du Groupe API Gateway Activé	Garantit que les groupes API Gateway ont le traçage personnalisé activé.
cr-repository-immutablity-enable	La Version d'Image du Dépôt du Registre de Conteneurs est Immutable	La version d'image du dépôt du Registre de Conteneurs est immuable, considéré comme conforme.
eci-container-group-volumn-mounts	Vérification du Montage de Volume ECI	Garantit que les groupes de conteneurs ECI ont des volumes montés pour le stockage de données persistant.
ecs-disk-auto-snapshot-policy	Disque ECS a une politique de snapshot automatique configurée	Le disque ECS a une politique de snapshot automatique configurée, considérée comme conforme. Les disques non utilisés, les disques qui ne prennent pas en charge la politique de snapshot automatique et les disques non persistants montés par les clusters ACK ne sont pas applicables. Après avoir activé la politique de snapshot automatique, Alibaba Cloud créera automatiquement des snapshots pour les disques cloud selon les points de temps et cycles prédéfinis, permettant une récupération rapide après une intrusion de virus ou des attaques de ransomware.
ecs-disk-idle-check	Vérification de Disque Inactif ECS	Garantit que les disques ECS sont attachés à une instance et ne sont pas dans un état inactif.
ecs-disk-regional-auto-check	Stockage ESSD Redondant par Zone de Disque ECS	Les disques de données ECS doivent utiliser le stockage ESSD redondant par zone pour une haute disponibilité. Les disques système ne sont pas applicables à cette règle.
ecs-instance-chargetype-check	Vérification du Type de Facturation de l'Instance ECS	Garantit que les instances ECS utilisent le type de facturation autorisé.
ecs-instance-multiple-eni-check	L'Instance ECS est Liée à Une Seule Interface Réseau Élastique	Les instances ECS sont liées à une seule interface réseau élastique, considéré comme conforme. Cela aide à simplifier la configuration réseau et à réduire la complexité.
ecs-instance-ram-role-attached	Rôle RAM d'Instance ECS Attaché	Garantit que les instances ECS ont un rôle IAM attaché pour un accès sécurisé aux autres services cloud.
ecs-internet-charge-type-check	Vérification du Type de Facturation Internet ECS	Garantit que les instances ECS utilisent le type de facturation Internet préféré.
ecs-security-group-description-check	Description du Groupe de Sécurité Non Vide	La description du groupe de sécurité ne doit pas être vide. Avoir une description aide à la gestion et à l'audit.
ecs-security-group-type-not-normal	Utiliser le Type de Groupe de Sécurité Entreprise	Le type de groupe de sécurité ECS ne doit pas être de type normal. L'utilisation d'un groupe de sécurité entreprise est considérée comme conforme.
ecs-snapshot-retention-days	Jours de rétention de snapshot automatique ECS répondent aux exigences	Les jours de rétention de la politique de snapshot automatique ECS sont supérieurs au nombre de jours spécifié, considéré comme conforme. Valeur par défaut: 7 jours.
ecs-system-disk-size-check	Vérification de la Taille du Disque Système ECS	Garantit que les disques système ECS répondent à la taille minimale requise.
eip-attached	EIP Attaché	Garantit que les instances EIP sont associées à une ressource.
eip-bandwidth-limit	Limite de Bande Passante EIP	Garantit que la bande passante EIP ne dépasse pas une valeur maximale spécifiée.
hbase-cluster-type-check	Vérification du Type de Cluster HBase	Garantit que le cluster HBase est d'un type spécifié ou recommandé.
metadata-ros-composer-check	Vérification des Métadonnées de Modèle ALIYUN::ROS::Composer	Le modèle doit avoir Metadata.ALIYUN::ROS::Composer configuré. La valeur doit être un dictionnaire (objet).
nas-filesystem-encrypt-type-check	Chiffrement du Système de Fichiers NAS Configuré	Le système de fichiers NAS a le chiffrement configuré, considéré comme conforme.
oss-bucket-referer-limit	Protection contre les liens directs de referer de bucket OSS configurée	Le bucket OSS a la protection contre les liens directs de referer activée avec une liste blanche configurée.
polardb-cluster-maintain-time-check	Vérification de la Fenêtre de Maintenance du Cluster PolarDB	Garantit que le cluster PolarDB a une fenêtre de maintenance configurée.
ram-group-has-member-check	Le Groupe RAM a un Membre	Garantit que les groupes RAM ont au moins un membre.
ram-group-in-use-check	Vérification du Groupe RAM en Utilisation	Garantit que les groupes RAM ne sont pas inactifs - doivent avoir au moins un membre et au moins une politique attachée.
ram-policy-in-use-check	Vérification de Politique RAM en Utilisation	Garantit que les politiques RAM sont attachées à au moins un utilisateur, groupe ou rôle RAM.
ram-user-group-membership-check	Vérification d'Appartenance au Groupe d'Utilisateur RAM	Garantit que les utilisateurs RAM appartiennent à au moins un groupe pour faciliter la gestion des permissions.
ram-user-last-login-expired-check	Vérification de la Dernière Connexion d'Utilisateur RAM	Vérifie si les utilisateurs RAM ne se sont pas connectés depuis longtemps.
ram-user-no-policy-check	L'Utilisateur RAM a une Politique	Garantit que les utilisateurs RAM ont au moins une politique attachée.
rds-instance-maintain-time-check	Vérification de la Fenêtre de Maintenance de l'Instance RDS	Garantit que l'instance RDS a une fenêtre de maintenance configurée.
rds-instance-storage-autoscale-enable	Mise à l'Échelle Automatique du Stockage RDS Activée	Garantit que les instances RDS ont la mise à l'échelle automatique du stockage activée pour éviter les temps d'arrêt dus aux disques pleins.
redis-instance-backup-time-check	Vérification de la Fenêtre de Sauvegarde de l'Instance Redis	Garantit que l'instance Redis a une fenêtre de sauvegarde configurée.
root-has-specified-role	Le Compte Racine a un Rôle Spécifié	Garantit que le compte racine a un rôle RAM spécifié pour la gouvernance et la gestion.
slb-backendserver-weight-check	Vérification du Poids du Serveur Backend SLB	Garantit que les serveurs backend SLB ont des configurations de poids raisonnables.
slb-instance-loadbalancerspec-check	Vérification de Spécification d'Instance SLB	Garantit que les instances SLB utilisent des spécifications de performance approuvées.
slb-loadbalancer-bandwidth-limit	Limite de Bande Passante SLB	Garantit que la bande passante de l'instance SLB ne dépasse pas une valeur maximale spécifiée.
slb-modify-protection-check	Protection contre la Modification SLB Activée	Garantit que les instances SLB ont la protection contre la modification activée.
sls-logstore-hot-ttl-check	Stockage à Niveaux Intelligents de Logstore SLS Activé	Garantit que les Logstores SLS ont le stockage intelligent à niveaux chaud/froid activé pour l'optimisation des coûts.
vpn-gateway-enabled-ssl-vpn	SSL-VPN de Passerelle VPN Activé	Garantit que la passerelle VPN a SSL-VPN activé pour un accès client sécurisé.
vpn-ipsec-connection-health-check-open	Vérification de Santé IPsec VPN Activée	Garantit que les connexions VPN IPsec ont des vérifications de santé activées pour détecter les défaillances du tunnel.

---

Ce document est généré automatiquement à partir des métadonnées de la politique.