Aliyun Regras

Total de regras: 317

Regras por Severidade

Alta Severidade (98 Regras)

ID da Regra	Nome	Descrição
ack-cluster-node-multi-zone	Implantação Multi-zona do Cluster ACK	Os nós do cluster ACK devem ser distribuídos em 3 ou mais zonas de disponibilidade para alta disponibilidade.
ack-cluster-public-endpoint-check	Verificação de Endpoint Público do Cluster ACK	Clusters ACK não devem ter um endpoint público configurado, ou o listener SLB associado deve ter ACL habilitado.
acs-cluster-node-multi-zone	Implantação Multi-Zona de Nós do Cluster ACS	Os nós do cluster ACS devem ser distribuídos em 3 ou mais zonas de disponibilidade para alta disponibilidade.
actiontrail-enabled	ActionTrail Habilitado	Garante que o ActionTrail está habilitado para registrar atividades da conta.
actiontrail-trail-intact-enabled	Trilha ActionTrail Intacta Habilitada	A trilha ActionTrail deve estar habilitada e rastrear todos os tipos de eventos (Leitura e Escrita).
alb-acl-public-access-check	A ACL ALB Não Permite Acesso Público	Garante que as listas de controle de acesso ALB não contenham 0.0.0.0/0 (permitindo todos os IPs).
alb-all-listener-health-check-enabled	Verificação de Integridade de Todos os Ouvintes ALB Habilitada	Garante que todos os ouvintes ALB tenham verificações de integridade habilitadas.
alb-delete-protection-enabled	Proteção contra Exclusão de Instância ALB Habilitada	Garante que as instâncias ALB tenham proteção contra exclusão habilitada.
alb-instance-multi-zone	Implantação Multi-zona da Instância ALB	Instâncias ALB devem ser implantadas em múltiplas zonas de disponibilidade para alta disponibilidade. Se apenas uma zona for selecionada, uma falha na zona afetará a instância ALB e a estabilidade do negócio.
alb-instance-waf-enabled	A Instância ALB Tem Proteção WAF	Garante que as instâncias ALB tenham proteção WAF3 (Web Application Firewall) habilitada.
alb-server-group-multi-server	O Grupo de Servidores ALB Tem Múltiplos Servidores	Garante que os grupos de servidores ALB contenham pelo menos dois servidores backend para alta disponibilidade.
alidns-route-53-mx-check	Registro MX DNS Tem SPF Válido no Registro TXT Associado	Garante que os registros MX tenham registros TXT associados com valores SPF válidos para validação de e-mail.
api-gateway-group-force-https	Forçar HTTPS do Grupo de API Gateway	Garante que os grupos de API Gateway com domínios personalizados públicos tenham redirecionamento forçado HTTPS habilitado.
bastionhost-instance-expired-check	Verificação de Expiração de Instância BastionHost	As instâncias BastionHost pré-pagas devem ter renovação automática habilitada.
cdn-domain-multiple-origin-servers	Múltiplos Servidores de Origem do Domínio CDN	Os domínios CDN devem ser configurados com múltiplos servidores de origem para alta disponibilidade e tolerância a falhas.
cr-instance-any-ip-access-check	Instância CR Sem Acesso de Qualquer IP	Garante que as instâncias do Container Registry não tenham qualquer IP (0.0.0.0/0) em sua lista branca.
cr-repository-image-scanning-enabled	Varredura de Imagem de Instância CR Habilitada	Garante que as instâncias do Container Registry tenham varredura de imagem habilitada para detecção de vulnerabilidades de segurança.
cr-repository-type-private	Tipo de Repositório CR Privado	Garante que os repositórios CR estejam definidos como PRIVADO.
dcdn-domain-multiple-origin-servers	Domínio DCDN Múltiplos Servidores de Origem	Os domínios DCDN devem ser configurados com múltiplos servidores de origem para alta disponibilidade e tolerância a falhas.
eci-containergroup-environment-no-specified-keys	Grupo de Contêineres ECI Não Contém Variáveis de Ambiente Sensíveis	Garante que os grupos de contêineres ECI não tenham variáveis de ambiente sensíveis como senhas ou chaves de acesso.
ecs-available-disk-encrypted	Criptografia de Disco ECS Habilitada	Garante que todos os discos ECS estejam criptografados.
ecs-instance-attached-security-group	Instância ECS com Grupo de Segurança Anexado	Se a instância ECS estiver incluída no grupo de segurança especificado, a configuração é considerada conforme.
ecs-instance-deletion-protection-enabled	Proteção contra Exclusão de Instância ECS Habilitada	Garante que as instâncias ECS tenham proteção contra exclusão habilitada.
ecs-instance-enabled-security-protection	Proteção de Segurança de Instância ECS Habilitada	Garante que as instâncias ECS tenham estratégia de aprimoramento de segurança habilitada.
ecs-instance-expired-check	Verificação de Expiração de Instância Pré-paga ECS	Instâncias pré-pagas devem ter renovação automática habilitada para evitar interrupção do serviço devido à expiração.
ecs-instance-no-public-ip	Instância ECS Não Deve Vincular IP Público	As instâncias ECS não devem vincular diretamente IP público IPv4 ou IP elástico, considerado conforme.
ecs-launch-template-version-attach-security-group	Versão do Modelo de Inicialização ECS Anexa Grupos de Segurança	As versões do modelo de inicialização ECS têm grupos de segurança configurados para instâncias, considerado conforme.
ecs-running-instance-no-public-ip	Instância ECS Sem IP Público	As instâncias ECS não devem ter um endereço IP público para reduzir a exposição direta à Internet.
ecs-security-group-egress-not-all-access	Egresso de Grupo de Segurança Não Definido como Acesso Total	A direção de egresso do grupo de segurança não deve ser definida para permitir todo o acesso (todos os protocolos, todas as portas, todos os destinos).
ecs-security-group-not-internet-cidr-access	IP de Origem de Ingresso de Grupo de Segurança Não Inclui IP Público	As regras de ingresso do grupo de segurança com política de aceitação não devem ter IP de origem contendo IPs públicos da internet.
ecs-security-group-not-open-all-port	Ingress de Grupo de Segurança Não Abre Todas as Portas	As regras de ingresso do grupo de segurança não devem permitir todas as portas. Quando o intervalo de portas não está definido como -1/-1, é considerado conforme.
ecs-security-group-not-open-all-protocol	Ingress de Grupo de Segurança Não Abre Todos os Protocolos	As regras de ingresso do grupo de segurança não devem permitir todos os protocolos. Quando o tipo de protocolo não está definido como ALL, é considerado conforme.
ecs-security-group-risky-ports-check-with-protocol	Verificação de Portas de Risco do Grupo de Segurança com Protocolo	Quando a origem de entrada do grupo de segurança é definida como 0.0.0.0/0, o intervalo de portas não deve incluir portas de risco (22, 3389) para protocolos especificados (TCP/UDP), para reduzir o risco de ataques de força bruta.
ecs-security-group-white-list-port-check	Verificação de Ingresso de Porta Não na Lista Branca do Grupo de Segurança	Exceto portas na lista branca (80), outras portas não devem ter regras de ingresso que permitam acesso de 0.0.0.0/0.
elasticsearch-instance-enabled-kibana-public-check	A Instância do Elasticsearch Kibana Não Habilita o Acesso Público	Garante que a instância do Elasticsearch Kibana não seja acessível a partir de redes públicas.
elasticsearch-instance-enabled-public-check	A Instância Elasticsearch Não Habilita Acesso Público	Garante que as instâncias Elasticsearch não sejam acessíveis de redes públicas.
elasticsearch-instance-node-not-use-specified-spec	A Instância Elasticsearch Não Usa Especificação Depreciada	Garante que as instâncias Elasticsearch não usem especificações de nó depreciadas ou não suportadas.
elasticsearch-instance-version-not-deprecated	A Instância do Elasticsearch Não Usa Versão Obsoleta	Garante que as instâncias do Elasticsearch não estejam usando versões obsoletas ou EOL.
elasticsearch-public-and-any-ip-access-check	Verificação de Acesso Público e de Qualquer IP do Elasticsearch	Garante que as instâncias Elasticsearch não tenham acesso público habilitado ou uma lista branca aberta.
ess-scaling-configuration-data-disk-encrypted	Criptografia de Disco de Dados de Configuração de Escalonamento ESS	As configurações de escalonamento ESS devem habilitar a criptografia de disco de dados para proteger dados em repouso.
ess-scaling-configuration-sg-public-access	Acesso Público do Grupo de Segurança de Configuração de Escalonamento ESS	Os grupos de segurança de configuração de escalonamento ESS não devem permitir acesso de 0.0.0.0/0 para prevenir acesso não autorizado.
ess-scaling-configuration-system-disk-encrypted	Criptografia de Disco do Sistema da Configuração de Escalonamento ESS	As configurações de escalonamento ESS devem habilitar a criptografia do disco do sistema para proteger os dados do sistema em repouso.
fc-function-runtime-check	Verificação de Runtime de Função FC	As funções FC não devem usar runtimes depreciados que possam ter vulnerabilidades de segurança.
fc-trigger-http-not-anonymous	Verificação de Autenticação do Gatilho HTTP FC	Os gatilhos HTTP FC devem exigir autenticação para prevenir acesso não autorizado.
gpdb-instance-disk-encryption-enabled	Criptografia de Disco GPDB Habilitada	Garante que as instâncias GPDB tenham criptografia de disco habilitada.
hbase-cluster-expired-check	Verificação de Expiração do Cluster HBase	Os clusters HBase pré-pagos devem ter renovação automática habilitada.
hbase-cluster-ha-check	HA do Cluster HBase Habilitado	Garante que os clusters HBase estejam configurados para Alta Disponibilidade (HA).
kafka-instance-disk-encrypted	Disco de Instância Kafka Criptografado	A instância Kafka deve ter criptografia de disco habilitada durante a implantação para proteção de dados.
kafka-instance-public-access-check	Acesso Público do Kafka Desabilitado	Garante que as instâncias Kafka não tenham acesso à rede pública.
maxcompute-project-encryption-enabled	Criptografia de Projeto MaxCompute Habilitada	Garante que os projetos MaxCompute tenham criptografia habilitada para proteger dados armazenados.
maxcompute-project-ip-whitelist-enabled	Lista Branca de IP do Projeto MaxCompute Habilitada	Garante que os projetos MaxCompute tenham uma lista branca de IP configurada para restringir o acesso.
mongodb-cluster-expired-check	Verificação de Expiração da Instância MongoDB	As instâncias MongoDB pré-pagas devem ter renovação automática habilitada.
mongodb-instance-class-not-shared	Instância MongoDB Usa Classe Dedicada	Garante que as instâncias MongoDB usem classes de instância dedicadas ou exclusivas, não instâncias compartilhadas.
mongodb-min-maxconnections-limit	MongoDB Atende aos Requisitos Mínimos de Conexão	Garante que as instâncias MongoDB forneçam pelo menos o número mínimo necessário de conexões.
mongodb-min-maxiops-limit	MongoDB Atende aos Requisitos Mínimos de IOPS	Garante que as instâncias MongoDB forneçam pelo menos o IOPS mínimo necessário.
mongodb-public-access-check	Restrição de Internet da Lista Branca MongoDB	Garante que as listas brancas de IP de segurança MongoDB não contenham 0.0.0.0/0.
mongodb-public-and-any-ip-access-check	Verificação de Acesso Público e de Qualquer IP do MongoDB	Garante que as instâncias MongoDB não tenham uma lista branca aberta (0.0.0.0/0).
mse-cluster-architecture-check	Cluster MSE Tem Múltiplos Nós	Garante que os clusters MSE (Motor de Microserviços) tenham mais de 3 nós para alta disponibilidade.
mse-cluster-internet-check	O Cluster MSE Não Tem Acesso Público à Internet	Garante que os clusters MSE não tenham acesso público à Internet habilitado.
mse-gateway-architecture-check	O Gateway MSE Tem Múltiplos Nós	Garante que os gateways MSE (Motor de Microserviços) tenham mais de 1 nó para alta disponibilidade.
nas-access-group-public-access-check	Restrição de IP do Grupo de Acesso NAS	Garante que as regras de acesso NAS não permitam 0.0.0.0/0.
nat-risk-ports-check	Verificação de Portas de Risco do Gateway NAT	Os mapeamentos DNAT do gateway NAT não devem expor portas arriscadas à internet para prevenir vulnerabilidades de segurança.
oss-bucket-anonymous-prohibited	Acesso Anônimo de Bucket OSS Proibido	Garante que o acesso anônimo esteja proibido para o bucket OSS.
oss-bucket-only-https-enabled	Apenas HTTPS de Bucket OSS Habilitado	O bucket OSS deve ter uma política que negue solicitações não HTTPS para garantir a segurança do transporte de dados.
oss-bucket-policy-no-any-anonymous	A política de bucket OSS não concede permissões a usuários anônimos	A política de bucket OSS não concede permissões de leitura ou gravação a usuários anônimos.
oss-bucket-policy-outside-organization-check	Política de Bucket OSS Sem Acesso Fora da Organização	Garante que as políticas de bucket OSS não concedam acesso a principais fora da organização.
oss-bucket-public-read-prohibited	Leitura Pública de Bucket OSS Proibida	Buckets OSS não devem permitir acesso de leitura público, a menos que especificamente necessário. O acesso de leitura público permite que qualquer pessoa acesse e baixe objetos no bucket.
oss-bucket-public-write-prohibited	Escrita Pública de Bucket OSS Proibida	Buckets OSS não devem permitir acesso de escrita público. O acesso de escrita público permite que qualquer pessoa faça upload, modifique ou exclua objetos no bucket, o que representa riscos significativos de segurança.
oss-bucket-server-side-encryption-enabled	Criptografia do Lado do Servidor de Bucket OSS Habilitada	Buckets OSS devem ter criptografia do lado do servidor habilitada para proteger dados em repouso. A criptografia do lado do servidor usa KMS ou AES256 para criptografar dados armazenados no OSS.
parameter-sensitive-noecho-check	Parâmetros Sensíveis Devem Ter NoEcho	Parâmetros de template que contêm informações sensíveis (senhas, chaves de API, segredos) devem ser protegidos definindo NoEcho como true ou usando valores válidos de AssociationProperty para evitar que sejam exibidos em texto plano.
polardb-cluster-enabled-tde	TDE de Cluster PolarDB Habilitado	Garante que os clusters PolarDB tenham Transparent Data Encryption (TDE) habilitado.
polardb-cluster-expired-check	Verificação de Expiração de Cluster PolarDB	Clusters PolarDB pré-pagos devem ter renovação automática habilitada.
polardb-public-access-check	Verificação de Acesso Público do PolarDB	Garante que a lista branca de IP do PolarDB não esteja definida como 0.0.0.0/0.
polardb-public-and-any-ip-access-check	Verificação de Acesso Público e de Qualquer IP do PolarDB	Garante que os clusters PolarDB não tenham endpoints públicos e não estejam abertos a qualquer endereço IP (0.0.0.0/0).
ram-policy-no-statements-with-admin-access-check	Política RAM Sem Acesso de Administrador	Garante que políticas RAM personalizadas não concedam acesso completo de administrador.
ram-user-mfa-check	MFA de Usuário RAM Habilitado	Usuários RAM com acesso ao console devem ter autenticação multifator (MFA) habilitada.
rds-instance-enabled-disk-encryption	Criptografia de Disco de Instância RDS Habilitada	Garante que as instâncias RDS tenham criptografia de disco habilitada.
rds-instance-expired-check	Verificação de Expiração de Instância Pré-paga RDS	Instâncias RDS pré-pagas devem ter renovação automática habilitada.
rds-public-access-check	Verificação de Acesso Público de Instância RDS	Instâncias RDS não devem ser configuradas com endereços de rede pública. O acesso público expõe bancos de dados a ameaças potenciais de segurança da internet.
rds-public-connection-and-any-ip-access-check	Verificação de Conexão Pública e Acesso de Qualquer IP RDS	Garante que instâncias RDS com conexões públicas não tenham uma lista branca aberta para todos os IPs.
rds-white-list-internet-ip-access-check	Restrição de Internet da Lista Branca RDS	Garante que as listas brancas de IP de segurança RDS não contenham 0.0.0.0/0.
redis-instance-expired-check	Verificação de Expiração de Instância Pré-paga Redis	Instâncias Redis pré-pagas devem ter renovação automática habilitada.
redis-instance-no-public-ip	Instância Redis Sem IP Público	Garante que a instância Redis não tenha IP público atribuído.
redis-instance-open-auth-mode	Modo de Autenticação Redis Habilitado	Garante que as instâncias Redis exijam autenticação e não estejam no modo 'sem senha'.
redis-public-and-any-ip-access-check	Verificação de Acesso Público e de Qualquer IP do Redis	Garante que as instâncias Redis não tenham acesso público habilitado ou uma lista branca aberta.
root-ak-check	Verificação de AccessKey do Usuário Root	Garante que a conta root não possui AccessKeys ativos.
root-mfa-check	Verificação de MFA do Usuário Root	Garante que a autenticação multifator (MFA) está habilitada para a conta root.
sg-public-access-check	Ingress de Grupo de Segurança Válido	As regras de ingresso do grupo de segurança não devem permitir todas as portas (-1/-1) de todas as fontes (0.0.0.0/0) simultaneamente.
sg-risky-ports-check	Grupo de Segurança Não Abre Portas de Risco para 0.0.0.0/0	Quando a origem da regra de entrada do grupo de segurança é definida como 0.0.0.0/0, o intervalo de portas não deve incluir portas de risco especificadas, considerado conforme. Se a origem não for 0.0.0.0/0, é conforme mesmo que portas de risco sejam incluídas.
slb-acl-public-access-check	Verificação de Acesso Público de ACL SLB	Garante que as ACLs SLB não contenham 0.0.0.0/0 para prevenir acesso público sem restrições.
slb-all-listener-health-check-enabled	Verificação de Saúde de Todos os Listeners SLB Habilitada	Garante que todos os listeners SLB tenham verificações de saúde habilitadas.
slb-all-listener-servers-multi-zone	SLB Multi-zona com Servidores Backend Multi-zona	Instâncias SLB devem ser multi-zona, e todos os grupos de servidores usados pelos listeners devem ter recursos adicionados de múltiplas zonas.
slb-delete-protection-enabled	Proteção contra Exclusão de Instância SLB Habilitada	Garante que as instâncias SLB tenham proteção contra exclusão habilitada.
slb-listener-risk-ports-check	Verificação de Portas de Risco do Listener SLB	Garante que os listeners SLB não exponham portas de alto risco como 22 ou 3389.
transit-router-vpc-attachment-multi-zone	Configuração Multi-Zona de Anexo VPC do Roteador de Trânsito	Os anexos VPC do roteador de trânsito devem ser configurados com vSwitches em pelo menos duas zonas de disponibilidade diferentes para alta disponibilidade entre zonas.
tsdb-instance-security-ip-check	Instância TSDB Não Permite Acesso de Qualquer IP	Garante que as instâncias TSDB não tenham listas brancas de segurança que permitam todos os IPs.
use-waf-instance-for-security-protection	Usar WAF para Proteção de Segurança	O Firewall de Aplicações Web (WAF) deve ser usado para proteger sites e aplicativos de ataques baseados na web.
vpc-network-acl-risky-ports-check	Verificação de Portas de Risco da ACL de Rede VPC	Garante que as ACLs de rede VPC não permitam acesso irrestrito a portas de risco (22, 3389).

Média Severidade (179 Regras)

ID da Regra	Nome	Descrição
ack-cluster-encryption-enabled	Criptografia de Secret do Cluster ACK Habilitada	Clusters ACK Pro devem ter criptografia de Secret em repouso habilitada usando KMS.
ack-cluster-inspect-kubelet-version-outdate-check	Verificação de Versão do Kubelet ACK	Garante que a versão do Kubelet no cluster ACK esteja atualizada.
ack-cluster-log-plugin-installed	Plugin de Log do Cluster ACK Instalado	Garante que o complemento log-service esteja instalado no cluster ACK.
ack-cluster-rrsa-enabled	RRSA do Cluster ACK Habilitado	Garante que o recurso RAM Roles for Service Accounts (RRSA) está habilitado para o cluster ACK.
ack-cluster-supported-version	Versão Suportada do Cluster ACK	Garante que o cluster ACK esteja executando uma versão suportada.
ack-cluster-upgrade-latest-version	Cluster ACK Atualizado para a Versão Mais Recente	Garante que o cluster ACK esteja executando a versão mais recente disponível.
adb-cluster-multi-zone	Implantação Multi-Zona do Cluster ADB	O cluster ADB deve ser implantado em modo multi-zona.
alb-all-listenter-has-server	O Ouvinte ALB Tem Servidor Backend	Garante que todos os ouvintes ALB estejam associados a um grupo de servidores não vazio.
alb-instance-bind-security-group-or-enabled-acl	Instância ALB Vincular Grupo de Segurança ou Habilitar ACL	A instância ALB deve ter grupos de segurança associados ou ACL configurado para todos os ouvintes em execução.
alb-server-group-multi-zone	Distribuição Multi-Zona do Grupo de Servidores ALB	Os grupos de servidores ALB devem ter servidores backend distribuídos em múltiplas zonas de disponibilidade para alta disponibilidade. Esta regra não se aplica a grupos de servidores sem servidores anexados, nem a grupos de servidores do tipo IP/Function Compute.
alidns-domain-regex-match	Os Nomes de Domínio DNS da Alibaba Cloud Correspondem à Convenção de Nomenclatura	Garante que os nomes de domínio DNS da Alibaba Cloud correspondam à expressão regular de convenção de nomenclatura especificada.
api-gateway-api-auth-jwt	Autenticação JWT da API do API Gateway	Garante que as APIs do API Gateway usem autenticação JWT.
api-gateway-api-auth-required	Autenticação de API do Gateway de API Obrigatória	Garante que as APIs do Gateway de API tenham autenticação configurada.
api-gateway-api-internet-request-https	HTTPS de Solicitação de Internet do Gateway de API Habilitado	Garante que as APIs do Gateway de API expostas à internet usem o protocolo HTTPS.
api-gateway-api-visibility-private	Visibilidade da API do API Gateway Privada	Garante que as APIs do API Gateway estejam definidas com visibilidade PRIVADA.
api-gateway-group-bind-domain	Vincular Domínio do Grupo de API Gateway	Garante que os grupos de API Gateway tenham domínios personalizados vinculados.
api-gateway-group-enabled-ssl	SSL do Grupo de API Gateway Habilitado	Garante que SSL esteja habilitado para grupos de API Gateway.
api-gateway-group-https-policy-check	Verificação de Política HTTPS do Grupo API Gateway	Garante que os grupos do API Gateway tenham a política de segurança HTTPS configurada corretamente.
api-gateway-group-log-enabled	Log do Grupo API Gateway Habilitado	Garante que os grupos do API Gateway tenham registro configurado.
apigateway-instance-multi-zone	Implantação Multi-Zona de Instância API Gateway	As instâncias do API Gateway devem ser implantadas em configuração multi-zona para alta disponibilidade.
bastionhost-instance-spec-check	Verificação de Especificação Multi-Zona de Instância BastionHost	A instância BastionHost deve usar a versão Enterprise que suporta implantação multi-zona.
cen-cross-region-bandwidth-check	Verificação de Largura de Banda Inter-Região CEN	As conexões inter-região da instância CEN devem ter alocação de largura de banda suficiente para atender aos requisitos de desempenho.
clickhouse-dbcluster-multi-zone	Implantações Multi-Zona do ClickHouse DBCluster	Os clusters ClickHouse devem usar a edição HighAvailability (Double-replica) para implantação multi-zona. Nota: Isso se aplica apenas à edição da comunidade.
cr-instance-multi-zone	Instância CR com Bucket OSS Redundante de Zona	As instâncias do Container Registry devem estar associadas a buckets OSS redundantes de zona para alta disponibilidade.
ecs-disk-all-encrypted-by-kms	Disco ECS com Criptografia KMS Habilitada	Os discos ECS (incluindo disco do sistema e discos de dados) estão criptografados com KMS, considerado conforme.
ecs-disk-encrypted	Criptografia de disco de dados ECS habilitada	O disco de dados ECS tem criptografia habilitada, considerado conforme.
ecs-disk-in-use	O Disco ECS Está em Uso	Os discos ECS estão anexados a uma instância ou em estado de uso, considerado conforme. Discos disponíveis ou não anexados podem ser recursos ociosos.
ecs-disk-retain-auto-snapshot	Reter Instantâneo Automático quando o Disco ECS é Liberado	Configure os discos ECS para reter instantâneos automáticos quando liberados, considerado conforme. Isso ajuda a proteger os dados contra exclusão acidental.
ecs-in-use-disk-encrypted	Criptografia de Disco em Uso ECS	Discos de dados ECS devem ter criptografia habilitada para proteger dados em repouso. Discos criptografados usam chaves KMS para criptografar dados, garantindo segurança de dados e conformidade com requisitos regulatórios.
ecs-instance-auto-renewal-enabled	Instância de assinatura ECS tem renovação automática habilitada	Instâncias de assinatura ECS (pré-pagas) têm renovação automática habilitada, consideradas conformes. Instâncias pay-as-you-go não são aplicáveis.
ecs-instance-image-expired-check	Verificação de Expiração de Imagem de Instância ECS	Garante que a imagem usada pela instância ECS não tenha expirado.
ecs-instance-image-type-check	Verificação de Tipo de Imagem de Instância ECS	Garante que as instâncias ECS usem imagens de fontes autorizadas.
ecs-instance-login-use-keypair	Login de Instância ECS Usando Par de Chaves	Garante que as instâncias ECS usem pares de chaves para login em vez de senhas.
ecs-instance-meta-data-mode-check	Acesso a metadados de instância ECS usa modo de segurança aprimorado (IMDSv2)	Ao acessar metadados de instância ECS, o modo de segurança aprimorado (IMDSv2) é aplicado, considerado conforme. Instâncias associadas a clusters ACK não são aplicáveis.
ecs-instance-no-public-and-anyip	Instância ECS Não Deve Vincular IP Público ou Permitir Acesso de Qualquer IP	Instâncias ECS não devem vincular diretamente IPs públicos IPv4 ou IPs elásticos, e os grupos de segurança associados não devem expor 0.0.0.0/0. Conforme quando nenhum IP público está vinculado.
ecs-instance-not-bind-key-pair	Instância ECS Não Vinculada a Par de Chaves	Garante que as instâncias ECS usem pares de chaves para autenticação em vez de senhas.
ecs-instance-type-family-not-deprecated	Tipo de Instância ECS Não Depreciado	Garante que as instâncias ECS não usem tipos de instância depreciados ou legados.
ecs-instances-in-vpc	Instâncias ECS em VPC	Instâncias ECS devem ser implantadas em redes VPC (Virtual Private Cloud) em vez de redes clássicas. O VPC fornece melhor isolamento de rede, segurança e flexibilidade.
ecs-internetmaxbandwidth-check	Verificação de Largura de Banda Máxima da Internet ECS	Garante que a largura de banda de saída da Internet ECS não exceda os limites especificados.
ecs-launch-template-network-type-check	O modelo de inicialização do ECS usa tipo de rede VPC	As versões do modelo de inicialização do ECS têm o tipo de rede definido como VPC, considerado em conformidade. O tipo de rede clássica não é recomendado para ambientes de produção.
ecs-launch-template-version-data-disk-encrypted	A Versão do Modelo de Inicialização ECS Habilita a Criptografia de Disco de Dados	Todos os discos de dados configurados nas versões do modelo de inicialização ECS estão criptografados, considerado conforme.
ecs-launch-template-version-image-type-check	Verificação de Tipo de Imagem do Modelo de Inicialização	Garante que os modelos de inicialização ECS usem tipos de imagem autorizados.
ecs-running-instances-in-vpc	Instâncias ECS em execução estão em VPC	Instâncias ECS em execução são implantadas em Virtual Private Cloud (VPC), consideradas conformes. Isso fornece isolamento de rede e segurança aprimorada.
ecs-snapshot-policy-timepoints-check	Pontos de Tempo da Política de Instantâneo Automático ECS Configurados Razoavelmente	Os pontos de tempo de criação de instantâneos na política de instantâneos automáticos estão dentro do intervalo de tempo especificado, considerado conforme. Criar instantâneos reduz temporariamente o desempenho de E/S do armazenamento em bloco, com diferenças de desempenho geralmente dentro de 10%, causando lentidões breves. Recomenda-se selecionar pontos de tempo que evitem horários de pico de negócios.
eip-delete-protection-enabled	Proteção de Exclusão de EIP Habilitada	Garante que as instâncias EIP tenham proteção de exclusão habilitada.
elasticsearch-instance-enabled-data-node-encryption	Criptografia de Nó de Dados do Elasticsearch Habilitada	Garante que os nós de dados na instância do Elasticsearch tenham criptografia de disco habilitada.
elasticsearch-instance-enabled-node-config-disk-encryption	Criptografia de Disco de Configuração de Nó ES	Garante que as configurações de nós elásticos do Elasticsearch tenham criptografia de disco habilitada.
elasticsearch-instance-multi-zone	Implantação Multi-Zona de Instância Elasticsearch	As instâncias Elasticsearch devem ser implantadas em múltiplas zonas de disponibilidade.
emr-cluster-master-public-access-check	Verificação de Acesso Público do Nó Mestre do Cluster EMR	Os nós mestres do cluster EMR no ECS não devem ter IP público habilitado.
ess-group-health-check	Verificação de Saúde do Grupo de Escalonamento ESS	Os grupos de escalonamento ESS devem habilitar a verificação de saúde da instância ECS para garantir que apenas instâncias saudáveis estejam em serviço.
ess-scaling-configuration-attach-security-group	Grupo de Segurança de Configuração de Escalonamento ESS	As configurações de escalonamento ESS devem anexar grupos de segurança às instâncias para isolamento de rede e controle de acesso adequados.
ess-scaling-configuration-enabled-internet-check	Verificação de Acesso à Internet da Configuração de Escalonamento ESS	Garante que as configurações de escalonamento ESS não habilitem endereços IP públicos para instâncias, a menos que seja necessário.
ess-scaling-configuration-image-check	Verificação de Imagem da Configuração de Escalonamento ESS	As configurações de escalonamento ESS devem usar imagens mantidas para garantir segurança e estabilidade.
ess-scaling-configuration-image-type-check	Verificação de Tipo de Imagem de Configuração de Escalonamento ESS	As configurações de escalonamento ESS devem usar imagens de fontes especificadas para melhor segurança e gerenciamento.
ess-scaling-group-attach-multi-switch	Grupo de Escalonamento ESS Multi-VSwitch	Os grupos de escalonamento ESS devem estar associados a pelo menos dois VSwitches para alta disponibilidade em múltiplas zonas.
ess-scaling-group-attach-slb	Grupo de Escalonamento ESS Anexar SLB	Os grupos de escalonamento ESS devem ser anexados ao Balanceador de Carga Clássico (SLB) para distribuição adequada de tráfego.
ess-scaling-group-loadbalancer-check	Verificação de Existência do Balanceador de Carga do Grupo de Escalonamento ESS	Os grupos de escalonamento ESS devem estar anexados a instâncias de balanceador de carga existentes e ativas para distribuição adequada de tráfego.
fc-function-custom-domain-and-cert-enable	Verificação de Certificado de Domínio Personalizado de Função FC	Os domínios personalizados FC devem ter certificados SSL configurados para comunicação segura.
fc-function-custom-domain-and-https-enable	Verificação HTTPS de Domínio Personalizado de Função FC	Os domínios personalizados FC devem ter HTTPS habilitado para comunicação segura.
fc-function-custom-domain-and-tls-enable	Domínio Personalizado e TLS de Função FC Habilitado	Garante que os domínios personalizados para funções Function Compute tenham TLS habilitado.
fc-function-internet-and-custom-domain-enable	Acesso à Internet do Serviço FC com Domínio Personalizado	Os serviços FC com acesso à Internet devem estar vinculados a domínios personalizados para controle de acesso adequado.
fc-function-settings-check	Verificação de Configurações de Função FC	As configurações de função FC devem atender aos requisitos especificados para desempenho e segurança ideais.
fc-service-bind-role	Serviço FC Vinculado à Função RAM	Garante que o serviço Function Compute tenha uma função RAM vinculada.
fc-service-internet-access-disable	Acesso à Internet do Serviço FC Desabilitado	Garante que o serviço Function Compute tenha acesso à Internet desabilitado quando deve acessar apenas recursos internos.
fc-service-log-enable	Habilitar Log do Serviço FC	Os serviços FC devem ter registro habilitado para monitoramento e solução de problemas.
fc-service-tracing-enable	Habilitar Rastreamento de Serviço FC	Os serviços FC devem ter rastreamento habilitado para monitoramento de desempenho e depuração.
fc-service-vpc-binding	Vinculação VPC do Serviço FC Habilitada	Garante que o serviço Function Compute esteja configurado para acessar recursos dentro de um VPC.
firewall-asset-open-protect	Proteção de Ativos do Firewall em Nuvem Habilitada	Garante que os ativos estejam protegidos pelo Firewall em Nuvem.
gpdb-instance-multi-zone	Implantações Multi-Zona de Instância GPDB	As instâncias GPDB devem ser implantadas com uma zona de espera para alta disponibilidade.
gwlb-loadbalancer-multi-zone	Implantação Multi-Zona do Balanceador de Carga GWLB	As instâncias do Balanceador de Carga GWLB devem ser implantadas em pelo menos duas zonas de disponibilidade para alta disponibilidade.
hbase-cluster-deletion-protection	Proteção contra Exclusão de Cluster HBase Habilitada	Garante que os clusters HBase tenham proteção contra exclusão habilitada.
hbase-cluster-in-vpc	Cluster HBase em VPC	Garante que o cluster HBase esteja implantado dentro de um VPC.
hbase-cluster-multi-zone	Implantação Multi-Zona do Cluster HBase	Os clusters HBase devem ser implantados em modo cluster com pelo menos 2 nós para alta disponibilidade.
internet-nat-gateway-in-specified-vpc	Gateway NAT da Internet em VPC Especificado	Gateways NAT voltados para a Internet devem ser criados em VPCs especificados de acordo com os requisitos de segurança de rede.
intranet-nat-gateway-in-specified-vpc	Gateway NAT de Intranet em VPC Especificado	Os gateways NAT voltados para intranet devem ser criados em VPCs especificados de acordo com os requisitos de segurança de rede.
kafka-instance-multi-zone	Implantação Multi-Zona da Instância Kafka	As instâncias Kafka devem ser implantadas em múltiplas zonas de disponibilidade para alta disponibilidade.
kms-instance-multi-zone	Implantação Multi-Zona da Instância KMS	As instâncias KMS devem ser implantadas em pelo menos duas zonas de disponibilidade para alta disponibilidade e recuperação de desastres.
kms-key-delete-protection-enabled	Proteção de Exclusão de Chave KMS Habilitada	A chave mestra KMS tem proteção de exclusão habilitada, considerada em conformidade. Chaves que não estão em status habilitado e chaves de serviço (que não podem ser excluídas) não são aplicáveis.
kms-key-rotation-enabled	Rotação automática de chave KMS habilitada	Chave mestra de usuário KMS tem rotação automática habilitada, considerada conforme. Chaves de serviço e chaves importadas externamente não são aplicáveis.
kms-secret-rotation-enabled	Rotação automática de segredo KMS habilitada	Segredo KMS tem rotação automática habilitada, considerado conforme. Segredos genéricos não são aplicáveis.
lindorm-instance-in-vpc	Verificação de Lindorm em VPC	Garante que as instâncias Lindorm sejam implantadas dentro de uma VPC.
lindorm-instance-multi-zone	Implantações Multi-Zona de Instância Lindorm	As instâncias Lindorm devem ser configuradas para implantação multi-zona com pelo menos 4 nós LindormTable para alta disponibilidade.
mongodb-instance-enabled-ssl	SSL de Instância MongoDB Habilitado	Garante que as instâncias MongoDB tenham criptografia SSL habilitada.
mongodb-instance-encryption-byok-check	A Instância MongoDB Usa Chave Personalizada para TDE	Garante que as instâncias MongoDB usem chaves KMS personalizadas para Criptografia Transparente de Dados (TDE).
mongodb-instance-in-vpc	A Instância MongoDB Usa Rede VPC	Garante que as instâncias MongoDB sejam implantadas em uma rede de Nuvem Privada Virtual (VPC).
mongodb-instance-log-audit	Auditoria de Log de Instância MongoDB Habilitada	Garante que as instâncias MongoDB tenham auditoria de registro habilitada.
mongodb-instance-multi-node	A Instância MongoDB Usa Múltiplos Nós	Garante que as instâncias MongoDB sejam implantadas com múltiplos nós para alta disponibilidade.
mongodb-instance-multi-zone	Implantações Multi-Zona de Instância MongoDB	As instâncias MongoDB devem ser implantadas em múltiplas zonas de disponibilidade para alta disponibilidade.
mongodb-instance-release-protection	Proteção contra Liberação de Instância MongoDB Habilitada	Garante que as instâncias MongoDB tenham proteção contra liberação habilitada.
mse-cluster-config-auth-enabled	Autenticação de Configuração de Cluster MSE Habilitada	Garante que o centro de configuração do cluster do Motor de Microserviços (MSE) tenha autenticação habilitada.
mse-cluster-multi-availability-area-architecture-check	Configuração de Alta Disponibilidade do Cluster MSE	Os clusters MSE devem usar a Edição Profissional com pelo menos 3 instâncias (número ímpar) para alta disponibilidade.
mse-cluster-stable-version-check	O Cluster MSE Usa Versão Estável	Garante que a versão do motor do cluster MSE seja maior que a versão estável mínima.
mse-gateway-multi-availability-area-architecture-check	Implantação Multi-Zona de Disponibilidade do Gateway MSE	Os gateways MSE devem ser implantados em múltiplas zonas de disponibilidade configurando um VSwitch de backup.
nas-filesystem-mount-target-access-group-check	Verificação de Grupo de Acesso do Alvo de Montagem NAS	Garante que os alvos de montagem NAS não usem 'DEFAULT_VPC_GROUP_NAME'.
natgateway-delete-protection-enabled	Proteção contra Exclusão do Gateway NAT Habilitada	Garante que os gateways NAT tenham proteção contra exclusão habilitada.
natgateway-eip-used-check	Verificação de Uso de EIP do Gateway NAT	SNAT e DNAT não devem usar o mesmo EIP para evitar conflitos potenciais e melhorar a segmentação de rede.
natgateway-snat-eip-bandwidth-check	Consistência de Largura de Banda EIP SNAT do Gateway NAT	Quando entradas SNAT estão vinculadas a múltiplos EIPs, as configurações de pico de largura de banda devem ser consistentes ou devem ser adicionadas a um pacote de largura de banda compartilhado.
nlb-loadbalancer-multi-zone	Implantação Multi-Zona do Balanceador de Carga NLB	As instâncias do balanceador de carga NLB devem ser implantadas em pelo menos duas zonas de disponibilidade para alta disponibilidade.
nlb-server-group-multi-zone	Distribuição Multi-Zona do Grupo de Servidores NLB	Os grupos de servidores NLB devem ter servidores backend distribuídos em múltiplas zonas de disponibilidade para alta disponibilidade. Esta regra não se aplica a grupos de servidores sem servidores anexados ou a grupos de servidores do tipo IP.
oss-bucket-authorize-specified-ip	Bucket OSS Autoriza IP Especificada	Garante que as políticas de bucket OSS restrinjam o acesso a intervalos de IP especificados.
oss-bucket-backup-enable	Backup OSS Habilitado	Garante que os buckets OSS tenham backup ou controle de versão habilitado.
oss-bucket-logging-enabled	Registro de Logs de Bucket OSS Habilitado	Buckets OSS devem ter registro de logs habilitado para rastrear acesso e operações. O registro de logs ajuda na auditoria de segurança, solução de problemas e requisitos de conformidade.
oss-bucket-remote-replication	Replicação Remota de Bucket OSS Habilitada	Garante que a replicação entre regiões esteja habilitada para o bucket OSS para recuperação de desastres.
oss-bucket-tls-version-check	Verificação de Versão TLS de Bucket OSS	Garante que o bucket OSS esteja configurado para usar uma versão segura de TLS (TLS 1.2 ou superior).
oss-bucket-versioning-enabled	Versionamento de Bucket OSS Habilitado	Bucket OSS deve ter versionamento habilitado para proteger contra exclusão ou sobrescrita acidental.
oss-default-encryption-kms	Criptografia KMS do lado do servidor de bucket OSS habilitada	O bucket OSS tem criptografia KMS do lado do servidor habilitada, considerado conforme.
oss-encryption-byok-check	Verificação de Criptografia BYOK de Bucket OSS	Buckets OSS devem usar chaves KMS gerenciadas pelo cliente (BYOK - Bring Your Own Key) para criptografia. Isso fornece melhor controle sobre chaves de criptografia e atende aos requisitos de conformidade.
oss-zrs-enabled	Armazenamento com Redundância de Zona de Bucket OSS Habilitado	Buckets OSS devem usar armazenamento com redundância de zona (ZRS) para alta disponibilidade e durabilidade de dados.
ots-instance-multi-zone	Armazenamento Redundante de Zona de Instância OTS	Garante que as instâncias Tablestore (OTS) usem armazenamento redundante de zona para alta disponibilidade.
ots-instance-network-not-normal	Tipo de Rede Restrito OTS	Garante que as instâncias do Table Store (OTS) não usem o tipo de rede 'Normal' (sem restrições).
pai-eas-instances-multi-zone	Implantação Multi-Zona de Instância PAI EAS	Garante que as instâncias PAI EAS sejam implantadas em múltiplas zonas para alta disponibilidade.
polardb-cluster-default-time-zone-not-system	Fuso Horário Padrão do Cluster PolarDB Não é Sistema	Garante que o fuso horário padrão do cluster PolarDB não esteja definido como SYSTEM.
polardb-cluster-delete-protection-enabled	Proteção contra Exclusão de Cluster PolarDB Habilitada	Garante que os clusters PolarDB tenham proteção contra exclusão habilitada.
polardb-cluster-enabled-ssl	SSL de Cluster PolarDB Habilitado	Garante que os clusters PolarDB tenham criptografia SSL habilitada.
polardb-cluster-multi-zone	Implantação Multi-zona de Cluster PolarDB	Clusters PolarDB devem ser implantados em múltiplas zonas de disponibilidade para alta disponibilidade.
polardb-dbcluster-in-vpc	Cluster PolarDB em VPC	Garante que o cluster PolarDB seja implantado em uma VPC.
polardb-revision-version-used-check	Verificação de Versão de Revisão PolarDB Utilizada	Garante que o cluster PolarDB esteja usando uma versão de revisão de kernel estável.
polardb-x2-instance-multi-zone	Implantação Multi-Zona da Instância PolarDB-X 2.0	As instâncias PolarDB-X 2.0 devem ser implantadas em 3 zonas de disponibilidade.
privatelink-server-endpoint-multi-zone	Implantação Multi-Zona do Serviço de Endpoint VPC PrivateLink	Os serviços de endpoint VPC PrivateLink devem ter recursos implantados em múltiplas zonas de disponibilidade para alta disponibilidade.
privatelink-servier-endpoint-multi-zone	Implantações Multi-Zona do Ponto de Extremidade de Serviço PrivateLink	Garante que os pontos de extremidade de serviço PrivateLink estejam implantados em múltiplas zonas para alta disponibilidade.
ram-password-policy-check	Verificação de Política de Senha RAM	Garante que a política de senha RAM atenda aos requisitos de segurança especificados.
ram-policy-no-has-specified-document	Política RAM Sem Documento Especificado	Garante que as políticas RAM personalizadas não contenham a configuração de permissões especificada.
ram-role-has-specified-policy	Função RAM Tem Política Especificada	Garante que as funções RAM tenham as políticas especificadas anexadas.
ram-role-no-product-admin-access	A Função RAM Não Tem Acesso de Administrador de Produto	Garante que as funções RAM não tenham acesso administrativo completo ou permissões de administrador de produto.
ram-user-activated-ak-quantity-check	Verificação de Quantidade de AK Ativo de Usuário RAM	Garante que usuários RAM não tenham mais de uma AccessKey ativa.
ram-user-ak-create-date-expired-check	Verificação de Expiração de Data de Criação de AccessKey de Usuário RAM	Garante que as AccessKeys de usuário RAM não sejam mais antigas que o número especificado de dias.
ram-user-ak-used-expired-check	Verificação de Data de Último Uso de AccessKey de Usuário RAM	Garante que as AccessKeys de usuário RAM tenham sido usadas dentro do número especificado de dias.
ram-user-has-specified-policy	O Usuário RAM Tem Política Especificada	Garante que os usuários RAM tenham as políticas necessárias anexadas, incluindo as herdadas de grupos.
ram-user-login-check	Verificação de Login de Usuário RAM Habilitado	Garante que usuários RAM que não precisam de acesso ao console tenham login desabilitado.
ram-user-no-has-specified-policy	Usuário RAM Sem Política Especificada	Garante que os usuários RAM não tenham políticas arriscadas especificadas anexadas.
ram-user-no-product-admin-access	Usuário RAM Sem Acesso Administrativo ao Produto	Garante que os usuários RAM não tenham acesso administrativo completo aos produtos em nuvem, a menos que seja necessário.
ram-user-role-no-product-admin-access	A Função de Usuário RAM Não Tem Acesso de Administrador de Produto	Garante que as funções definidas pelo usuário RAM não tenham permissões administrativas de produto.
ram-user-specified-permission-bound	Limite de Permissão Especificada do Usuário RAM	Garante que os usuários RAM não tenham permissões de alto risco especificadas vinculadas.
rds-instacne-delete-protection-enabled	Proteção contra Exclusão de Instância RDS Habilitada	Garante que as instâncias RDS tenham proteção contra exclusão habilitada.
rds-instance-enabled-auditing	Auditoria de Instância RDS Habilitada	Garante que as instâncias RDS tenham auditoria SQL habilitada.
rds-instance-enabled-log-backup	Backup de Log de Instância RDS Habilitado	Garante que as instâncias RDS tenham backup de log habilitado.
rds-instance-enabled-ssl	SSL de Instância RDS Habilitado	Garante que as instâncias RDS tenham criptografia SSL habilitada.
rds-instance-enabled-tde-disk-encryption	Instância RDS TDE ou Criptografia de Disco Habilitada	A instância RDS deve ter TDE (Criptografia Transparente de Dados) ou criptografia de disco habilitada.
rds-instance-has-guard-instance	A Instância RDS Tem Instância de Guarda	Garante que as instâncias RDS de produção tenham uma instância de guarda (recuperação de desastres) correspondente.
rds-instances-in-vpc	Instância RDS em VPC	Garante que a instância RDS seja implantada dentro de um VPC.
rds-multi-az-support	Implantação Multi-AZ de Instância RDS	Instâncias RDS devem ser implantadas em configuração multi-AZ para alta disponibilidade e failover automático.
redis-architecturetype-cluster-check	Verificação de Tipo de Arquitetura de Cluster Redis	Garante que a instância Redis use o tipo de arquitetura de cluster.
redis-instance-backup-log-enabled	Backup de Log de Instância Redis Habilitado	Garante que o backup de log esteja habilitado para a instância Redis.
redis-instance-double-node-type	Tipo de Nó Duplo de Instância Redis	Garante que a instância Redis use tipo de nó duplo para alta disponibilidade.
redis-instance-enabled-byok-tde	TDE BYOK de Instância Redis Habilitado	Garante que as instâncias Redis tenham Transparent Data Encryption (TDE) habilitado usando Bring Your Own Key (BYOK).
redis-instance-enabled-ssl	SSL de Instância Redis Habilitado	Garante que as instâncias Redis tenham criptografia SSL habilitada.
redis-instance-in-vpc	Instância Redis em VPC	Garante que a instância Redis seja implantada em uma VPC.
redis-instance-multi-zone	Implantação Multi-zona de Instância Redis	Instâncias Redis devem ser implantadas em múltiplas zonas de disponibilidade para alta disponibilidade.
redis-instance-release-protection	Proteção contra Liberação de Instância Redis Habilitada	Garante que as instâncias Redis tenham proteção contra liberação habilitada.
redis-instance-tls-version-check	Verificação de Versão TLS de Instância Redis	Garante que a instância Redis tenha SSL habilitado com uma versão TLS aceitável.
redis-min-capacity-limit	Limite de Capacidade Mínima do Redis	Garante que a instância Redis tenha capacidade de memória que atenda ao requisito mínimo.
rocketmq-v5-instance-multi-zone	Implantações Multi-Zona de Instância RocketMQ 5.0	As instâncias RocketMQ 5.0 devem ser implantadas no modo Cluster HA que suporta disponibilidade multi-zona.
security-center-version-check	Verificação de Versão do Centro de Segurança	O Centro de Segurança deve estar em uma versão que forneça recursos de proteção suficientes.
slb-all-listener-enabled-acl	Todos os Ouvintes SLB Têm Controle de Acesso	Todos os ouvintes em execução das instâncias SLB devem ter listas de controle de acesso (ACL) configuradas para segurança.
slb-all-listener-http-disabled	HTTP de Todos os Ouvintes SLB Desabilitado	Garante que nenhum ouvinte SLB use o protocolo HTTP inseguro.
slb-all-listener-http-redirect-https	Redirecionamento HTTP para HTTPS do SLB Habilitado	Garante que os ouvintes HTTP do SLB estejam configurados para redirecionar o tráfego para HTTPS.
slb-all-listenter-has-server	Todos os Ouvintes SLB Têm Servidores Backend	Todos os ouvintes das instâncias SLB devem ter pelo menos o número especificado de servidores backend anexados.
slb-all-listenter-tls-policy-check	Verificação de Política TLS do Listener SLB	Garante que os listeners HTTPS SLB usem políticas de criptografia TLS seguras.
slb-default-server-group-multi-server	O Grupo de Servidores Padrão do SLB Tem Múltiplos Servidores	O grupo de servidores padrão das instâncias SLB deve ter pelo menos dois servidores para evitar um ponto único de falha.
slb-instance-autorenewal-check	Verificação de Renovação Automática de Instância SLB	Instâncias SLB pré-pagas devem ter renovação automática habilitada para evitar interrupção do serviço.
slb-instance-default-server-group-multi-zone	Grupo de Servidores Padrão SLB Multi-Zona	O grupo de servidores padrão das instâncias SLB deve ter recursos distribuídos em múltiplas zonas de disponibilidade.
slb-instance-log-enabled	Registro de Instância SLB Habilitado	Garante que o registro de acesso esteja habilitado para a instância SLB.
slb-instance-multi-zone	Implantação Multi-zona da Instância SLB	Instâncias SLB devem ser implantadas em múltiplas zonas configurando zonas mestre e escrava para alta disponibilidade.
slb-instance-spec-check	Verificação de Especificação de Instância SLB	As especificações da instância SLB devem atender aos critérios de desempenho necessários com base na lista especificada.
slb-listener-https-enabled	HTTPS de Listener SLB Habilitado	Garante que os listeners SLB usem o protocolo HTTPS para comunicação segura.
slb-loadbalancer-in-vpc	Verificação SLB em VPC	Garante que as instâncias SLB estejam implantadas dentro de uma Virtual Private Cloud (VPC).
slb-master-slave-server-group-multi-zone	Grupo de Servidores Mestre-Escravo SLB Multi-Zona	O grupo de servidores mestre-escravo das instâncias SLB deve ter recursos distribuídos em múltiplas zonas de disponibilidade.
slb-no-public-ip	Instância SLB Sem IP Público	As instâncias SLB não devem ter endereços IP públicos para reduzir a superfície de ataque.
slb-vserver-group-multi-zone	Implantação Multi-Zona do Grupo de Servidor Virtual SLB	Garante que os grupos de servidor virtual SLB contenham instâncias de múltiplas zonas de disponibilidade.
sls-logstore-enabled-encrypt	Criptografia do Logstore SLS Habilitada	Garante que os Logstores SLS tenham criptografia do lado do servidor habilitada.
sls-logstore-encrypt-key-origin-check	Verificação de Origem da Chave de Criptografia do Logstore SLS	Garante que os Logstores SLS usem material de chave importado externamente (BYOK) para criptografia, o que fornece melhor controle sobre as chaves de criptografia.
sls-project-multi-zone	Armazenamento Redundante de Zona do Projeto SLS	Os projetos SLS devem usar armazenamento redundante de zona (ZRS) para alta disponibilidade e durabilidade dos dados.
vpc-flow-logs-enabled	Logs de Fluxo VPC Habilitados	Garante que os logs de fluxo VPC estejam habilitados para monitorar tráfego de rede.
vpc-network-acl-not-empty	ACL de Rede VPC Não Vazio	Garante que as ACLs de rede VPC tenham pelo menos uma regra configurada.
vpn-connection-master-slave-established	Conexão VPN Túnel Duplo Estabelecido	Use um gateway VPN de túnel duplo e ambos os túneis mestre e escravo estão estabelecidos com o par.
vpn-gateway-multi-zone	Implantação Multi-Zona do Gateway VPN	Os gateways VPN devem ser configurados com um VSwitch de recuperação de desastres para suportar disponibilidade multi-zona.
vswitch-available-ip-count	Verificação de Contagem de IP Disponível do VSwitch	Garante que o VSwitch tenha um número suficiente de endereços IP disponíveis.
waf-instance-logging-enabled	Registro de Instância WAF Habilitado	Garante que o registro esteja habilitado para a instância WAF para auditoria e análise de segurança.
waf3-defense-resource-logging-enabled	Registro do WAF 3.0 Habilitado	Garante que o registro esteja habilitado para recursos protegidos pelo WAF 3.0.

Baixa Severidade (40 Regras)

ID da Regra	Nome	Descrição
ack-cluster-spec-check	Verificação de Especificação de Cluster ACK	Garante que os clusters ACK usem especificações aprovadas (por exemplo, ACK Pro).
alb-address-type-check	Verificação de Tipo de Endereço ALB	Garante que as instâncias ALB usem o tipo de endereço preferido (por exemplo, Intranet).
apig-group-custom-trace-enabled	Rastreamento Personalizado do Grupo API Gateway Habilitado	Garante que os grupos do API Gateway tenham rastreamento personalizado habilitado.
cr-repository-immutablity-enable	A Versão da Imagem do Repositório do Registro de Contêineres é Imutável	A versão da imagem do repositório do Registro de Contêineres é imutável, considerado conforme.
eci-container-group-volumn-mounts	Verificação de Montagem de Volume ECI	Garante que os grupos de contêineres ECI tenham volumes montados para armazenamento de dados persistente.
ecs-disk-auto-snapshot-policy	Disco ECS tem política de snapshot automático configurada	Disco ECS tem política de snapshot automático configurada, considerado conforme. Discos não em uso, discos que não suportam política de snapshot automático e discos não persistentes montados por clusters ACK não são aplicáveis. Após habilitar a política de snapshot automático, o Alibaba Cloud criará automaticamente snapshots para discos em nuvem de acordo com pontos de tempo e ciclos predefinidos, permitindo recuperação rápida de invasão de vírus ou ataques de ransomware.
ecs-disk-idle-check	Verificação de Disco Inativo ECS	Garante que os discos ECS estejam anexados a uma instância e não estejam em estado inativo.
ecs-disk-regional-auto-check	Armazenamento ESSD com Redundância de Zona de Disco ECS	Os discos de dados ECS devem usar armazenamento ESSD com redundância de zona para alta disponibilidade. Os discos do sistema não são aplicáveis a esta regra.
ecs-instance-chargetype-check	Verificação de Tipo de Cobrança da Instância ECS	Garante que as instâncias ECS usem o tipo de cobrança autorizado.
ecs-instance-multiple-eni-check	A Instância ECS Está Vinculada Apenas a Uma Interface de Rede Elástica	As instâncias ECS estão vinculadas apenas a uma interface de rede elástica, considerado conforme. Isso ajuda a simplificar a configuração de rede e reduzir a complexidade.
ecs-instance-ram-role-attached	Função RAM de Instância ECS Anexada	Garante que as instâncias ECS tenham uma função IAM anexada para acesso seguro a outros serviços em nuvem.
ecs-internet-charge-type-check	Verificação de Tipo de Cobrança de Internet ECS	Garante que as instâncias ECS usem o tipo de cobrança de Internet preferido.
ecs-security-group-description-check	Descrição de Grupo de Segurança Não Vazia	A descrição do grupo de segurança não deve estar vazia. Ter uma descrição ajuda com gerenciamento e auditoria.
ecs-security-group-type-not-normal	Usar Tipo de Grupo de Segurança Empresarial	O tipo de grupo de segurança ECS não deve ser tipo normal. Usar grupo de segurança empresarial é considerado conforme.
ecs-snapshot-retention-days	Dias de retenção de snapshot automático ECS atendem requisitos	Os dias de retenção da política de snapshot automático ECS são maiores que o número especificado de dias, considerado conforme. Valor padrão: 7 dias.
ecs-system-disk-size-check	Verificação de Tamanho do Disco do Sistema ECS	Garante que os discos do sistema ECS atendam ao tamanho mínimo necessário.
eip-attached	EIP Anexado	Garante que as instâncias EIP estejam associadas a um recurso.
eip-bandwidth-limit	Limite de Largura de Banda EIP	Garante que a largura de banda EIP não exceda um valor máximo especificado.
hbase-cluster-type-check	Verificação de Tipo de Cluster HBase	Garante que o cluster HBase seja de um tipo especificado ou recomendado.
metadata-ros-composer-check	Verificação de Metadados de Modelo ALIYUN::ROS::Composer	O modelo deve ter Metadata.ALIYUN::ROS::Composer configurado. O valor deve ser um dicionário (objeto).
nas-filesystem-encrypt-type-check	Criptografia do Sistema de Arquivos NAS Configurada	O sistema de arquivos NAS tem criptografia configurada, considerado em conformidade.
oss-bucket-referer-limit	Proteção contra link direto de referer de bucket OSS configurada	O bucket OSS tem proteção contra link direto de referer habilitada com uma lista branca configurada.
polardb-cluster-maintain-time-check	Verificação de Janela de Manutenção de Cluster PolarDB	Garante que o cluster PolarDB tenha uma janela de manutenção configurada.
ram-group-has-member-check	O Grupo RAM Tem Membro	Garante que os grupos RAM tenham pelo menos um membro.
ram-group-in-use-check	Verificação de Grupo RAM em Uso	Garante que os grupos RAM não estejam ociosos - devem ter pelo menos um membro e pelo menos uma política anexada.
ram-policy-in-use-check	Verificação de Política RAM em Uso	Garante que as políticas RAM estejam anexadas a pelo menos um usuário, grupo ou função RAM.
ram-user-group-membership-check	Verificação de Associação ao Grupo de Usuário RAM	Garante que os usuários RAM pertençam a pelo menos um grupo para facilitar o gerenciamento de permissões.
ram-user-last-login-expired-check	Verificação de Último Login de Usuário RAM	Verifica se usuários RAM não fizeram login há muito tempo.
ram-user-no-policy-check	O Usuário RAM Tem Política	Garante que os usuários RAM tenham pelo menos uma política anexada.
rds-instance-maintain-time-check	Verificação de Janela de Manutenção de Instância RDS	Garante que a instância RDS tenha uma janela de manutenção configurada.
rds-instance-storage-autoscale-enable	Autoescala de Armazenamento RDS Habilitada	Garante que as instâncias RDS tenham autoescala de armazenamento habilitada para prevenir tempo de inatividade devido a discos cheios.
redis-instance-backup-time-check	Verificação de Janela de Backup de Instância Redis	Garante que a instância Redis tenha uma janela de backup configurada.
root-has-specified-role	A Conta Raiz Tem Função Especificada	Garante que a conta raiz tenha uma função RAM especificada para governança e gerenciamento.
slb-backendserver-weight-check	Verificação de Peso do Servidor Backend SLB	Garante que os servidores backend SLB tenham configurações de peso razoáveis.
slb-instance-loadbalancerspec-check	Verificação de Especificação de Instância SLB	Garante que as instâncias SLB usem especificações de desempenho aprovadas.
slb-loadbalancer-bandwidth-limit	Limite de Largura de Banda SLB	Garante que a largura de banda da instância SLB não exceda um valor máximo especificado.
slb-modify-protection-check	Proteção contra Modificação de SLB Habilitada	Garante que as instâncias SLB tenham proteção contra modificação habilitada.
sls-logstore-hot-ttl-check	Armazenamento de Camada Inteligente do Logstore SLS Habilitado	Garante que os Logstores SLS tenham armazenamento inteligente de camada quente/fria habilitado para otimização de custos.
vpn-gateway-enabled-ssl-vpn	SSL-VPN do Gateway VPN Habilitado	Garante que o gateway VPN tenha SSL-VPN habilitado para acesso seguro do cliente.
vpn-ipsec-connection-health-check-open	Verificação de Integridade IPsec VPN Habilitada	Garante que as conexões VPN IPsec tenham verificações de integridade habilitadas para detectar falhas do túnel.

---

Este documento é gerado automaticamente a partir dos metadados da política.