Config 规则合规包

单个 AWS 配置规则只检查一项内容，例如“是否已启用加密？”而现实中的合规框架要求在每个账户中执行数十项检查。

合规包会将许多配置规则和修复操作打包成一个可部署的软件包，因此您可以将合规性作为一个整体管理，而不是逐条管理规则。

合规包是在单个 YAML 模板中定义的配置规则和修复操作集合。

• 部署合规包即可一次应用其中的所有规则。
• 以软件包为单位跟踪合规性。

AWS 为常见框架提供示例合规包；您也可以自行编写。

AWS 提供了符合 PCI DSS、HIPAA、NIST 和 CIS 基准等标准的示例合规包。

这些合规包可以帮助您快速着手实施框架中的技术控制措施，但您仍需根据实际义务仔细进行对应。

一个合规包可以混合使用AWS 托管规则（预先构建的检查）和由 Lambda 函数支持的自定义规则。

这样，您可以使用托管规则覆盖标准要求，同时将组织特定的策略（例如必需的标签方案）编码为同一合规包中的自定义规则。

您可以从委派管理员账户一次性将合规包部署到组织中的每个账户。

新加入的账户会自动继承该合规包。这样无需逐个账户操作，即可确保所有位置的合规检查保持一致。

合规包支持参数，因此同一个模板可以适应不同环境。

例如，您可以在部署时传入要求的最小密码长度或获批准的区域列表，从而使用同一个合规包处理不同环境的值。

来自多个账户的合规结果会通过配置聚合器汇总到一个视图中。

中央团队无需登录每个账户，只需通过一个控制面板，就能逐个账户、逐条规则查看组织在哪些地方合规或不合规。

合规包可以包含修复操作，在规则遭到违反时使用 SSM（系统管理器）自动化文档执行。

例如，检测到未加密存储桶的规则可以触发自动修复，从而直接纠正偏移，而不仅仅是报告问题。

控制塔防护机制和合规包有所重叠，但用途不同：

• 控制塔提供经过整理的基线和账户治理能力。
• 合规包允许您部署映射到特定框架的任意大型规则集。

两者通常会配合使用。

合规包会报告合规分数，即软件包中通过的规则所占的百分比。

这个单一数字可以持续跟踪框架实施进展，并突出显示落后的账户，将庞杂的规则集转化为审计人员和管理层一眼即可了解的安全态势指标。

当您必须在多个账户中证明符合指定的合规框架，并需要对配置规则进行分组和跟踪时，请使用合规包。

考试通常会将合规包与 PCI DSS 或 HIPAA 场景联系起来，这些场景要求在整个组织范围内执行一致且可审计的检查。

将要求与功能匹配。

您了解了合规包如何扩展合规能力。

• 它们会将许多配置规则以及修复操作打包到一个模板中。
• 示例合规包可以对应 PCI DSS、HIPAA、NIST 等框架。
• 可以在整个组织范围内部署，并在中央位置汇总结果。