Aliyun 规则

规则总数： 317

按严重程度分类

高 严重程度 (100 规则)

规则 ID	名称	IaC 类型	描述
ack-cluster-node-multi-zone	使用区域级多可用区 ACK 集群	ROS, Terraform	使用区域级 ACK 集群，节点分布在 3 个及以上可用区，视为合规。
ack-cluster-public-endpoint-check	ACK 集群未设置公网连接端点	ROS, Terraform	ACK 集群未设置公网连接端点，或关联的 SLB 的监听开启 acl 访问控制，视为合规。
acs-cluster-node-multi-zone	使用区域级多可用区 ACS 集群	ROS, Terraform	使用区域级 ACS 集群，节点分布在 3 个及以上可用区，视为合规。
actiontrail-enabled	确保操作审计已开启	ROS, Terraform	确保开启了操作审计（ActionTrail）以记录账号活动。
actiontrail-trail-intact-enabled	开启操作审计全量日志跟踪	ROS, Terraform	操作审计中存在开启状态的跟踪，且跟踪全部地域和全部事件类型。
alb-acl-public-access-check	ALB 访问控制列表不允许配置所有地址段	ROS, Terraform	确保 ALB 访问控制列表不包含 0.0.0.0/0（允许所有 IP）。
alb-all-listener-health-check-enabled	ALB 所有监听开启健康检查	ROS, Terraform	确保所有 ALB 监听均开启了健康检查。
alb-delete-protection-enabled	ALB 实例开启释放保护	ROS, Terraform	确保 ALB 实例开启了释放保护。
alb-instance-multi-zone	使用多可用区的 ALB 实例	ROS, Terraform	ALB 实例为多可用区实例，视为合规。如果只选择了一个可用区，当这个可用区出现故障时，会影响 ALB 实例，进而影响业务稳定性。
alb-instance-waf-enabled	ALB 实例开启 WEB 应用防火墙防护	ROS, Terraform	确保 ALB 实例已启用 WAF3（Web 应用防火墙）防护。
alb-server-group-multi-server	ALB 服务器组包含至少两台服务器	ROS, Terraform	确保 ALB 服务器组包含至少两台后端服务器以实现高可用性。
alidns-route-53-mx-check	DNS 域名 MX 记录关联的 TXT 记录包含有效的 SPF 值	ROS, Terraform	对于每个 MX 记录，检查关联的 TXT 记录是否包含有效的 SPF 值,只要 MX 记录有至少一个具有有效 SPF 值的关联 TXT 记录，则视为合规。
api-gateway-group-force-https	API 分组绑定独立域名并开启 Https 强制跳转	ROS, Terraform	检测网关分组下的所有公网独立域名是否都开启 HTTPS 强制跳转。
bastionhost-instance-expired-check	堡垒机实例到期检查	ROS, Terraform	预付费堡垒机实例应开启自动续费，避免业务中断。
cdn-domain-multiple-origin-servers	CDN 域名配置多个源站	ROS, Terraform	CDN 域名配置多个源站，视为合规。
cr-instance-any-ip-access-check	容器镜像服务实例白名单检测	ROS, Terraform	确保容器镜像服务实例的白名单中不包含任意 IP（0.0.0.0/0）。
cr-repository-image-scanning-enabled	为容器镜像实例开启安全扫描	ROS, Terraform	确保容器镜像实例开启了镜像安全扫描功能以检测安全漏洞。
cr-repository-type-private	容器镜像服务镜像仓库类型为私有	ROS, Terraform	确保容器镜像仓库类型设置为私有。
dcdn-domain-multiple-origin-servers	DCDN 域名配置多个源站	ROS, Terraform	DCDN 域名配置多个源站，视为合规。
eci-containergroup-environment-no-specified-keys	ECI 容器组不包含敏感环境变量	ROS, Terraform	ECI 容器组不包含敏感环境变量（如密码、AccessKey 等），视为合规。
ecs-available-disk-encrypted	可用的磁盘均已加密	ROS, Terraform	确保所有 ECS 磁盘都已加密。
ecs-instance-attached-security-group	ECS 实例绑定安全组	ROS, Terraform	如果 ECS 实例已关联指定的安全组，则视为合规。
ecs-instance-deletion-protection-enabled	ECS 实例开启释放保护	ROS, Terraform	确保 ECS 实例开启了释放保护。
ecs-instance-enabled-security-protection	运行中的 ECS 实例开启云安全中心防护	ROS, Terraform	确保 ECS 实例开启了安全增强策略（云安全中心防护）。
ecs-instance-expired-check	ECS 预付费实例到期检查	ROS, Terraform	预付费实例应开启自动续费，避免出现因费用问题停机。
ecs-instance-no-public-ip	ECS 实例禁止绑定公网地址	ROS, Terraform	ECS 实例没有直接绑定 IPv4 公网 IP 或弹性公网 IP，视为合规。
ecs-launch-template-version-attach-security-group	ECS 启动模版版本中设置加入的安全组	ROS, Terraform	ECS 启动模版版本中设置了实例要加入的安全组，视为合规。
ecs-running-instance-no-public-ip	ECS 实例不分配公网 IP	ROS, Terraform	ECS 实例不应分配公网 IP，以减少直接暴露在互联网上的风险。
ecs-security-group-egress-not-all-access	安全组出方向未设置为全通	ROS, Terraform	安全组出网方向未设置为全通，视为合规。
ecs-security-group-not-internet-cidr-access	安全组入网设置允许的来源 IP 不包含公网 IP	ROS, Terraform	安全组入网方向授权策略为允许的来源 IP 地址段不包含公网 IP，视为合规。
ecs-security-group-not-open-all-port	安全组入网设置中不能有对所有端口开放的访问规则	ROS, Terraform	安全组入方向授权策略为允许，当端口范围未设置为-1/-1 时，视为合规。如果端口范围设置为-1/-1，但被优先级更高的授权策略拒绝，视为合规。
ecs-security-group-not-open-all-protocol	安全组入网设置不能有对所有协议开放的访问规则	ROS, Terraform	安全组入方向授权策略为允许，当协议类型未设置为 ALL 时，视为合规。如果协议类型设置为 ALL，但被优先级更高的授权策略拒绝，视为合规。
ecs-security-group-risky-ports-check-with-protocol	安全组指定协议不允许对全部网段开启风险端口	ROS, Terraform	当安全组入网网段设置为 0.0.0.0/0 时，指定协议的端口范围不包含指定风险端口，降低服务器登录密码被暴力破解风险，视为合规。默认检测风险端口为 22、3389。
ecs-security-group-white-list-port-check	安全组非白名单端口入网设置有效	ROS, Terraform	除指定的白名单端口（80）外，其余端口不能有授权策略设置为允许而且来源为 0.0.0.0/0 的入方向规则，视为合规。
elasticsearch-instance-enabled-kibana-public-check	Elasticsearch 实例 Kibana 未开启公网访问	ROS, Terraform	Elasticsearch 实例 Kibana 未开启公网访问，视为合规。
elasticsearch-instance-enabled-public-check	Elasticsearch 实例未开启公网访问	ROS, Terraform	Elasticsearch 实例未开启公网访问，视为合规。
elasticsearch-instance-node-not-use-specified-spec	未使用不推荐的 Elasticsearch 实例	ROS, Terraform	未使用参数指定的 Elasticsearch 规格实例，视为合规。
elasticsearch-instance-version-not-deprecated	未使用不推荐的 Elasticsearch 实例版本	ROS, Terraform	Elasticsearch 实例所使用的版本未在参数指定的不推荐版本范围内，视为合规。
elasticsearch-public-and-any-ip-access-check	Elasticsearch 实例未开启公网或不允许任意 IP 访问	ROS, Terraform	确保 Elasticsearch 实例未开启公网访问，或者白名单未设置为对所有 IP 开放。
ess-scaling-configuration-data-disk-encrypted	弹性伸缩配置中设置数据磁盘加密	ROS, Terraform	弹性伸缩配置中数据磁盘配置均设置为加密，视为合规。
ess-scaling-configuration-sg-public-access	ESS 伸缩组配置的安全组不应设置为 0.0.0.0/0	ROS, Terraform	ESS 伸缩组配置中的安全组不包含 0.0.0.0/0，则视为合规。
ess-scaling-configuration-system-disk-encrypted	弹性伸缩配置中设置系统磁盘加密	ROS, Terraform	弹性伸缩配置中系统磁盘配置设置为加密，视为合规。
fc-function-runtime-check	FC 未使用废弃的运行时	ROS, Terraform	FC 使用的运行时未废弃，则视为合规。截止 2025-04-20，本规则检测废弃版本清单为：nodejs12,nodejs10,nodejs8,dotnetcore2.1,python2.7,nodejs6,nodejs4.4。
fc-trigger-http-not-anonymous	函数 HTTP 触发器设置为需要身份验证	ROS, Terraform	函数 HTTP 触发器配置为需要身份验证，视为合规。
gpdb-instance-disk-encryption-enabled	GPDB 开启磁盘加密	ROS, Terraform	确保 GPDB 实例开启了磁盘加密。
hbase-cluster-expired-check	HBase 预付费实例到期检查	ROS, Terraform	预付费 HBase 实例应开启自动续费，避免业务中断。
hbase-cluster-ha-check	HBase 集群高可用检查	ROS, Terraform	HBase 集群应至少有 2 个核心节点以确保高可用。
kafka-instance-disk-encrypted	Kafka 实例部署时启用了云盘加密	ROS, Terraform	Kafka 实例部署时启用了云盘加密，视为合规。Serverless 或非服务中的实例视为不适用。
kafka-instance-public-access-check	Kafka 实例公网访问检查	ROS, Terraform	Kafka 实例不应使用公网部署方式（deploy_type 为 5）。应使用 VPC 部署方式（deploy_type 为 4）以限制仅内网访问。
maxcompute-project-encryption-enabled	MaxCompute 项目开启加密	ROS, Terraform	确保 MaxCompute 项目启用了加密以保护存储的数据。
maxcompute-project-ip-whitelist-enabled	MaxCompute 项目开启 IP 白名单	ROS, Terraform	确保 MaxCompute 项目配置了 IP 白名单以限制访问。
mongodb-cluster-expired-check	MongoDB 实例到期检查	ROS, Terraform	预付费 MongoDB 实例应开启自动续费，避免业务中断。
mongodb-instance-class-not-shared	MongoDB 使用独享型或专属型规格实例	ROS, Terraform	确保 MongoDB 实例使用独享型或专属型规格实例，而非共享型实例。
mongodb-min-maxconnections-limit	MongoDB 实例最小连接数规格检查	ROS, Terraform	MongoDB 实例规格应满足最小连接数要求（不使用最小规格）。
mongodb-min-maxiops-limit	MongoDB 实例最小 IOPS 存储检查	ROS, Terraform	MongoDB 实例存储应至少为 20 GB 以满足 IOPS 要求。
mongodb-public-access-check	MongoDB 白名单禁用公网开放	ROS, Terraform	确保 MongoDB 安全 IP 白名单中不包含 0.0.0.0/0。
mongodb-public-and-any-ip-access-check	MongoDB 实例不开启公网或安全白名单不设置为允许任意来源访问	ROS, Terraform	确保 MongoDB 实例未设置开放白名单（0.0.0.0/0）。
mse-cluster-architecture-check	MSE 注册配置中心多节点检测	ROS, Terraform	MSE 集群的 instance_count 应大于 3 以实现高可用。
mse-cluster-internet-check	MSE 集群公网检测	ROS, Terraform	确保 MSE 集群未开放公网访问。
mse-gateway-architecture-check	MSE 云原生网关多节点检测	ROS, Terraform	MSE 网关的 replica 应大于 1 以实现高可用。
nas-access-group-public-access-check	NAS 权限组禁用公网授权	ROS, Terraform	确保 NAS 权限规则不允许 0.0.0.0/0。
nat-risk-ports-check	NAT 网关 DNAT 条目禁用高风险端口	ROS, Terraform	确保 NAT 网关 DNAT 条目未暴露高风险端口。
oss-bucket-anonymous-prohibited	OSS 存储桶禁用匿名访问	ROS, Terraform	确保 OSS 存储桶禁用了匿名访问。
oss-bucket-only-https-enabled	OSS 存储桶开启仅允许 HTTPS 访问	ROS, Terraform	确保 OSS 存储桶策略强制仅允许 HTTPS 访问。
oss-bucket-policy-no-any-anonymous	OSS 存储空间不能为匿名账号授予任何权限	ROS, Terraform	确保 OSS 存储桶策略不向匿名用户授予任何权限。
oss-bucket-policy-outside-organization-check	OSS 存储桶策略未给组织外授权	ROS, Terraform	确保 OSS 存储桶策略不向组织外的主体授权。
oss-bucket-public-read-prohibited	OSS 存储空间 ACL 不开启公共读	ROS, Terraform	确保 OSS 存储桶 ACL 不允许公共读取访问。
oss-bucket-public-write-prohibited	OSS 存储空间 ACL 不开启公共读写	ROS, Terraform	OSS 存储空间不应允许公共写入访问。公共写入访问允许任何人上传、修改或删除存储空间中的对象，这会带来重大安全风险。
oss-bucket-server-side-encryption-enabled	OSS 存储空间开启服务端加密	ROS, Terraform	确保 OSS 存储桶开启了服务端加密。
parameter-sensitive-noecho-check	敏感参数必须配置 NoEcho	ROS	包含敏感信息（密码、API 密钥、密钥等）的模板参数必须通过设置 NoEcho 为 true 或使用有效的 AssociationProperty 值来保护，以防止以明文形式显示。
polardb-cluster-enabled-tde	PolarDB 集群开启 TDE	ROS, Terraform	确保 PolarDB 集群开启了透明数据加密（TDE）。
polardb-cluster-expired-check	PolarDB 集群到期检查	ROS, Terraform	预付费 PolarDB 集群应开启自动续费，避免业务中断。
polardb-public-access-check	PolarDB 实例 IP 白名单禁止设置为全网段	ROS, Terraform	确保 PolarDB 实例的 security_ips 未设置为允许所有来源 IP（0.0.0.0/0）。
polardb-public-and-any-ip-access-check	PolarDB 公网及全网 IP 访问检测	ROS, Terraform	确保 PolarDB 集群没有公网端点，并且未对任何 IP 地址(0.0.0.0/0)开放。
ram-policy-no-statements-with-admin-access-check	禁止 RAM 策略包含管理员权限	ROS, Terraform	确保自定义 RAM 策略未授予完全的管理员权限（AdministratorAccess）。
ram-user-mfa-check	RAM 用户开启 MFA	ROS, Terraform	检测 RAM 用户是否开通 MFA 二次验证登录，开通视为合规。
ram-user-role-no-product-admin-access	ram 用户定义的角色不包括产品管理权限	ROS, Terraform	确保 RAM 角色策略绑定未授予产品管理员权限。
ram-user-specified-permission-bound	RAM 用户未绑定指定的高危权限	ROS, Terraform	确保 RAM 用户绑定的权限策略配置中，不包含规则入参指定的高危权限配置。
rds-instance-enabled-disk-encryption	RDS 实例开启磁盘加密	ROS, Terraform	确保 RDS 实例开启了磁盘加密。
rds-instance-expired-check	RDS 预付费实例到期检查	ROS, Terraform	预付费 RDS 实例应开启自动续费，避免业务中断。
rds-public-access-check	RDS 实例不配置公网地址	ROS, Terraform	RDS 实例不应配置公网地址。公网访问会使数据库暴露于来自互联网的潜在安全威胁。
rds-public-connection-and-any-ip-access-check	开启公网 IP 的 RDS 实例白名单未对所有来源开放	ROS, Terraform	确保 RDS 实例的安全白名单未设置为完全不受限制。
rds-white-list-internet-ip-access-check	RDS 白名单禁用公网开放	ROS, Terraform	确保 RDS 安全 IP 白名单中不包含 0.0.0.0/0 或 0.0.0.0。
redis-instance-expired-check	Redis 预付费实例到期检查	ROS, Terraform	预付费 Redis 实例应开启自动续费，避免业务中断。
redis-instance-no-public-ip	Redis 实例未设置公网 IP	ROS, Terraform	确保 Redis 实例未设置公网 IP。
redis-instance-open-auth-mode	Redis 强制开启认证模式	ROS, Terraform	确保 Redis 实例需要身份验证，且不处于'免密'模式。
redis-public-and-any-ip-access-check	Redis 实例不开启公网或安全白名单不设置为允许任意来源访问	ROS, Terraform	确保 Redis 实例未开启公网访问，或者白名单未设置为对所有 IP 开放。
root-ak-check	主账号 AccessKey 检测	ROS	确保主账号没有激活的 AccessKey。
root-mfa-check	主账号 MFA 检测	ROS	确保主账号已开启多因素认证(MFA)。
sg-public-access-check	安全组入网设置有效	ROS, Terraform	安全组入方向授权策略为允许，当端口范围-1/-1 和授权对象 0.0.0.0/0 未同时出现，或者被优先级更高的授权策略拒绝，视为合规。
sg-risky-ports-check	安全组不允许对全部网段开启风险端口	ROS, Terraform	当安全组入网网段设置为 0.0.0.0/0 时，端口范围不包含指定风险端口，视为合规。若入网网段未设置为 0.0.0.0/0 时，即使端口范围包含指定的风险端口，也视为合规。
slb-acl-public-access-check	CLB 访问控制列表不配置所有地址段	ROS, Terraform	确保 CLB 访问控制列表中不包含 0.0.0.0/0，以防止无限制的公网访问。
slb-all-listener-health-check-enabled	SLB 所有监听开启健康检查	ROS, Terraform	确保所有 SLB 监听均开启了健康检查。
slb-all-listener-servers-multi-zone	使用多可用区 SLB 实例并为服务器组配置多个可用区资源	ROS, Terraform	SLB 实例为多可用区，master_zone_id 和 slave_zone_id 配置为不同可用区，视为合规。
slb-delete-protection-enabled	SLB 实例开启释放保护	ROS, Terraform	确保 SLB 实例开启了释放保护。
slb-listener-risk-ports-check	SLB 监听禁用高风险端口	ROS, Terraform	确保 SLB 监听未暴露 22、3389 等高风险端口。
transit-router-vpc-attachment-multi-zone	为转发路由器 VPC 连接设置多个可用区	ROS, Terraform	为转发路由器的 VPC 连接设置两个分布在不同可用区的交换机，保障产品跨可用区的高可用性，视为合规。
tsdb-instance-security-ip-check	TSDB 实例安全白名单检测	ROS, Terraform	TSDB 实例没有开启任意 IP 访问，视为合规。
use-waf-instance-for-security-protection	使用 WEB 防火墙对网站或 APP 进行安全防护	ROS, Terraform	使用 WEB 防火墙对网站或 APP 进行安全防护，视为合规。
vpc-network-acl-risky-ports-check	VPC 网络 ACL 禁用高风险端口	ROS, Terraform	确保 VPC 网络 ACL 不允许对风险端口（22, 3389）的无限制访问。

中 严重程度 (176 规则)

规则 ID	名称	IaC 类型	描述
ack-cluster-encryption-enabled	ACK 集群配置 Secret 的落盘加密	ROS, Terraform	ACK 集群配置 Secret 的落盘加密，视为合规。非专业托管版集群视为不适用。
ack-cluster-inspect-kubelet-version-outdate-check	ACK 巡检：Kubelet 版本过时检测	ROS, Terraform	确保 ACK 集群中的 Kubelet 版本是最新的。
ack-cluster-log-plugin-installed	ACK 集群安装日志插件	ROS, Terraform	确保 ACK 集群中安装了 log-service 组件。
ack-cluster-rrsa-enabled	ACK 集群开启 RRSA	ROS, Terraform	确保 ACK 集群开启了 RAM 角色注入(RRSA)功能。
ack-cluster-supported-version	ACK 集群版本支持检测	ROS, Terraform	确保 ACK 集群运行的是受支持的版本。
ack-cluster-upgrade-latest-version	ACK 集群已升级至最新版本	ROS, Terraform	确保 ACK 集群运行的是最新的可用版本。
adb-cluster-multi-zone	ADB 集群部署模式为多可用区	ROS, Terraform	ADB 集群为多可用区部署模式，视为合规。
alb-all-listenter-has-server	ALB 监听绑定后端服务器	ROS, Terraform	确保所有 ALB 监听均关联了非空的服务器组。
alb-instance-bind-security-group-or-enabled-acl	ALB 实例关联安全组或者为所有监听设置访问控制	ROS, Terraform	ALB 实例关联了安全组或者为所有运行中的监听都设置了访问控制，视为合规。不存在运行中监听的实例不适用本规则，视为不适用。
alb-server-group-multi-zone	ALB 负载均衡服务器组添加多个可用区资源	ROS, Terraform	ALB 负载均衡的服务器组挂载资源分布在多个可用区，视为合规。ALB 服务器组无挂载任何资源时不适用本规则，视为不适用。IP 或者函数计算类型的服务器组视为不适用。
alidns-domain-regex-match	阿里云解析域名符合命名规范	ROS, Terraform	域名符合参数指定的命名规范正则，视为合规。
api-gateway-api-auth-jwt	API 网关中 API 安全认证设置为 JWT 方式	ROS, Terraform	确保 API 网关中的 API 安全认证为 JWT 方式。
api-gateway-api-auth-required	API 网关中配置 API 安全认证	ROS, Terraform	确保 API 网关中配置 API 安全认证。
api-gateway-api-internet-request-https	API 网关公网请求开启 HTTPS	ROS, Terraform	确保暴露给公网的 API 网关 API 使用 HTTPS 协议。
api-gateway-api-visibility-private	API 网关中的 API 设置为私有	ROS, Terraform	确保 API 网关中的 API 设置为私有。
api-gateway-group-bind-domain	API 网关中 API 分组绑定自定义域名	ROS, Terraform	确保 API 网关中的 API 分组绑定了自定义域名。
api-gateway-group-enabled-ssl	API 网关分组开启 SSL	ROS, Terraform	确保 API 网关分组开启了 SSL。
api-gateway-group-https-policy-check	API 网关中 API 分组的 HTTPS 安全策略满足要求	ROS, Terraform	确保 API 网关中的 API 分组设置的 HTTPS 安全策略在指定的参数列表中。
api-gateway-group-log-enabled	为 API 分组设置调用日志存储	ROS, Terraform	确保 API 网关中 API 分组设置了调用日志存储。
apigateway-instance-multi-zone	使用多可用区的 API 网关实例	ROS, Terraform	使用多可用区的 API 网关实例，视为合规。
bastionhost-instance-spec-check	使用多可用区部署的堡垒机版本	ROS, Terraform	使用多可用区部署的企业双擎或者国密版堡垒机，保障稳定性，视为合规。
cen-cross-region-bandwidth-check	CEN 实例中的跨地域连接带宽分配满足指定要求	ROS, Terraform	云企业网实例下所有跨地域连接分配的带宽大于参数指定值，视为合规。
clickhouse-dbcluster-multi-zone	使用多可用区的 ClickHouse 集群实例	ROS, Terraform	使用多可用区的 ClickHouse 集群实例，视为合规，注意只包含社区版本。
cr-instance-multi-zone	关联同城冗余的 oss 桶的容器镜像实例	ROS, Terraform	关联同城冗余的 oss 桶的容器镜像实例，视为合规。
ecs-disk-all-encrypted-by-kms	ECS 磁盘开启 KMS 加密	ROS, Terraform	ECS 磁盘开启 KMS 加密，视为合规。
ecs-disk-encrypted	ECS 数据磁盘开启加密	ROS, Terraform	ECS 数据磁盘已开启加密,视为合规。
ecs-disk-in-use	ECS 磁盘正在使用中	ROS, Terraform	ECS 磁盘已挂载到实例或处于使用中状态，视为合规。闲置或未挂载的磁盘可能造成资源浪费。
ecs-disk-retain-auto-snapshot	ECS 数据磁盘释放时保留自动快照	ROS, Terraform	设置 ECS 磁盘释放时保留自动快照，视为合规。这有助于防止数据意外删除。
ecs-in-use-disk-encrypted	使用中的 ECS 数据磁盘开启加密	ROS, Terraform	使用中的 ECS 数据磁盘应开启加密以保护静态数据。加密磁盘使用 KMS 密钥对数据进行加密，确保数据安全并符合合规要求。
ecs-instance-auto-renewal-enabled	ECS 包年包月实例开启自动续费	ROS, Terraform	ECS 包年包月的实例开启自动续费，视为合规。按量付费的实例不适用本规则。
ecs-instance-image-expired-check	ECS 实例镜像过期检测	ROS, Terraform	确保 ECS 实例使用的镜像未过期。
ecs-instance-image-type-check	ECS 实例镜像来源核查	ROS, Terraform	确保 ECS 实例使用来自授权来源的镜像。
ecs-instance-login-use-keypair	ECS 实例登录使用密钥对	ROS, Terraform	确保 ECS 实例使用密钥对进行登录，而不是密码。
ecs-instance-meta-data-mode-check	访问 ECS 实例元数据时强制使用加固模式	ROS, Terraform	访问 ECS 实例元数据时强制使用加固模式，视为合规。ACK 集群关联的实例视为不适用。
ecs-instance-no-public-and-anyip	ECS 实例禁止绑定公网地址和开放任意 ip	ROS, Terraform	ECS 实例没有直接绑定 IPv4 公网 IP 或弹性公网 IP，或关联的安全组未开放 0.0.0.0/0，视为合规。
ecs-instance-not-bind-key-pair	ECS 实例未绑定密钥对检测	ROS, Terraform	确保 ECS 实例使用密钥对进行身份验证，而不是密码。
ecs-instance-type-family-not-deprecated	ECS 弃用规格族预警	ROS, Terraform	确保 ECS 实例未使用已弃用或陈旧的规格类型。
ecs-instances-in-vpc	使用专有网络类型的 ECS 实例	ROS, Terraform	ECS 实例应部署在专有网络(VPC)而非经典网络中。VPC 提供更好的网络隔离、安全性和灵活性。
ecs-internetmaxbandwidth-check	ECS 公网出口带宽检查	ROS, Terraform	确保 ECS 公网出口带宽不超过指定限制。
ecs-launch-template-network-type-check	ECS 启动模版配置不应设置公网访问	ROS, Terraform	ECS 启动模版版本中网络类型为 VPC 类型，视为合规。
ecs-launch-template-version-data-disk-encrypted	ECS 启动模版版本中设置数据磁盘加密	ROS, Terraform	ECS 启动模版版本中数据磁盘配置均设置为加密，视为合规。
ecs-launch-template-version-image-type-check	启动模板镜像来源核查	ROS, Terraform	确保 ECS 启动模板使用授权的镜像类型。
ecs-running-instances-in-vpc	运行中的 ECS 实例在专有网络	ROS, Terraform	阿里云推荐购买的 ECS 放在 VPC 里面。如果 ECS 有归属 VPC 则视为合规。
ecs-snapshot-policy-timepoints-check	为自动快照策略设置合理的创建时间点	ROS, Terraform	自动快照策略中设置的快照创建时间点在参数指定的时间点范围内,视为合规。创建快照会暂时降低块存储 I/O 性能,一般性能差异在 10%以内,出现短暂瞬间变慢。建议您选择避开业务高峰的时间点。
eip-delete-protection-enabled	弹性公网 IP 开启删除保护	ROS, Terraform	确保弹性公网 IP 开启了删除保护。
elasticsearch-instance-enabled-data-node-encryption	Elasticsearch 数据节点开启加密	ROS, Terraform	确保 Elasticsearch 实例中的数据节点已开启磁盘加密。
elasticsearch-instance-enabled-node-config-disk-encryption	ES 弹性节点磁盘加密核查	ROS, Terraform	确保 Elasticsearch 弹性节点配置开启了磁盘加密。
elasticsearch-instance-multi-zone	Elasticsearch 实例多可用区部署	ROS, Terraform	Elasticsearch 实例应部署在多个可用区。
emr-cluster-master-public-access-check	EMR 集群 Master 节点公网开启检测	ROS, Terraform	EMR on ECS 集群 Master 节点公网不开启，视为合规。
ess-group-health-check	弹性伸缩组开启 ECS 实例健康检查	ROS, Terraform	弹性伸缩组开启对 ECS 实例的健康检查，视为合规。
ess-scaling-configuration-attach-security-group	弹性伸缩配置中为实例设置关联安全组	ROS, Terraform	弹性伸缩配置中设置了实例要加入的安全组，视为合规。
ess-scaling-configuration-enabled-internet-check	ESS 伸缩配置公网访问检测	ROS, Terraform	确保 ESS 伸缩配置未为实例开启公网 IP 地址，除非必要。
ess-scaling-configuration-image-check	弹性伸缩配置镜像检测	ROS, Terraform	弹性伸缩配置中镜像为保有中资源，视为合规。
ess-scaling-configuration-image-type-check	弹性伸缩配置中使用指定来源的镜像	ROS, Terraform	弹性伸缩配置中镜像来源为指定类型的来源，视为合规。
ess-scaling-group-attach-multi-switch	弹性伸缩组关联至少两个交换机	ROS, Terraform	弹性伸缩组关联至少两个交换机，视为合规。
ess-scaling-group-attach-slb	弹性伸缩组设置关联负载均衡	ROS, Terraform	弹性伸缩组关联传统型负载均衡，视为合规。
ess-scaling-group-loadbalancer-check	弹性伸缩组关联负载均衡存在性检测	ROS, Terraform	弹性伸缩组关联传统型负载均衡或者应用负载均衡仍然为保有中资源，视为合规。
fc-function-custom-domain-and-cert-enable	函数计算函数绑定到自定义域名且上传证书	ROS, Terraform	函数计算函数绑定的自定义域名已上传 SSL 证书，视为合规。
fc-function-custom-domain-and-https-enable	函数计算函数绑定到自定义域名且开启 HTTPS	ROS, Terraform	函数计算函数绑定的自定义域名已开启 HTTPS，视为合规。
fc-function-custom-domain-and-tls-enable	FC 函数自定义域名及 TLS 开启	ROS, Terraform	确保函数计算函数的自定义域名已开启 TLS。
fc-function-internet-and-custom-domain-enable	函数计算服务允许访问公网且绑定到自定义域名	ROS, Terraform	函数计算服务在允许公网访问时绑定了自定义域名，视为合规。
fc-function-settings-check	函数计算中函数设置满足参数指定要求	ROS, Terraform	函数计算 2.0 中的函数设置满足参数指定的要求，视为合规。
fc-service-bind-role	FC 服务绑定角色	ROS, Terraform	确保函数计算服务绑定了 RAM 角色。
fc-service-internet-access-disable	FC 服务禁用公网访问	ROS, Terraform	确保函数计算服务在仅需访问内网资源时已禁用公网访问。
fc-service-log-enable	函数计算服务启用日志功能	ROS, Terraform	函数计算服务启用日志功能，视为合规。
fc-service-tracing-enable	函数计算服务启用链路追踪	ROS, Terraform	函数计算服务启用链路追踪功能，视为合规。
fc-service-vpc-binding	FC 服务绑定 VPC	ROS, Terraform	确保函数计算服务已配置为访问 VPC 内的资源。
firewall-asset-open-protect	云防火墙资产开启保护	ROS, Terraform	确保资产已受云防火墙保护。
gpdb-instance-multi-zone	使用多可用区的云原生数据仓库 AnalyticDB 实例	ROS, Terraform	使用多可用区的云原生数据仓库 AnalyticDB 实例，视为合规。
gwlb-loadbalancer-multi-zone	使用多可用区的网关型负载均衡实例	ROS, Terraform	使用多可用区的网关型负载均衡实例，视为合规。
hbase-cluster-deletion-protection	HBase 集群开启释放保护	ROS, Terraform	确保 HBase 实例开启了释放保护。
hbase-cluster-in-vpc	HBase 集群部署在 VPC 中	ROS, Terraform	确保 HBase 实例部署在 VPC 中。
hbase-cluster-multi-zone	使用多可用区的 HBase 集群	ROS, Terraform	使用多可用区的 HBase 集群，视为合规。
internet-nat-gateway-in-specified-vpc	公网 NAT 网关创建在指定专有网络内	ROS, Terraform	公网 NAT 网关所属专有网络在参数指定的专有网络列表中，视为合规。
intranet-nat-gateway-in-specified-vpc	私网 NAT 网关创建在指定专有网络内	ROS, Terraform	VPC NAT 网关所属专有网络在参数指定的专有网络列表中，视为合规。
kafka-instance-multi-zone	使用多可用区的消息队列 Kafka 版实例	ROS, Terraform	使用多可用区的消息队列 Kafka 版实例，视为合规。
kms-instance-multi-zone	使用多可用区的 KMS 实例	ROS, Terraform	使用多可用区的 KMS 实例，视为合规。
kms-key-delete-protection-enabled	KMS 密钥开启删除保护	ROS, Terraform	确保 KMS 密钥开启了删除保护，防止意外删除。
kms-key-rotation-enabled	KMS 密钥开启自动轮转	ROS, Terraform	确保 KMS 密钥开启了自动轮转，通过定期轮转密钥材料来增强安全性。
kms-secret-rotation-enabled	KMS 凭据开启自动轮转	ROS, Terraform	确保 KMS 凭据开启了自动轮转，通过定期轮转凭据值来增强安全性。
lindorm-instance-in-vpc	Lindorm 实例强制 VPC 部署	ROS, Terraform	确保 Lindorm 实例部署在 VPC 内。
lindorm-instance-multi-zone	Lindorm 实例多可用区部署	ROS, Terraform	Lindorm 实例应至少有 4 个表引擎节点以支持多可用区部署。
mongodb-instance-enabled-ssl	MongoDB 实例开启 SSL 加密	ROS, Terraform	MongoDB 实例应开启 SSL 加密以保护传输中的数据。
mongodb-instance-encryption-byok-check	MongoDB 实例使用自定义 KMS 密钥进行 TDE 加密	ROS, Terraform	MongoDB 实例应启用 TDE 并使用客户管理的 KMS 加密密钥（BYOK）。
mongodb-instance-in-vpc	使用专有网络类型的 MongoDB 实例	ROS, Terraform	确保 MongoDB 实例部署在专有网络（VPC）中。
mongodb-instance-log-audit	MongoDB 实例开启审计日志	ROS, Terraform	MongoDB 实例应开启审计日志以进行安全监控。
mongodb-instance-multi-node	MongoDB 实例多节点高可用	ROS, Terraform	MongoDB 实例的 replication_factor 应至少为 3 以实现高可用。
mongodb-instance-multi-zone	MongoDB 实例多可用区部署	ROS, Terraform	MongoDB 实例应部署在多个可用区以实现容灾。
mongodb-instance-release-protection	MongoDB 实例开启释放保护	ROS, Terraform	MongoDB 实例应开启释放保护以防止误删除。
mse-cluster-config-auth-enabled	MSE 集群配置中心开启鉴权	ROS, Terraform	MSE 集群应配置 ACL 条目列表以实现鉴权和访问控制。
mse-cluster-multi-availability-area-architecture-check	使用高可用版本的 MSE 注册配置中心	ROS, Terraform	使用高可用版本的 MSE 注册配置中心，视为合规。
mse-cluster-stable-version-check	MSE 注册配置中心引擎版本检测	ROS, Terraform	确保 MSE 集群引擎版本大于最小稳定版本。
mse-gateway-multi-availability-area-architecture-check	MSE 云原生网关部署在多可用区	ROS, Terraform	MSE 云原生网关部署在多可用区，视为合规。
nas-filesystem-mount-target-access-group-check	NAS 挂载点禁用默认权限组	ROS, Terraform	确保 NAS 挂载点未使用'DEFAULT_VPC_GROUP_NAME'。
natgateway-delete-protection-enabled	NAT 网关开启释放保护	ROS, Terraform	确保 NAT 网关实例开启了释放保护。
natgateway-eip-used-check	NAT 网关中 SNAT 和 DNAT 未使用同一个 EIP	ROS, Terraform	NAT 网关的 SNAT 和 DNAT 未同时使用同一个 EIP，视为合规。
natgateway-snat-eip-bandwidth-check	NAT 网关 SNAT 条目绑定多个 EIP 时带宽峰值设置一致	ROS, Terraform	NAT 网关规格不应为 Small，以确保足够的 SNAT EIP 带宽容量。
nlb-loadbalancer-multi-zone	使用多可用区的网络负载均衡实例	ROS, Terraform	使用多可用区的网络负载均衡实例，视为合规。
nlb-server-group-multi-zone	NLB 负载均衡服务器组添加多个可用区资源	ROS, Terraform	网络负载均衡的服务器组中资源分布在多个可用区，视为合规。服务器组中无资源或者资源类型为 IP 时，视为不适用。
oss-bucket-authorize-specified-ip	OSS 存储桶策略授权特定 IP	ROS, Terraform	确保 OSS 存储桶策略限制了特定 IP 范围的访问。
oss-bucket-backup-enable	OSS 开启备份	ROS, Terraform	确保 OSS 存储桶开启版本控制以实现备份。
oss-bucket-logging-enabled	OSS 存储空间开启日志转存	ROS, Terraform	确保 OSS 存储桶开启了访问日志记录。
oss-bucket-remote-replication	OSS 存储桶开启跨区域复制	ROS, Terraform	确保 OSS 存储桶开启了跨区域复制，以进行容灾。
oss-bucket-tls-version-check	OSS 存储桶 TLS 版本检测	ROS, Terraform	确保 OSS 存储桶设置了策略以强制 TLS 要求。
oss-bucket-versioning-enabled	OSS 存储桶开启版本控制	ROS, Terraform	确保 OSS 存储桶开启了版本控制。
oss-default-encryption-kms	OSS 存储空间开启服务端 KMS 加密	ROS, Terraform	OSS 存储空间开启服务端 KMS 加密,视为合规。
oss-encryption-byok-check	OSS 存储空间使用自定义 KMS 密钥加密	ROS, Terraform	确保 OSS 存储桶使用客户自定义 KMS 密钥 (BYOK) 加密。
oss-zrs-enabled	OSS 桶启用同城冗余存储	ROS, Terraform	确保 OSS 存储桶使用同城冗余存储 (ZRS) 以实现高可用性。
ots-instance-multi-zone	使用同城冗余的 OTS 实例	ROS, Terraform	OTS 实例应使用同城冗余访问模式（ConsoleOrVpc）以实现高可用性。
ots-instance-network-not-normal	OTS 实例限制网络类型	ROS, Terraform	OTS 实例不应使用不受限制的网络访问（Any），应使用 Vpc 或 ConsoleOrVpc。
pai-eas-instances-multi-zone	PAI EAS 实例多可用区部署	ROS, Terraform	确保 PAI EAS 实例部署在多个可用区以实现高可用性。
polardb-cluster-delete-protection-enabled	PolarDB 集群开启删除保护	ROS, Terraform	确保 PolarDB 集群开启了删除保护。
polardb-cluster-enabled-ssl	PolarDB 集群开启 SSL 加密	ROS, Terraform	确保 PolarDB 集群开启了 SSL 加密。
polardb-cluster-multi-zone	PolarDB 集群多可用区部署	ROS, Terraform	PolarDB 集群应部署在多个可用区。
polardb-dbcluster-in-vpc	推荐使用专有网络类型的 PolarDB 实例	ROS, Terraform	确保 PolarDB 实例通过设置 vswitch_id 部署在专有网络中。
polardb-revision-version-used-check	使用稳定内核版本的 PolarDB 集群	ROS, Terraform	确保 PolarDB 集群使用稳定内核版本。
polardb-x2-instance-multi-zone	PolarDB-X 2.0 实例多可用区部署	ROS, Terraform	PolarDB-X 2.0 实例应部署在 3 个可用区。
privatelink-server-endpoint-multi-zone	PrivateLink 服务终端节点部署在多可用区	ROS, Terraform	PrivateLink 服务终端节点应将资源部署在多个可用区以实现高可用性。
privatelink-servier-endpoint-multi-zone	PrivateLink 服务终端节点多可用区部署	ROS, Terraform	确保 PrivateLink 服务终端节点部署在多个可用区以实现高可用性。
ram-password-policy-check	RAM 密码策略检测	ROS, Terraform	确保 RAM 密码策略符合指定的安全要求。
ram-policy-no-has-specified-document	自定义 RAM 策略不包含指定权限配置	ROS, Terraform	确保自定义 RAM 策略未包含参数指定的授权内容。
ram-role-has-specified-policy	RAM 角色绑定指定策略检测	ROS, Terraform	确保 RAM 角色绑定了符合参数条件的权限策略。
ram-role-no-product-admin-access	RAM 角色无超级管理员或某个云产品管理员权限	ROS, Terraform	确保 RAM 角色未拥有管理员权限或者某个云产品的管理员权限。
ram-user-activated-ak-quantity-check	RAM 用户激活 AccessKey 数量核查	ROS, Terraform	确保 RAM 用户激活的 AccessKey 数量不超过 1 个。
ram-user-ak-create-date-expired-check	RAM 用户 AccessKey 创建时间到期检测	ROS, Terraform	确保 RAM 用户 AccessKey 通过安全存储进行妥善管理。
ram-user-ak-used-expired-check	RAM 用户 AccessKey 最后使用时间检测	ROS, Terraform	确保 RAM 用户 AccessKey 处于启用状态。
ram-user-has-specified-policy	RAM 用户及所属用户组绑定指定条件的权限策略	ROS, Terraform	确保 RAM 用户绑定了符合参数条件的权限策略，包括继承自用户组的权限。
ram-user-login-check	RAM 用户登录启用检测	ROS, Terraform	确保不需要控制台访问权限的 RAM 用户已禁用登录功能。
ram-user-no-has-specified-policy	RAM 用户及所属用户组未绑定指定条件的权限策略	ROS, Terraform	确保 RAM 用户未绑定符合参数条件的高危权限策略。
ram-user-no-product-admin-access	RAM 用户没有产品管理权限	ROS, Terraform	确保 RAM 用户未被授予对云产品的完全管理权限，除非必要。
rds-instacne-delete-protection-enabled	RDS 实例开启删除保护	ROS, Terraform	确保 RDS 实例开启了删除保护。
rds-instance-enabled-auditing	RDS 实例开启 SQL 审计	ROS, Terraform	确保 RDS 实例开启了 SQL 审计。
rds-instance-enabled-log-backup	RDS 实例开启日志备份	ROS, Terraform	确保 RDS 实例开启了日志备份。
rds-instance-enabled-ssl	RDS 实例开启 SSL 加密	ROS, Terraform	确保 RDS 实例开启了 SSL 加密。
rds-instance-enabled-tde-disk-encryption	RDS 实例开启 TDE 或者数据盘加密	ROS, Terraform	RDS 实例开启 TDE 或者数据盘加密，视为合规。
rds-instance-has-guard-instance	RDS 关键实例配置灾备实例	ROS, Terraform	确保生产环境 RDS 实例配置了相应的灾备实例。
rds-instances-in-vpc	RDS 实例在 VPC 内	ROS, Terraform	确保 RDS 实例部署在 VPC 内。
rds-multi-az-support	RDS 实例多可用区部署	ROS, Terraform	RDS 实例应部署在多可用区配置中，以实现高可用性和自动故障转移。
redis-architecturetype-cluster-check	使用集群版的 Redis 实例	ROS, Terraform	确保 Redis 实例的架构类型为集群版。
redis-instance-backup-log-enabled	Redis 实例开启日志备份	ROS, Terraform	确保 Redis 实例配置了备份。
redis-instance-double-node-type	Redis 实例节点类型为双副本	ROS, Terraform	确保 Redis 实例使用双副本节点类型以确保高可用性。
redis-instance-enabled-byok-tde	Redis 实例开启 BYOK TDE 加密	ROS, Terraform	确保 Redis 实例已使用自带密钥(BYOK)开启了透明数据加密(TDE)。
redis-instance-enabled-ssl	Redis 实例开启 SSL 加密	ROS, Terraform	确保 Redis 实例开启了 SSL 加密。
redis-instance-in-vpc	使用专有网络类型的 Redis 实例	ROS, Terraform	确保 Redis 实例部署在专有网络中。
redis-instance-multi-zone	Redis 实例多可用区部署	ROS, Terraform	Redis 实例应部署在多个可用区。
redis-instance-release-protection	Redis 实例开启释放保护	ROS, Terraform	确保 Redis 实例开启了释放保护。
redis-instance-tls-version-check	Redis 实例开启 SSL 并使用指定的 TLS 版本	ROS, Terraform	确保 Redis 实例开启 SSL 且使用的 TLS 版本在可接受范围内。
redis-min-capacity-limit	Redis 实例满足指定内存容量要求	ROS, Terraform	确保 Redis 实例内存总量大于等于指定的参数值。
rocketmq-v5-instance-multi-zone	使用多可用区的消息队列 RocketMQ 5.0 版实例	ROS, Terraform	使用多可用区的消息队列 RocketMQ 5.0 版实例，视为合规。
security-center-version-check	云安全中心版本检测	ROS	云安全中心版本满足要求，视为合规。
slb-all-listener-enabled-acl	SLB 实例所有运行中的监听都设置访问控制	ROS, Terraform	SLB 实例所有运行中的监听都设置了访问控制，视为合规。
slb-all-listener-http-disabled	SLB 禁用 HTTP 监听	ROS, Terraform	确保没有 SLB 监听使用不安全的 HTTP 协议。
slb-all-listener-http-redirect-https	SLB 监听强制跳转 HTTPS	ROS, Terraform	确保 SLB HTTP 监听已配置为将流量重定向至 HTTPS。
slb-all-listenter-has-server	SLB 负载均衡的所有监听都至少添加了指定数量的后端服务器	ROS, Terraform	SLB 负载均衡的所有监听都至少添加参数指定数量的后端服务器，视为合规。默认至少添加一台服务器视为合规。
slb-all-listenter-tls-policy-check	SLB 监听使用安全 TLS 策略	ROS, Terraform	确保 SLB HTTPS 监听使用安全的 TLS 加密策略。
slb-default-server-group-multi-server	SLB 实例默认服务器组包含至少两台服务器	ROS, Terraform	SLB 实例的默认服务器组至少添加两台服务器，视为合规。
slb-instance-autorenewal-check	SLB 实例包年包月开启自动续费	ROS, Terraform	包年包月的 SLB 实例开启了自动续费，视为合规。
slb-instance-default-server-group-multi-zone	SLB 负载均衡默认服务器组添加多个可用区资源	ROS, Terraform	SLB 负载均衡的默认服务器组挂载资源分布在多个可用区，视为合规。
slb-instance-log-enabled	SLB 实例开启访问日志	ROS, Terraform	确保 SLB 实例开启了访问日志。
slb-instance-multi-zone	SLB 实例多可用区部署	ROS, Terraform	SLB 实例应通过配置主可用区和备可用区来部署在多个可用区，以实现高可用性。
slb-instance-spec-check	SLB 实例规格满足要求	ROS, Terraform	SLB 实例规格在指定的规格列表中，视为合规。
slb-listener-https-enabled	SLB 监听开启 HTTPS	ROS, Terraform	确保 SLB 监听使用 HTTPS 协议以保障通信安全。
slb-loadbalancer-in-vpc	强制 SLB 部署在 VPC 环境中	ROS, Terraform	确保 SLB 实例部署在专有网络（VPC）中。
slb-master-slave-server-group-multi-zone	SLB 负载均衡主备服务器组添加多个可用区资源	ROS, Terraform	SLB 负载均衡的主备服务器组挂载资源分布在多个可用区，视为合规。主备服务器组无挂载任何资源时不适用本规则，视为不适用。
slb-no-public-ip	SLB 实例未开启公网访问	ROS, Terraform	SLB 实例网络类型为内网，视为合规。
slb-vserver-group-multi-zone	SLB 虚拟服务器组多可用区部署	ROS, Terraform	确保 SLB 虚拟服务器组包含来自多个可用区的实例。
sls-logstore-enabled-encrypt	SLS 日志库开启数据加密	ROS, Terraform	确保 SLS 日志库开启了服务端加密。
sls-logstore-encrypt-key-origin-check	日志服务日志库加密使用的主密钥材料来源为用户自行导入	ROS, Terraform	确保 SLS 日志库使用外部导入的密钥材料（BYOK）进行加密，以更好地控制加密密钥。
sls-project-multi-zone	SLS 项目使用同城冗余存储	ROS, Terraform	SLS 项目应使用同城冗余存储（ZRS）以实现高可用性和数据持久性。
vpc-flow-logs-enabled	VPC 开启流日志	ROS, Terraform	确保 VPC 开启了流日志，以便监控网络流量。
vpc-network-acl-not-empty	专有网络 ACL 不为空条目	ROS, Terraform	确保 VPC 网络 ACL 至少配置了一条规则。
vpn-connection-master-slave-established	双隧道 VPN 网关主备隧道都已建立连接	ROS, Terraform	使用双隧道的 VPN 网关同时主备隧道都已和对端建立连接。
vpn-gateway-multi-zone	使用多可用区的 VPN 网关	ROS, Terraform	为 VPN 网关设置两个交换机，保障产品跨可用区的高可用性，视为合规。
vswitch-available-ip-count	VSwitch 可用 IP 数量检测	ROS, Terraform	确保 VSwitch 具有足够数量的可用 IP 地址。
waf-instance-logging-enabled	WAF 实例开启日志	ROS, Terraform	确保 WAF 实例开启了日志，以便进行审计和安全分析。
waf3-defense-resource-logging-enabled	WAF 3.0 防护资源开启日志审计	ROS, Terraform	确保 WAF 3.0 防护的资源已开启日志审计。

低 严重程度 (41 规则)

规则 ID	名称	IaC 类型	描述
ack-cluster-spec-check	ACK 集群规格核查	ROS, Terraform	确保 ACK 集群使用批准的规格（如专业版 ACK Pro）。
alb-address-type-check	ALB 网络类型核查	ROS, Terraform	确保 ALB 实例使用首选的网络类型（如私网）。
apig-group-custom-trace-enabled	API 分组自定义追踪启用	ROS, Terraform	确保 API 网关分组启用了自定义追踪功能。
cr-repository-immutablity-enable	容器镜像服务镜像版本为不可变	ROS, Terraform	容器镜像服务镜像版本为不可变,视为合规。
eci-container-group-volumn-mounts	ECI 容器组挂载卷核查	ROS, Terraform	确保 ECI 容器组挂载了用于持久化数据存储的卷。
ecs-disk-auto-snapshot-policy	ECS 磁盘设置自动快照策略	ROS, Terraform	ECS 磁盘设置了自动快照策略,视为合规。状态非使用中的磁盘、不支持设置自动快照策略的磁盘、ACK 集群挂载的非持久化使用场景的磁盘视为不适用。开启自动快照策略后,阿里云会自动按照预设的时间点和周期为云盘创建快照,遭遇病毒入侵或勒索后能够快速从安全事件中恢复。
ecs-disk-idle-check	ECS 磁盘闲置检测	ROS, Terraform	确保 ECS 磁盘已挂载到实例，未处于闲置状态。
ecs-disk-regional-auto-check	使用同城冗余类型的 ESSD 数据盘	ROS, Terraform	使用同城冗余类型的 ESSD 数据盘，视为合规。系统盘视为不适用。
ecs-instance-chargetype-check	ECS 实例付费类型核查	ROS, Terraform	确保 ECS 实例使用授权的付费类型。
ecs-instance-multiple-eni-check	ECS 实例仅绑定一个弹性网卡	ROS, Terraform	ECS 实例仅绑定一个弹性网卡，视为合规。这有助于简化网络配置并减少复杂性。
ecs-instance-ram-role-attached	ECS 实例被授予实例 RAM 角色	ROS, Terraform	确保 ECS 实例被授予了实例 RAM 角色，以便安全地访问其他云服务。
ecs-internet-charge-type-check	ECS 公网带宽计费方式核查	ROS, Terraform	确保 ECS 实例使用首选的公网带宽计费方式。
ecs-security-group-description-check	安全组描述信息不能为空	ROS, Terraform	安全组描述信息不为空，视为合规。
ecs-security-group-type-not-normal	使用企业类型安全组	ROS, Terraform	ECS 安全组类型非普通安全组，视为合规。
ecs-snapshot-retention-days	ECS 自动快照保留天数满足指定要求	ROS, Terraform	ECS 自动快照策略设置快照保留天数大于设置的天数,视为合规。默认值:7 天。
ecs-system-disk-size-check	ECS 系统盘大小检查	ROS, Terraform	确保 ECS 系统盘满足最低大小要求。
eip-attached	EIP 必须处于绑定状态	ROS, Terraform	确保 EIP 实例已与资源关联。
eip-bandwidth-limit	EIP 带宽上限核查	ROS, Terraform	确保 EIP 带宽不超过指定的最高值。
hbase-cluster-type-check	HBase 集群引擎类型检查	ROS, Terraform	HBase 集群不应使用已废弃的引擎类型。
metadata-ros-composer-check	模板 Metadata ALIYUN::ROS::Composer 检查	ROS	模板必须配置 Metadata.ALIYUN::ROS::Composer。该值必须是字典（对象）类型。
nas-filesystem-encrypt-type-check	NAS 文件系统设置了加密	ROS, Terraform	确保 NAS 文件系统已启用加密（encrypt_type 设置为 1 或 2）。
oss-bucket-referer-limit	OSS 存储空间 Referer 在指定的防盗链白名单中	ROS, Terraform	确保 OSS 存储桶配置了基于 Referer 的防盗链保护。
polardb-cluster-default-time-zone-not-system	PolarDB 集群默认时区参数值非 SYSTEM	ROS, Terraform	确保 PolarDB 集群配置了明确的时区参数。
polardb-cluster-maintain-time-check	PolarDB 集群维护时间检测	ROS, Terraform	确保 PolarDB 集群配置了维护时间段。
ram-group-has-member-check	识别无成员的空 RAM 用户组	ROS, Terraform	确保 RAM 用户组至少包含一名成员。
ram-group-in-use-check	RAM 用户组使用检测	ROS, Terraform	确保 RAM 用户组处于使用状态 - 必须至少包含一个成员且绑定了至少一个权限策略。
ram-policy-in-use-check	RAM 权限策略使用检测	ROS, Terraform	确保 RAM 权限策略至少绑定到一个 RAM 用户、用户组或角色。
ram-user-group-membership-check	RAM 用户组归属检测	ROS, Terraform	确保 RAM 用户属于至少一个用户组，以便于权限管理。
ram-user-last-login-expired-check	RAM 用户最后登录时间核查	ROS, Terraform	核查 RAM 用户是否长时间未登录。
ram-user-no-policy-check	识别未挂载任何策略的 RAM 用户	ROS, Terraform	确保 RAM 用户至少挂载了一个策略。
rds-instance-maintain-time-check	RDS 实例维护时间检测	ROS, Terraform	确保 RDS 实例配置了维护时间段。
rds-instance-storage-autoscale-enable	RDS 开启存储自动扩容	ROS, Terraform	确保 RDS 实例开启了存储自动扩容，以防止因磁盘满载导致的服务中断。
redis-instance-backup-time-check	Redis 实例备份时间检测	ROS, Terraform	确保 Redis 实例配置了备份时间段。
root-has-specified-role	主账号具有指定的角色	ROS	确保主账号具有用于治理和管理的指定 RAM 角色。
slb-backendserver-weight-check	SLB 后端服务器权重配置核查	ROS, Terraform	确保 SLB 后端服务器具有合理的权重配置。
slb-instance-loadbalancerspec-check	SLB 规格合规性检查	ROS, Terraform	确保 SLB 实例使用批准的性能规格。
slb-loadbalancer-bandwidth-limit	SLB 带宽上限核查	ROS, Terraform	确保 SLB 实例带宽不超过指定的最高值。
slb-modify-protection-check	SLB 实例开启配置修改保护	ROS, Terraform	确保 SLB 实例开启了配置修改保护。
sls-logstore-hot-ttl-check	SLS 日志库开启智能冷热分层存储	ROS, Terraform	确保 SLS 日志库开启了智能冷热分层存储功能以优化成本。
vpn-gateway-enabled-ssl-vpn	VPN 网关开启 SSL-VPN	ROS, Terraform	确保 VPN 网关开启了 SSL-VPN，以便客户端安全访问。
vpn-ipsec-connection-health-check-open	VPN IPsec 连接开启健康检查	ROS, Terraform	确保 VPN IPsec 连接开启了健康检查，以便及时发现隧道故障。

---

此文档由策略元数据自动生成。