本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Gramm Leach Bliley Act (GLBA) 的操作最佳实践
Conformance packs提供了通用的合规性框架，旨在使您能够使用托管或自定义AWS Config规则和AWS Config补救措施来创建安全、运营或成本优化治理检查。作为示例模板的Conformance Packs并不是为了完全确保符合特定的治理或合规性标准而设计的。您有责任自行评估您对服务的使用是否符合适用的法律和监管要求。
以下内容提供了 Gramm-Leach-Bliley 法案 (GLBA) 和AWS托管Config 规则之间的示例映射。每个 Config 规则都适用于特定AWS资源，并与一个或多个 GLBA 控件相关。一个 GLBA 控件可以与多个Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
AWS 区域: 除了（美国东部）、AWS GovCloud （美国西部）和中东AWS GovCloud （巴林）之外的所有支持一致性包AWS 区域的地方（区域支持）
| 控制 ID | 控件描述 | AWSConfig 规则 | 指导 |
|---|---|---|---|
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保无法公开访问 DMS 复制实例来管理对AWS云的访问权限。DMS 复制实例可能包含敏感信息，此类账户需要访问控制。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保 EBS 快照不可公开恢复，管理对AWS云的访问权限。EBS 卷快照可能包含敏感信息，此类账户需要访问控制。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保无法公开访问 Amazon Elastic Compute Cloud (Amazon EC2) 实例，管理云访问权限。AWSAmazon EC2 实例可能包含敏感信息，此类账户需要访问控制。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保AmazonAWS Service（OpenSearch Serv OpenSearch ice）域中使用 Amazon Virtual Private Cloud（Amazon VPC）中使用 Amazon VPC 中的 OpenSearch 服务域可以在 Service 和 Amazon VPC 中的其他服务之间 OpenSearch 进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保无法公开访问 Amazon EMR 集群主节点来管理对AWS云的访问权限。Amazon EMR 集群主节点可能包含敏感信息，此类账户需要访问控制。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 在 Amazon Virtual Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) AWS 云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给亚马逊 VPC 以正确管理访问权限。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保互联网网关仅连接到授权的 Amazon Virtual Virtual Private Cloud (Amazon VPC)，管理云中的资源访问权限。AWS互联网网关允许双向互联网访问 Amazon VPC 和从 Amazon VPC 进行双向互联网访问，这可能会导致对亚马逊 VPC 资源的未经授权的访问。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保AWS Lambda 函数无法公开访问，管理对AWS云中资源的访问权限。公共访问可能导致资源可用性下降。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过在 Amazon Virtual Virtual Private Cloud (Amazon VPC) 中部署AWS Lambda 函数，您可以在 Amazon VPC irtual 通过此配置，您可以不使用 Internet 网关、NAT 设备或 VPN 连接。AWS云中的所有流量都会保持安全。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全性。为了正确管理访问权限，应AWS将 Lambda 函数分配给 VPC。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理AWS云中的资源访问权限。Amazon RDS 数据库实例可能包含敏感信息，此类账户需要原则和访问控制。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保 Amazon Relational Database Service (Amazon RDS) 实例不公开，管理AWS云中的资源访问权限。Amazon RDS 数据库实例可能包含敏感信息和原则，此类账户需要访问控制。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保 Amazon Redshift 集群不公开，管理对AWS云中资源的访问权限。Amazon Redshift 集群可能包含敏感信息和原则，此类账户需要访问控制。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理AWS云中的资源访问权限。该规则通过防止公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。此规则允许您选择设置 ignorePublicAcls （Config 默认值：True）、 blockPublicPolicy （Config 默认值：True）、 blockPublicAcls （Config 默认值：True）和 restrictPublicBuckets 参数（Config 默认值：True）。实际值应反映贵组织的政策。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理AWS云中的资源访问权限。访问管理应与数据的分类保持一致。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对AWS云端资源的访问权限。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 如果您使用公有 IP 地址配置网络接口，则可以从 Internet 访问这些网络接口的相关资源。EC2 资源不应公开访问，因为这可能允许意外访问您的应用程序或服务器。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保无法公开访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理AWS云中的资源访问权限。该规则通过防止存储段级别的公共访问来帮助保护敏感数据免受未经授权的远程用户的侵害。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过仅允许授权用户、流程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶，管理AWS云中的资源访问权限。访问管理应与数据的分类保持一致。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 确保SAWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可以公开有关您的账户、资源和内部流程的信息。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保不会自动为Amazon Virtual Private Cloud (VPC) 子网分配公有 IP 地址来管理对云的访问。AWS在启用了此属性的子网中启动的 Amazon Elastic Compute Cloud (EC2) 实例会为其主网络接口分配公有 IP 地址。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过确保在 Amazon Elastic ComputeAWS Cloud (Amazon EC2) 安全组中使用通用端口来管理云中的资源访问权限。不限制对可信来源的端口访问可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet 访问安全组中的资源（0.0.0.0.0.0.0.0.0./0），可以控制对内部系统的远程访问。 | |
| GLBA-SEC.501 (b) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障有关的适当标准 | 通过在 Amazon VirtAWS ual Virtual Pri OpenSearch vate Cloud (Amazon VPC) 中使用 Amazon Serv Amazon OpenSearch VPC 中的Amazon Service 域，您可以在 Amazon OpenSearch Service 和 Amazon VPC 中的其他服务之间进行安全通信，而无需互联网网关、NAT 设备或 VPN 连接。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为了帮助保护静态数据，请确保为您的 API Gateway 阶段的缓存启用加密。由于可以捕获 API 方法的敏感数据，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 由于敏感数据可能存在，为了帮助保护静态数据，请确保为您的AWS CloudTrail跟踪启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为帮助保护静态敏感数据，请确保对您的亚马逊 CloudWatch 日志组启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务（OpenSearch 服务）域启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保为您的Amazon Elastic Block Store (Amazon EBS) 卷启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为了帮助保护静态数据，请确保为您的Amazon Relational Database Service (Amazon RDS) 实例中启用加密。由于敏感数据可能静态存在于 Amazon RDS 实例中，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 要保护静态数据，请确保为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted （Config 默认值：TRUE）和启用 LoggingEnabled（Config 默认值：TRUE）设置值。实际值应反映贵组织的政策。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为了帮助保护静态数据，请确保为您的Amazon Simple Storage Service (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为帮助保护静态数据，请确保您的 SageMaker 终端节点启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了AWS密钥管理服务 (AWSKMS) 加密。由于敏感数据可能静态存在于 SageMaker 笔记本电脑中，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为了帮助保护静态数据，请确保您的亚马逊Simple Notification Service (Amazon SNS) 主题需要使用AWS密钥管理服务 (AWSKMS) 进行加密。由于敏感数据可能静态存在于已发布的消息中，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为了帮助保护静态数据，请确保为您的Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能静态存在于这些卷中，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 确保为您的Amazon DynamoDB 表启用加密。由于敏感数据可能静态存在于这些表中，因此启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自己的客户AWS主密钥 (CMK) 加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 确保为您的Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 确保为您的Amazon Simple Storage Service (Amazon S3) 存储桶启用加密。由于敏感数据可能静态存在于 Amazon S3 存储桶中，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 确保您的AWS Backup 恢复点已启用加密。由于敏感数据可能处于静态状态，因此启用静态加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 确保启用亚马逊 OpenSearch服务的 node-to-node 加密。Node-to-node 加密启用 TLS 1.2 加密，您可以在 Amazon Virtual Private Cloud (Amazon VPC 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为帮助保护静态敏感数据，请确保对存储在 Amazon S3 中的AWS CodeBuild 日志启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 为了帮助保护静态的敏感数据，请确保对AWS CodeBuild 工件启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保对您的亚马逊 OpenSearch 服务域启用加密。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 确保启用亚马逊 OpenSearch服务的 node-to-node 加密。Node-to-node 加密启用 TLS 1.2 加密，您可以在 Amazon Virtual Private Cloud (Amazon VPC 由于敏感数据可能存在，因此请在传输过程中启用加密以帮助保护这些数据。 | |
| GLBA-SEC.501 (b) (1) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (1) 有关的适当标准，以确保客户记录和信息的安全和机密性； | 由于敏感数据可能存在并且为了帮助保护静态数据，请确保为您的 Amazon Kinesis Streams 启用加密。 | |
| GLBA-SEC.501 (b) (2) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障 (2) 有关的适当标准，以保护此类记录的安全或完整性免受任何预期的威胁或危害；以及 | 亚马逊 GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 和机器学习列表，用于标识AWS云环境中意外的未经授权的恶意活动。 | |
| GLBA-SEC.501 (b) (2) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和人身保障 (2) 有关的适当标准，以保护此类记录的安全或完整性免受任何预期的威胁或危害；以及 | AWSSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。 AWSSecurity Hub 可以聚合、组织和优先处理来自多个AWS服务的安全警报或结果。其中一些服务包括亚马逊Security Hub、Amazon Inspector、Amazon Macie、IdentAWS ity and Access Management (IAM) 访问分析器和FiAWS rewall Manager 以及AWS合作伙伴解决方案。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 此规则可确保 SSAWS ecrets Manager 机密已启用轮换。定期轮换机密可以缩短机密的活跃时间，并有可能减少机密泄露后对业务的影响。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 通过确保 IAM 访问密钥按照组织政策轮换，对授权设备、用户和流程的证书进行审计。定期更改访问密钥是一种最佳安全实践。它缩短了访问密钥的有效时间，并减少了密钥泄露时对业务的影响。此规则需要访问密钥轮换值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | AWSIdentity and Access Management (IAM) 可以确保 IAM 群组至少有一个用户，从而帮助您将最低权限和职责分离的原则与访问权限和授权相结合。根据用户的关联权限或工作职能将用户分组是纳入最低权限的一种方法。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 身份和证书是根据组织的 IAM 密码策略颁发、管理和验证的。它们达到或超过了 NIST SP 800-63 和密码强度AWS基础安全最佳实践标准规定的要求。此规则允许您根据需要设置 RequireUppercaseCharacters （AWS基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS基础安全最佳实践值：true）、 RequireSymbols （AWS基础安全最佳实践值：true）、 RequireNumbers （AWS基础安全最佳实践值：true）、 MinimumPasswordLength （AWS基础安全最佳实践值：14）、 PasswordReusePrevention（AWS基础安全最佳实践值：24）和 MaxPasswordAge（AWS基础安全最佳实践值：90）IM 密码策略。实际值应反映贵组织的政策。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | AWSIdentity and Access Management (IAM) 可以帮助您将最低权限和职责分离的原则与访问权限和授权相结合，限制策略中包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 通过检查根用户的Identity and Access ManagemAWS ent (IAM) 角色是否附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的AWS帐户来帮助纳入功能最少的原则。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | AWSIdentity and Access Management (IAM) 可以确保用户是至少一个群组的成员，从而帮助您限制访问权限和授权。允许用户超过完成任务所需的权限可能违反最小权限和职责分离的原则。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 此规则确保IdAWS entity and Access Management (IAM) 策略仅附加到组或角色中使用，以控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | AWSIdentity and Access Management (IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别出这些未使用的证书，则应禁用和/或删除这些证书，因为这可能违反最小权限原则。此规则要求您为 maxCredentialUsage年龄设置一个值（Config 默认值：90）。实际价值应反映贵组织的政策。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 启用 s3_ bucket_policy_grantee_check 来管理对AWS云的访问权限。该规则检查 Amazon S3 存储桶授予的访问权限是否受到您提供的任何AWS委托人、联合用户、服务主体、IP 地址或Amazon Virtual Private Cloud (Amazon VPC) ID 的限制。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 确保 IAM 操作仅限于所需的操作。允许用户拥有超过完成任务所需的权限可能违反最小权限和职责分离原则。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 通过确保所有拥有控制台密码的Identity and Access ManagemAWS ent (IAM) 用户启用 MFA 来管理对AWS云中资源的访问权限。MFA 在登录凭证之上增加了一层额外的保护。通过要求用户使用 MFA，您可以减少账户被盗事件，并防止未经授权的用户访问敏感数据。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 确保为您的Amazon OpenSearch Service 域启用精细访问控制。精细的访问控制提供了增强的授权机制，以实现对 Amazon Serv OpenSearch ice 域的最低权限访问。它允许对域进行基于角色的访问控制，以及索引、文档和字段级安全，支持 OpenSearch 服务仪表板的多租户，以及对 Service 和 Kibana 的 OpenSearch HTTP 基本身份验证。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 启用对 Amazon 弹性容器服务 (ECS) 容器的只读访问权限有助于遵守最低权限原则。此选项可以减少攻击向量，因为除非容器实例具有明确的读写权限，否则无法修改容器实例的文件系统。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 为 Amazon Elastic File System (Amazon EFS) 接入点强制设置根目录，可确保接入点的用户只能访问指定子目录的文件，从而帮助限制数据访问。 | |
| GLBA-SEC.501 (b) (3) | 为了推进 (a) 小节中的政策，第505 (a) 条所述的每个机构或机构应为受其管辖的金融机构制定与行政、技术和物理保障 (3) 有关的适当标准，以防止未经授权访问或使用此类记录或信息，这可能会给任何客户造成重大伤害或不便。 | 为帮助实现最小权限原则，请确保为您的 Amazon Elastic 文件系统 (Amazon EFS) 启用用户强制功能。启用后，Amazon EFS 将 NFS 客户端的用户和群组 ID 替换为在接入点上为所有文件系统操作配置的身份，并且仅授予对这种强制用户身份的访问权限。 |
模板
该模板可在以下网址获得 GitHub：G ramm Leach Bliley Act（GLBA）的操作最佳实践
