# @cdklabs/cdk-validator-cfnguard 中文文档

规范地址：https://npmcn.com/package/%40cdklabs/cdk-validator-cfnguard/

版本：0\.0\.62
npm 元数据更新时间：2026-07-28T15:46:59.186Z
中文译文更新时间：2026-11-09T06:19:01.408Z
软件包许可：Apache-2\.0

本文由上游 README 翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。

原始 npm 页面：https://www.npmjs.com/package/%40cdklabs/cdk-validator-cfnguard
原文对照：https://npmcn.com/package/%40cdklabs/cdk-validator-cfnguard/?lang=original
项目主页：https://github.com/cdklabs/cdk-validator-cfnguard#readme
源码仓库：https://github.com/cdklabs/cdk-validator-cfnguard

## 关键信息（来自 npm 元数据）

- 包体积（解压后）：35.7 MB，496 个文件
- 模块格式：CommonJS
- TypeScript 类型：包内自带
- Node.js 要求：\>= 16\.14\.0
- 运行依赖：0 个
- peer 依赖：aws-cdk-lib ^2\.76\.0
- 首次发布：2023-03-30T17:53:24.627Z
- 最新版本发布：2026-07-28T15:46:58.792Z
- 近 30 天下载量：73980（2026-10-10 至 2026-11-08，npm 官方下载统计）
- 已发布版本数：61（近 12 个月 2 个）

## 中文简介

暂无中文简介

## 安装

```sh
npm install @cdklabs/cdk-validator-cfnguard
```

也可以使用：`pnpm add @cdklabs/cdk-validator-cfnguard`、`yarn add @cdklabs/cdk-validator-cfnguard`、`bun add @cdklabs/cdk-validator-cfnguard`

## README

# CDK CFN 守护验证器插件

* * *

![cdk-constructs: Experimental](https://img.shields.io/badge/cdk--constructs-experimental-important.svg?style=for-the-badge)

> 本单元中更高层次的构件的API是实验性的并正在积极开发中. 在今后任何版本中,它们都须作非背向相容的修改或去除。 这些是 不适用 [语义版本](https://semver.org/) 模型和断开的更改 在发行笔记中宣布. 这意味着虽然你可能使用它们,但可能需要更新 当更新到此软件包的更新版本时,您的源代码.

* * *

## 安装

### 类型脚本/ Java 脚本

```bash
npm install @cdklabs/cdk-validator-cfnguard
```

### 蟒

```bash
pip install cdklabs.cdk-validator-cfnguard
```

### 爪哇语

```xml
// add this to your pom.xml
<dependency>
    <groupId>io.github.cdklabs</groupId>
    <artifactId>cdk-validator-cfnguard</artifactId>
    <version>0.0.0</version> // replace with version
</dependency>
```

### . NET 网络

```bash
dotnet add package Cdklabs.CdkValidatorCfnGuard --version X.X.X
```

## 使用量

要在您的 CDK 应用程序中使用此插件, 请添加到 CDK App 中 .

```ts
new App({
  policyValidationBeta1: [
    new CfnGuardValidator(),
  ],
});
```

默认情况下 `CfnGuardValidator` 插件随 [控制塔 主动 控件](https://docs.aws.amazon.com/controltower/latest/userguide/proactive-controls.html) 启用 。 为了禁用这些规则,您可以使用 `controlTowerRulesEnabled: false` 属性.

```ts
new CfnGuardValidator({
  controlTowerRulesEnabled: false,
});
```

也可以禁用个别规则.

```ts
new CfnGuardValidator({
  disabledRules: [
    'ct-s3-pr-1',
  ],
});
```

### 补充规则

要为插件提供附加规则, 请提供本地 文件或目录路径.

```ts
new CfnGuardValidator({
  rules: [
    'path/to/local-rules-directory',
    'path/to/s3/local-rules/my-rule.guard',
  ],
});
```

如果提供的路径是目录,则目录只能是 包含守护规则文件,目录中的所有规则都将被使用.

## 使用 CDK 中捆绑的控制塔主动控制

捆绑的控制塔 主动控制 使用 Cloud Formation guard 用于控制塔管理控制的政策 服务。 您可以使用这些 CDK 捆绑控件而无需控制 AWS中的塔环境,但将两者一起使用有许多好处.

当您启用控制塔 主动控制您的控制塔环境, 控制可以阻止部署不合规资源 云门会. 关于管理下的主动控制及其运作方式的更多信息, 见 [控制塔文档](https://docs.aws.amazon.com/controltower/latest/userguide/proactive-controls.html)。 。 。 .

这些CDK捆绑的控制和管理的控制塔主动控制最好一起使用. 在此情景下, 您可以配置此验证插件, 并使用同样的主动控制 正在您的控制塔云层环境中活动 。 那样你就能很快获得自信了 您的 CDK 应用程序将通过本地运行 cdk 合成来通过控制塔控制 或在上述管道中.

无论你或你的组织是否使用控制塔,你都应该 使用此插件在本地运行时, 了解这些捆绑控件的以下内容 :

1.  这些 CloudFormation 守护政策接受有限子集 CloudFormation 语法 他们评价的属性。 例如,一个名为加密的属性可能 如果以正文值指定, 则通过, 但是如果以正文值指定, 则可能失败 引用 CloudFormation 堆栈参数。 同样,如果规则检查字符串 值,它可能对 Fn: join 对象失败。 如果你发现一条规则可以绕过 特定资源配置,请存档出问题.
2.  有些规则可能检查其他资源的参考文献,但这种参考文献检查是有限的. 例如,一项规则可能要求为每个S3桶指定一个出入记录桶. 在这种情况下,规则可以检查你是否通过 引用一个桶在同一 模板,但无法校验“实例”等硬码桶名是否实际指代 一个真正的桶或一个你拥有的桶.

您可以通过在控制塔中设置同样的主动控制来增加一层安全保护 云环境. 使用这些控制有不同的考虑因素,因为它们是在一种情况下操作的 不一样的方式。 更多信息,请参见 [控制权 塔式主动控制文件](https://docs.aws.amazon.com/controltower/latest/userguide/proactive-controls.html)。 。 。 .

如果您还没有控制塔环境, 请查看 [什么是AWS控制塔?](https://docs.aws.amazon.com/controltower/latest/userguide/what-is-control-tower.html)。 。 。 .

### 装订的控制塔规则

| 身份证 | 名称 | 评估的资源类型 |
| --- | --- | --- |
| [CT.ACM.PR. 1 数据](https://docs.aws.amazon.com/controltower/latest/userguide/acm-rules.html#ct-acm-pr-1-description) | 要求 AWS 私人 CA 证书有一个单一的域名 | `AWS::CertificateManager::Certificate`  
 |
| [(原始内容存档于2019-09-28) (英语). CT.APIGAATEWAY. PR](https://docs.aws.amazon.com/controltower/latest/userguide/api-gateway-rules.html#ct-apigateway-pr-1-description) | 需要 Amazon API 网关 REST 和 WebSocket API 启动日志 | `AWS::ApiGateway::Stage`  
 |
| [(原始内容存档于2019-03-25) (英语). CT. APIGATEWAY. PR](https://docs.aws.amazon.com/controltower/latest/userguide/api-gateway-rules.html#ct-apigateway-pr-2-description) | 要求 Amazon API 网关 REST API 阶段启动 AWS X-Ray 跟踪 | `AWS::ApiGateway::Stage`  
 |
| [(原始内容存档于2018-03-25) (英语). CT.APIGATEWAY.PR](https://docs.aws.amazon.com/controltower/latest/userguide/api-gateway-rules.html#ct-apigateway-pr-3-description) | 要求 Amazon API Gateway REST API 阶段在休息时为缓存数据配置加密 | `AWS::ApiGateway::Stage`  
 |
| [(原始内容存档于2019-09-25) (英语). CT. APIGATEWAY.PR](https://docs.aws.amazon.com/controltower/latest/userguide/api-gateway-rules.html#ct-apigateway-pr-4-description) | 需要 Amazon API 网关 V2 级才能启用访问日志 | `AWS::ApiGatewayV2::Stage`  
 |
| [(原始内容存档于2018-03-25) (英语). CT.APIGATEWAY.PR](https://docs.aws.amazon.com/controltower/latest/userguide/api-gateway-rules.html#ct-apigateway-pr-5-description) | 需要 Amazon API 网关 V2 Websocket 和 HTTP 路由来指定授权类型 | `AWS::ApiGatewayV2::Route`  
`AWS::ApiGatewayV2::ApiGatewayManagedOverrides`  
 |
| [(原始内容存档于2018-09-21) (英语). CT.APIGATEWAY. PR](https://docs.aws.amazon.com/controltower/latest/userguide/api-gateway-rules.html#ct-apigateway-pr-6-description) | 需要一个 Amazon API Gateway REST 域名使用指定 TLSv1.2 最小 TLS 协议版本的安全政策 | `AWS::ApiGateway::DomainName`  
 |
| [CT.APPSYNC.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/appsync-rules.html#ct-appsync-pr-1-description) | 要求 AWS AppSync GraphQL API 启用日志 | `AWS::AppSync::GraphQLApi`  
 |
| [CT.APPSYNC.PR. 2 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/appsync-rules.html#ct-appsync-pr-2-description) | 需要配置一个 AWS AppSync GraphQL API 以私有可见度 | `AWS::AppSync::GraphQLApi`  
 |
| [CT.APPSYNC.PR. 3 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/appsync-rules.html#ct-appsync-pr-3-description) | 要求 AWS AppSync GraphQL API 不使用 API 密钥认证 | `AWS::AppSync::GraphQLApi`  
 |
| [CT.APPSYNC.PR.4. (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/appsync-rules.html#ct-appsync-pr-4-description) | 需要 AWS AppSync GraphQL API 缓存才能启用中转加密 . | `AWS::AppSync::ApiCache`  
 |
| [CT.APPSYNC.PR.5 互联网档案馆的存檔,存档日期2013-12-22](https://docs.aws.amazon.com/controltower/latest/userguide/appsync-rules.html#ct-appsync-pr-5-description) | 要求 AWS AppSync GraphQL API 缓存在休息时启用加密 . | `AWS::AppSync::ApiCache`  
 |
| [CT. ATHENA.PR. 1 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/athena-rules.html#ct-athena-pr-1-description) | 需要 Amazon Athena 工作组在休息时加密 Athena 查询结果 | `AWS::Athena::WorkGroup`  
 |
| [(原始内容存档于2018-03-26) (英语). CT.ATHENA.PR.2](https://docs.aws.amazon.com/controltower/latest/userguide/athena-rules.html#ct-athena-pr-2-description) | 需要 Amazon Athena 工作组在休息时用 AWS 密钥管理服务键加密 Athena 查询结果 | `AWS::Athena::WorkGroup`  
 |
| [(简体中文)CT.AUTACALING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-1-description) | 要求 Amazon EC2 自动缩放组具有多个可用区 | `AWS::AutoScaling::AutoScalingGroup`  
 |
| [(简体中文)CT.AUTOSCALING.PR. 2](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-2-description) | 需要 Amazon EC2 自动缩放组启动配置, 以配置 IMDSv2 的 Amazon EC2 实例 | `AWS::AutoScaling::LaunchConfiguration`  
 |
| [(原始内容存档于2019-03-26) (中文(简体) ). CT.AUTSCALING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-3-description) | 需要使用 Amazon EC2 自动缩放启动配置, 以获得单跳元数据响应限制 | `AWS::AutoScaling::LaunchConfiguration`  
 |
| [(原始内容存档于2019-07-26) (中文(简体) ). CT.AUTSCALING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-4-description) | 要求与 AWS 弹性负载平衡器(ELB)相联的 Amazon EC2 自动放大组启动 ELB 健康检查 | `AWS::AutoScaling::AutoScalingGroup`  
 |
| [(原始内容存档于2018-06-26) (英语). CT.AUTSCALING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-5-description) | 要求 Amazon EC2 自动缩放 Group 启动配置中没有 Amazon EC2 实例并有公共 IP 地址 | `AWS::AutoScaling::LaunchConfiguration`  
 |
| [(原始内容存档于2018-06-26) (中文(简体) ). CT.AUTSCALING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-6-description) | 要求任何 Amazon EC2 自动缩放组使用多个实例类型 | `AWS::AutoScaling::AutoScalingGroup`  
 |
| [CT.AUTACALING.PR. 8 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-8-description) | 要求 Amazon EC2 自动缩放组配置 EC2 启动模板 | `AWS::AutoScaling::AutoScalingGroup`  
 |
| [(原始内容存档于2019-09-26) (中文(简体) ). CT.AUTSCALING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-9-description) | 需要通过 Amazon EC2 自动缩放启动配置配置配置的 Amazon EBS 音量,以便在休息时加密数据 | `AWS::AutoScaling::LaunchConfiguration`  
 |
| [(原始内容存档于2018-09-29) (中文(简体) ). CT.AUTACALING.PR.10](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-10-description) | 要求一个 Amazon EC2 自动缩放组在覆盖发射模板时只使用 AWS 实例类型 | `AWS::AutoScaling::AutoScalingGroup`  
 |
| [(原始内容存档于2018-03-26) (英语). CT.AUTSCALING.PR.11](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-auto-scaling-rules.html#ct-autoscaling-pr-11-description) | 只要求支持实例间网络流量加密的 AWS Nitro 实例类型在覆盖启动模板时添加到 Amazon EC2 自动缩放组 | `AWS::AutoScaling::AutoScalingGroup`  
 |
| [CT.CLOUDFRONT.PR. 1 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-1-description) | 需要 Amazon CloudFront 分布以配置默认的根对象 | `AWS::CloudFront::Distribution`  
 |
| [CT.CLOUDRONT.PR. 3 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-3-description) | 需要一个 Amazon CloudFront 分布以配置中转加密 | `AWS::CloudFront::Distribution`  
 |
| [CT.CLOUDFRONT.PR. 4 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-4-description) | 需要使用 Amazon CloudFront 分布来配置源失败 | `AWS::CloudFront::Distribution`  
 |
| [CT. CLOUDFRONT.PR.5 互联网档案馆的存檔,存档日期2013-12-22](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-5-description) | 需要任何 Amazon CloudFront 分布以启用日志 | `AWS::CloudFront::Distribution`  
 |
| [CT. CLOUDRONT.PR. 6号机车](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-6-description) | 需要使用自定义 SSL/ TLS 证书的 Amazon CloudFront 分布 | `AWS::CloudFront::Distribution`  
 |
| [CT.CLOUDRONT.PR. 7号机车](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-7-description) | 需要使用 Amazon CloudFront 分布以服务 HTTPS 请求 | `AWS::CloudFront::Distribution`  
 |
| [CT.CLOUDFRONT.PR.8(英语:](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-8-description) | 需要使用 Amazon CloudFront 发行来加密自定义源的流量 | `AWS::CloudFront::Distribution`  
 |
| [CT. CLOUDFRONT.PR.9 互联网档案馆的存檔,存档日期2013-12-02](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-9-description) | 要求 Amazon CloudFront 发行时至少有 TLSv1.2 的安全政策 | `AWS::CloudFront::Distribution`  
 |
| [CT. CLOUDFRONT.PR.10 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-10-description) | 需要使用 Amazon S3 支持的源头的任何 Amazon CloudFront 分布来配置源访问控制 | `AWS::CloudFront::Distribution`  
 |
| [CT.CLOUDFRONT.PR.11 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudfront-rules.html#ct-cloudfront-pr-11-description) | 需要使用 Amazon CloudFront 分布以在边缘位置和自定义来源之间使用更新的 SSL 协议 | `AWS::CloudFront::Distribution`  
 |
| [CT. CLOUDTRAIL.PR. 1 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudtrail-rules.html#ct-cloudtrail-pr-1-description) | 需要一个 AWS CloudTrail 跟踪以启动休息时的加密 | `AWS::CloudTrail::Trail`  
 |
| [CT. CLOUDTRAIL.PR. 2 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudtrail-rules.html#ct-cloudtrail-pr-2-description) | 需要AWS CloudTrail 线索才能启动日志文件验证 | `AWS::CloudTrail::Trail`  
 |
| [CT. CLOUDTRAIL.PR. 3 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudtrail-rules.html#ct-cloudtrail-pr-3-description) | 需要一条 AWS CloudTrail 线索才能有 Amazon Cloud Watch 日志组配置 | `AWS::CloudTrail::Trail`  
 |
| [CT. CLOUDTRAIL.PR. 4 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudtrail-rules.html#ct-cloudtrail-pr-4-description) | 需要一个 AWS 云轨 湖事件数据存储, 允许在休息时使用 AWS KMS 密钥加密 | `AWS::CloudTrail::EventDataStore`  
 |
| [CT. CLOUDWATCH.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/cloudwatch-rules.html#ct-cloudwatch-pr-1-description) | 需要使用 Amazon Cloud Watch 提醒来配置提醒状态的动作 | `AWS::CloudWatch::Alarm`  
 |
| [CT. CLOUDWATCH.PR. 2 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/cloudwatch-rules.html#ct-cloudwatch-pr-2-description) | 要求将亚马逊云表日志组至少保留一年 | `AWS::Logs::LogGroup`  
 |
| [CT. CLOUDWATCH.PR. 3 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/cloudwatch-rules.html#ct-cloudwatch-pr-3-description) | 需要使用 AWS KMS 密钥加密 Amazon Cloud Watch 日志组 | `AWS::Logs::LogGroup`  
 |
| [CT. CLOUDWATCH.PR. 4 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/cloudwatch-rules.html#ct-cloudwatch-pr-4-description) | 需要 Amazon Cloud 监视提醒才能激活动作 | `AWS::CloudWatch::Alarm`  
 |
| [CT.CODEILD.PR.1 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/codebuild-rules.html#ct-codebuild-pr-1-description) | 在 GitHub 或 Bitbucket 源寄存器上为 AWS 代码构建项目要求 OAuth URL | `AWS::CodeBuild::Project`  
 |
| [CT.CODEILD.PR.2 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/codebuild-rules.html#ct-codebuild-pr-2-description) | 要求任何 AWS 代码构建工程环境变量加密环境变量中的证书 | `AWS::CodeBuild::Project`  
 |
| [CT.CODEILD.PR. 3 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/codebuild-rules.html#ct-codebuild-pr-3-description) | 要求任何 AWS 代码构建工程环境配置日志 | `AWS::CodeBuild::Project`  
 |
| [CT.CODEBILD.PR.4 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/codebuild-rules.html#ct-codebuild-pr-4-description) | 要求任何 AWS 代码构建工程在运行时关闭特权模式 | `AWS::CodeBuild::Project`  
 |
| [CT.CODEILD.PR.5 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/codebuild-rules.html#ct-codebuild-pr-5-description) | 要求对所有 AWS 代码创建项目文物进行加密 | `AWS::CodeBuild::Project`  
 |
| [CT.CODEILD.PR.6 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/codebuild-rules.html#ct-codebuild-pr-6-description) | AWS 代码构建项目需要加密所有 Amazon S3 日志 | `AWS::CodeBuild::Project`  
 |
| [CT.DAX.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/dax-rules.html#ct-dax-pr-1-description) | 需要所有 Amazon DynamoDB 加速器( DAX) 集群在休息时加密 | `AWS::DAX::Cluster`  
 |
| [CT.DAX.PR.2 互联网档案馆的存檔,存档日期2013-12-02](https://docs.aws.amazon.com/controltower/latest/userguide/dax-rules.html#ct-dax-pr-2-description) | 要求 Amazon DAX 集群在至少三个可用区部署节点 | `AWS::DAX::Cluster`  
 |
| [CT.DAX.PR. 3号卫星](https://docs.aws.amazon.com/controltower/latest/userguide/dax-rules.html#ct-dax-pr-3-description) | 需要 Amazon DAX 集群对过境中的数据进行加密,并使用 Transport Lease (TLS) | `AWS::DAX::Cluster`  
 |
| [CT.DMS.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/dms-rules.html#ct-dms-pr-1-description) | 要求公共 AWS 地址管理系统复制实例不公开 | `AWS::DMS::ReplicationInstance`  
 |
| [CT.DMS.PR.2 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/dms-rules.html#ct-dms-pr-2-description) | 要求 AWS 数据库迁移服务端点加密源端点和目标端点的连接 | `AWS::DMS::Endpoint`  
 |
| [CT.DOCUMENTDB.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/documentdb-rules.html#ct-documentdb-pr-1-description) | 要求在休息时加密 Amazon 文档DB 集群 | `AWS::DocDB::DBCluster`  
 |
| [CT.DOCUMENTDB.PR.2 互联网档案馆的存檔,存档日期2013-12-2](https://docs.aws.amazon.com/controltower/latest/userguide/documentdb-rules.html#ct-documentdb-pr-2-description) | 要求 Amazon 文件DB 集群的备份保留期大于或等于七天 | `AWS::DocDB::DBCluster`  
 |
| [CT.DYNAMODB.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/dynamodb-rules.html#ct-dynamodb-pr-1-description) | 要求启动 Amazon DynamoDB 表格的即时恢复 | `AWS::DynamoDB::Table`  
 |
| [CT.DYNAMODB.PR.2 存档副本](https://docs.aws.amazon.com/controltower/latest/userguide/dynamodb-rules.html#ct-dynamodb-pr-2-description) | 需要使用 AWS KMS 键在休息时加密 Amazon DynamoDB 表格 | `AWS::DynamoDB::Table`  
 |
| [CT.EC2.PR.1 化学反应](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-1-description) | 需要 Amazon EC2 启动模板才能配置 IMDSv2 | `AWS::EC2::LaunchTemplate`  
 |
| [CT.EC2.PR.2 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-2-description) | 要求亚马逊 EC2 发射模板将符号跳限限制为最多一个 | `AWS::EC2::LaunchTemplate`  
 |
| [CT.EC2.PR.3 互联网档案馆的存檔,存档日期2013-12-02](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-3-description) | 要求任何亚马逊 EC2 安全组规则不对 80 和 443 以外的端口使用源 IP 范围 0.0/0 或 \*/ 0 | `AWS::EC2::SecurityGroup`  
`AWS::EC2::SecurityGroupIngress`  
 |
| [CT.EC2.PR. 4 (韩语)](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-4-description) | 要求任何 Amazon EC2 安全组规则都不对特定高风险端口使用源 IP 范围 0.0.0.0/0 或 \*/ 0 | `AWS::EC2::SecurityGroup`  
`AWS::EC2::SecurityGroupIngress`  
 |
| [CT.EC2.PR.5 化学反应](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-5-description) | 要求任何亚马逊EC2网络ACL防止从0.0.0.0/0进入端口22或端口3389 | `AWS::EC2::NetworkAclEntry`  
 |
| [CT.EC2.PR.6 化学反应](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-6-description) | 要求 Amazon EC2 过境网关拒绝 Amazon VPC 自动附件请求 | `AWS::EC2::TransitGateway`  
 |
| [CT.EC2.PR. 7 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-7-description) | 使用 AWS: EC2: : Instance Block DeviceMappings 属性或 AWS: EC2: : Volume 资源类型定义时, 需要 Amazon EBS 音量资源在休息时加密 | `AWS::EC2::Instance`  
`AWS::EC2::Volume`  
 |
| [CT.EC2.PR.8 化学反应](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-8-description) | 需要 Amazon EC2 实例来设置 AssociatePublicIpAddress 在 AWS: EC2::: Instance 资源中由 NetworkInterfaces 属性创建的新网络界面上作假 | `AWS::EC2::Instance`  
 |
| [CT.EC2.PR.9 化学反应](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-9-description) | 要求任何 Amazon EC2 启动模板不要自动为网络接口指定公共IP地址 | `AWS::EC2::LaunchTemplate`  
 |
| [CT.EC2.PR.10 化学文摘社](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-10-description) | 要求 Amazon EC2 发射模板启用 Amazon Cloud Watch 详细监测 | `AWS::EC2::LaunchTemplate`  
 |
| [CT.EC2.PR.11 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-11-description) | 要求 Amazon EC2 子网不自动指定公共 IP 地址 | `AWS::EC2::Subnet`  
 |
| [CT.EC2.PR. 12 (韩语)](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-12-description) | 要求 Amazon EC2 实例 最多通过 AWS: EC2:::: Instance 资源中的 NetworkInterfaces 属性来指定一个网络接口 | `AWS::EC2::Instance`  
 |
| [CT.EC2.PR.13 (韩语)](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-13-description) | 要求 Amazon EC2 实例启用详细监测 | `AWS::EC2::Instance`  
 |
| [CT.EC2.PR.14 (韩语)](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-14-description) | 需要通过 Amazon EC2 启动模板配置的 Amazon EBS 音量,以便在休息时加密数据 | `AWS::EC2::LaunchTemplate`  
 |
| [CT.EC2.PR.15 化学反应](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-15-description) | 要求 Amazon EC2 实例在从“ AWS: EC2:::::: Launch Template” 资源类型创建时使用 AWS 氮实例类型 | `AWS::EC2::LaunchTemplate`  
 |
| [CT.EC2.PR. 16 (韩语)](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-16-description) | 使用 “ AWS: EC2:::: Instance” 资源类型创建时, 需要 Amazon EC2 实例使用 AWS 硝基实例类型 | `AWS::EC2::Instance`  
 |
| [CT.EC2.PR.17 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-17-description) | 需要 Amazon EC2 专用主机使用 AWS 硝基实例类型 | `AWS::EC2::Host`  
 |
| [CT.EC2.PR.18 互联网档案馆的存檔,存档日期2013-12-02](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-18-description) | 要求 Amazon EC2 机队仅覆盖那些带有 AWS Nitro 实例类型的发射模板 | `AWS::EC2::EC2Fleet`  
 |
| [CT.EC2.PR.19 互联网档案馆的存檔,存档日期2013-12-02](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-19-description) | 要求一个 EC2 实例使用 AWS 的 Nitro 实例类型, 当使用 AWS: EC2::: Instance 资源类型创建时, 该实例类型支持实例之间的加密 | `AWS::EC2::Instance`  
 |
| [CT.EC2.PR.20 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ec2-rules.html#ct-ec2-pr-20-description) | 要求 Amazon EC2 机队只覆盖那些使用 AWS Nitro 实例类型支持在实例间中加密的发射模板 | `AWS::EC2::EC2Fleet`  
 |
| [CT.ECR.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecr-rules.html#ct-ecr-pr-1-description) | 要求 Amazon ECR 存储器配置生命周期策略 | `AWS::ECR::Repository`  
 |
| [CT.ECR.PR. 2 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecr-rules.html#ct-ecr-pr-2-description) | 要求 Amazon ECR 私人寄存器启用图像扫描 | `AWS::ECR::Repository`  
 |
| [CT.ECR.PR. 3 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecr-rules.html#ct-ecr-pr-3-description) | 要求 Amazon ECR 私人寄存器启用标记不可变性 | `AWS::ECR::Repository`  
 |
| [CT.ECS.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-1-description) | 要求 AWS ECS 远门服务在最新的远门平台版本运行 | `AWS::ECS::Service`  
 |
| [CT.ECS.PR. 2 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-2-description) | 要求任何亚马逊ECS集群启动容器透视 | `AWS::ECS::Cluster`  
 |
| [CT.ECS.PR. 3 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-3-description) | 要求任何 Amazon ECS 任务定义指定非根的用户 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR. 4 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-4-description) | 要求 Amazon ECS 任务使用“ awsvpc” 网络模式 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR.5 《欧洲条约汇编》](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-5-description) | 需要一个活跃的 Amazon ECS 任务定义来进行日志配置 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR. 6 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-6-description) | 要求 Amazon ECS 容器允许只读访问根文件系统 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR. 7 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-7-description) | 要求 Amazon ECS 任务定义有特定的内存使用限制 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR. 8 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-8-description) | 要求亚马逊ECS任务定义具有安全的联网模式和用户定义 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR.9 《欧洲条约汇编》](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-9-description) | 要求 Amazon ECS 服务不能自动指定公共 IP 地址 | `AWS::ECS::Service`  
 |
| [CT.ECS.PR.10 《欧洲条约汇编》](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-10-description) | 要求 Amazon ECS 任务定义不共享主机的进程命名空间 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR. 11 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-11-description) | 要求 Amazon ECS 容器作为非特权程序运行 | `AWS::ECS::TaskDefinition`  
 |
| [CT.ECS.PR. 12 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/ecs-rules.html#ct-ecs-pr-12-description) | 要求 Amazon ECS 任务定义不会作为容器环境变量传递秘密 | `AWS::ECS::TaskDefinition`  
 |
| [CT.EKS.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/eks-rules.html#ct-eks-pr-1-description) | 需要配置一个 Amazon EKS 集群, 其公共访问被禁用到集群 Kubernetes API 服务器端点 . | `AWS::EKS::Cluster`  
 |
| [CT.EKS.PR.2 信息技术](https://docs.aws.amazon.com/controltower/latest/userguide/eks-rules.html#ct-eks-pr-2-description) | 要求使用 AWS 密钥管理服务( KMS) 密钥配置 Amazon EKS 集群 | `AWS::EKS::Cluster`  
 |
| [(原始内容存档于2018-10-21) (中文(简体) ). CT.EASTICACHE.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-1-description) | Redis 集群需要使用 Amazon ElastiCache 启动自动备份 | `AWS::ElastiCache::CacheCluster`  
 |
| [(原始内容存档于2017-03-31) (英语). CT.EASTICACHE.PR.2](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-2-description) | Redis 集群需要 Amazon ElastiCache 启动自动小版本升级 | `AWS::ElastiCache::CacheCluster`  
 |
| [(原始内容存档于2013-10-03). CT.EASTICACHE.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-3-description) | 需要用于 Redis 复制组的 Amazon ElastiCache 启动自动失效 | `AWS::ElastiCache::ReplicationGroup`  
 |
| [(中文(简体) ). 4](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-4-description) | 要求 Amazon ElastiCache 复制组在休息时启动加密 | `AWS::ElastiCache::ReplicationGroup`  
 |
| [(原始内容存档于2013-10-12). CT.EASTICACHE.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-5-description) | 需要 Amazon ElastiCache 用于 Redis 复制组, 才能激活中转中的加密 | `AWS::ElastiCache::ReplicationGroup`  
 |
| [(原始内容存档于2019-03-26) (英语). CT.EASTICACHE.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-6-description) | 需要 Amazon ElastiCache 缓存组使用自定义子网组 | `AWS::ElastiCache::CacheCluster`  
 |
| [(中文(简体) ). 7](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-7-description) | 需要由早期 Redis 版本的 Amazon ElastiCache 复制组启用 Redis AUTH | `AWS::ElastiCache::ReplicationGroup`  
 |
| [(原始内容存档于2017-03-31) (中文(简体) ). CT.EASTICACHE.PR.8](https://docs.aws.amazon.com/controltower/latest/userguide/elasticache-rules.html#ct-elasticache-pr-8-description) | 需要使用 Amazon ElastiCache 复制 组 , 包括后来的 Redis 版本, 才能启用 RBAC 认证 | `AWS::ElastiCache::ReplicationGroup`  
 |
| [科学、技术和科学分析](https://docs.aws.amazon.com/controltower/latest/userguide/ebs-rules.html#ct-elasticbeanstalk-pr-1-description) | 要求 AWS 弹性豆茎环境能够加强健康报告 | `AWS::ElasticBeanstalk::Environment`  
`AWS::ElasticBeanstalk::ConfigurationTemplate`  
 |
| [(原始内容存档于2019-03-25) (中文(简体) ). CT.ELACSTANSTALK.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ebs-rules.html#ct-elasticbeanstalk-pr-2-description) | 需要一个 AWS 弹性 Beanstalk 环境来配置管理平台更新 | `AWS::ElasticBeanstalk::Environment`  
`AWS::ElasticBeanstalk::ConfigurationTemplate`  
 |
| [(原始内容存档于2019-10-21) (英语). CT.ELASTICANSTALK.PR](https://docs.aws.amazon.com/controltower/latest/userguide/ebs-rules.html#ct-elasticbeanstalk-pr-3-description) | 需要一个 AWS 弹性 Beanstalk 环境来进行日志配置 | `AWS::ElasticBeanstalk::Environment`  
`AWS::ElasticBeanstalk::ConfigurationTemplate`  
 |
| [资料汇编](https://docs.aws.amazon.com/controltower/latest/userguide/efs-rules.html#ct-elasticfilesysystem-pr-1-description) | 需要 Amazon EFS 文件系统在休息时使用 AWS KMS 加密文件数据 | `AWS::EFS::FileSystem`  
 |
| [资料汇编](https://docs.aws.amazon.com/controltower/latest/userguide/efs-rules.html#ct-elasticfilesysystem-pr-2-description) | 需要 Amazon EFS 音量才能有自动备份计划 | `AWS::EFS::FileSystem`  
 |
| [(原始内容存档于2018-09-21) (中文(简体) ). CT. ELASTICLIERSYSTEM.PR](https://docs.aws.amazon.com/controltower/latest/userguide/efs-rules.html#ct-elasticfilesysystem-pr-3-description) | 要求 Amazon EFS 访问点有一个根目录 | `AWS::EFS::AccessPoint`  
 |
| [(原始内容存档于2018-09-29) (中文(简体) ). CT. ELASTICLIERSYSTEM.PR](https://docs.aws.amazon.com/controltower/latest/userguide/efs-rules.html#ct-elasticfilesysystem-pr-4-description) | 要求 Amazon EFS 访问点执行用户身份 | `AWS::EFS::AccessPoint`  
 |
| [(原始内容存档于2018-03-26) (英语). CT. ALESTICLO ADBASSANCING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-1-description) | 要求任何应用程序负载平衡器监听器默认动作将所有 HTTP 请求重定向到 HTTPS | `AWS::ElasticLoadBalancingV2::Listener`  
 |
| [(原始内容存档于2019-09-26) (英语). CT. ELASTICLO ADABANCING.PR.2](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-2-description) | 要求任何 Amazon ELB 应用程序或网络负载平衡器拥有 AWS 证书管理器证书 | `AWS::ElasticLoadBalancingV2::Listener`  
`AWS::ElasticLoadBalancingV2::ListenerCertificate`  
 |
| [(原始内容存档于2019-03-26) (英语). CT. ALESTICLO ADHAMALANCING. PR](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-3-description) | 要求任何应用程序负荷平衡器启用防御性或最严格的脱同步减缓模式 | `AWS::ElasticLoadBalancingV2::LoadBalancer`  
 |
| [(原始内容存档于2018-03-26) (英语). CT. ALESTICLO ADBANKANCING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-4-description) | 要求必须配置任何应用程序负载平衡器以放下 HTTP 信头 | `AWS::ElasticLoadBalancingV2::LoadBalancer`  
 |
| [拉丁美洲和拉丁美洲](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-5-description) | 要求启动应用程序负载平衡器删除保护 | `AWS::ElasticLoadBalancingV2::LoadBalancer`  
 |
| [(原始内容存档于2018-03-26) (英语). CT. ALESTICLO ADBANKANCING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-6-description) | 要求启动应用程序和网络负荷平衡器访问记录 | `AWS::ElasticLoadBalancingV2::LoadBalancer`  
 |
| [拉丁美洲和加勒比](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-7-description) | 要求任何经典负载平衡器配置多个可用区 | `AWS::ElasticLoadBalancing::LoadBalancer`  
 |
| [(原始内容存档于2017-03-26) (英语). CT. ALESTICLO ADBASSANCING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-8-description) | 要求任何经典负载平衡器 SSL/HTTPS 听器拥有由 AWS 证书管理器提供的证书 | `AWS::ElasticLoadBalancing::LoadBalancer`  
 |
| [(原始内容存档于2019-09-26) (英语). CT. ELASTICLO ADABANCING.PR](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-9-description) | 要求使用 HTTPS 或 TLS 终止配置 AWS ELB 应用程序或经典负载平衡器 | `AWS::ElasticLoadBalancing::LoadBalancer`  
 |
| [(原始内容存档于2019-09-26) (英语). CT. ALESTICLO ADBASSANCING. PR.10](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-10-description) | 需要使用 ELB 应用程序或经典负载平衡器来激活日志 | `AWS::ElasticLoadBalancing::LoadBalancer`  
 |
| [(原始内容存档于2019-06-26) (英语). CT. ALESTICLO ADHAMALANCING. PR.11](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-11-description) | 要求任何ELB经典负载平衡器启动连接排出 | `AWS::ElasticLoadBalancing::LoadBalancer`  
 |
| [(原始内容存档于2019-03-26) (英语). CT. ALESTICLO ADHAMALANCING. PR.12](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-12-description) | 要求任何 ELB 经典负载平衡器 SSL/ HTTPS 收听器都有一个具有强配置的预定义的安全政策 | `AWS::ElasticLoadBalancing::LoadBalancer`  
 |
| [(原始内容存档于2013-10-12) (英语). CT. ALESTICLO ADBANKANCING.PR.13](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-13-description) | 要求任何ELB经典负载平衡器启用跨区负载平衡 | `AWS::ElasticLoadBalancing::LoadBalancer`  
 |
| [(原始内容存档于2019-09-26) (英语). CT. ALESTICLO ADBASSANCING.PR.14](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-14-description) | 要求网络负载平衡器启用跨区域负载平衡 | `AWS::ElasticLoadBalancingV2::LoadBalancer`  
 |
| [(原始内容存档于2019-09-29) (英语). CT. ELASTICLO ADABANCING.PR.15](https://docs.aws.amazon.com/controltower/latest/userguide/elb-rules.html#ct-elasticloadbalancing-pr-15-description) | 要求弹性负载平衡 v2 目标组不明确禁用跨区负载平衡 | `AWS::ElasticLoadBalancingV2::TargetGroup`  
 |
| [CT.EMR.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/emr-rules.html#ct-emr-pr-1-description) | 需要配置一个 Amazon Elastic MapReduce (EMR) 安全配置,以便在 Amazon S3 中休息时加密数据 | `AWS::EMR::SecurityConfiguration`  
 |
| [CT.EMR.PR. 2 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/emr-rules.html#ct-emr-pr-2-description) | 需要配置一个 Amazon Elastic MapReduce (EMR) 安全配置,以便在 Amazon S3 的休息状态加密数据,并配有 AWS KMS 密钥 | `AWS::EMR::SecurityConfiguration`  
 |
| [CT.EMR.PR. 3 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/emr-rules.html#ct-emr-pr-3-description) | 需要使用 AWS KMS 密钥配置 Amazon Elastic MapReduce (EMR) 安全配置 | `AWS::EMR::SecurityConfiguration`  
 |
| [CT.EMR.PR. 4 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/emr-rules.html#ct-emr-pr-4-description) | 需要配置一个 Amazon 弹性 MapReduce (EMR) 安全配置, 以加密中转中的数据 | `AWS::EMR::SecurityConfiguration`  
 |
| [CT.GLUE.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/glue-rules.html#ct-glue-pr-1-description) | 需要一个 AWS 粘贴任务来设置相关的安全配置 | `AWS::Glue::Job`  
 |
| [CT. GUARDDUTY.PR. 1 (英语)](https://docs.aws.amazon.com/controltower/latest/userguide/guard-duty-rules.html#ct-guardduty-pr-1-description) | 需要 Amazon GuardDuty 探测器才能启动 Amazon S3 保护 | `AWS::GuardDuty::Detector`  
 |
| [CT.IAM.PR. 1 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/iam-rules.html#ct-iam-pr-1-description) | 要求 AWS 身份和访问管理(IAM)内置政策没有将"\*"包含在行动和资源要素中的声明 | `AWS::IAM::Policy`  
`AWS::IAM::Role`  
`AWS::IAM::User`  
`AWS::IAM::Group`  
 |
| [CT.IAM.PR. 2 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/iam-rules.html#ct-iam-pr-2-description) | 要求 AWS 身份和访问管理(IAM) 客户管理的政策不包含在行动和资源要素中包含"\*"的语句 | `AWS::IAM::ManagedPolicy`  
 |
| [CT.IAM.PR. 3 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/iam-rules.html#ct-iam-pr-3-description) | 要求AWS身份和访问管理(IAM)客户管理的政策没有通配卡服务行动 | `AWS::IAM::ManagedPolicy`  
 |
| [CT.IAM.PR. 4 (中文(简体) )](https://docs.aws.amazon.com/controltower/latest/userguide/iam-rules.html#ct-iam-pr-4-description) | 要求AWS身份和访问管理(IAM)用户不附带内含或管理的政策 | `AWS::IAM::User`  
`AWS::IAM::Policy`  
`AWS::IAM::ManagedPolicy`  
 |
| \[CT.IAM.PR.5\] (中文(简体) )[https://docs.aws.amazon.com/controltower 互联网档案馆的存檔,存档日期2013-12-02](https://docs.aws.amazon.com/controltower) |  |  |

## 常见问题

### 如何安装 @cdklabs/cdk-validator-cfnguard？

在项目目录运行 npm install @cdklabs/cdk-validator-cfnguard，或使用 pnpm add / yarn add / bun add。它还需要宿主项目提供 peer 依赖：aws-cdk-lib（^2\.76\.0）。npm 7 及以上与 pnpm 8 及以上默认会自动安装必需的 peer 依赖，Yarn 需要手动安装。

### @cdklabs/cdk-validator-cfnguard 支持 TypeScript 吗？

支持。包内自带 TypeScript 类型声明（package\.json 声明了 types 入口），安装后即可获得类型提示，无需再安装 @types 包。

### @cdklabs/cdk-validator-cfnguard 支持 ESM 还是 CommonJS？

以 CommonJS 形式发布，可以直接 require\(\)；在 ES Module 项目中也可以用 import 引入（Node\.js 会把 module\.exports 作为默认导出）。

### @cdklabs/cdk-validator-cfnguard 需要什么版本的 Node\.js？

package\.json 的 engines 字段要求 Node\.js \>= 16\.14\.0。版本不符时 npm 默认只给出警告，开启 engine-strict 后会拒绝安装。

### @cdklabs/cdk-validator-cfnguard 可以商用吗？

@cdklabs/cdk-validator-cfnguard 使用 Apache-2\.0 许可。宽松许可：允许商业使用、修改和再分发，并附带明确的专利授权；分发时需保留许可与 NOTICE 文件，修改过的文件要注明改动。以上为概括，不构成法律意见，请以许可原文为准。

### @cdklabs/cdk-validator-cfnguard 的下载量有多少？

根据 npm 官方下载统计，@cdklabs/cdk-validator-cfnguard 在 2026/10/10 – 2026/11/08 这 30 天内被下载 73,980 次，日均约 2,466 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。

### @cdklabs/cdk-validator-cfnguard 还在维护吗？

最新版本 0\.0\.62 发布于 2026/07/28（3 个月前）；至今共发布 61 个版本，其中过去 12 个月发布了 2 个；首次发布于 2023/03/31。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。