本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Amazon Route 53 控制
这些控制与 Route 53 资源有关。
这些控件可能并非全部可用 Amazon Web Services 区域。有关更多信息，请参阅 按地区划分的控件可用性。
[Route53.1] 应标记 Route53 运行状况检查
类别：识别 > 清单 > 标记
严重性：低
资源类型：Amazon::Route53::HealthCheck
Amazon Config 规则:tagged-route53-healthcheck（自定义 Security Hub 规则）
计划类型：已触发变更
参数：
| 参数 | 描述 | 类型 | 允许的自定义值 | Security Hub 默认值 |
|---|---|---|---|---|
requiredTagKeys
|
评估的资源必须包含的非系统标签密钥列表。标签键区分大小写。 | StringList | 符合Amazon 要求的标签列表 | 无默认值 |
此控件检查 Amazon Route 53 运行状况检查是否具有参数中定义的特定密钥的标签requiredTagKeys。如果运行状况检查没有任何标签密钥或者没有参数中指定的所有密钥，则控件将失败requiredTagKeys。如果requiredTagKeys未提供该参数，则该控件仅检查标签密钥是否存在，如果运行状况检查未使用任何密钥标记，则该控件将失败。系统标签会自动应用并以其开头aws:，但会被忽略。
标签是您分配给 Amazon 资源的标签，它由密钥和可选值组成。您可以创建标签，按用途、所有者、环境或其他标准对资源进行分类。标签可以帮助您识别、组织、搜索和筛选资源。标记还可以帮助您跟踪负责任的资源所有者的操作和通知。使用标记时，可以实现基于属性的访问控制 (ABAC) 作为一种授权策略，该策略根据标签定义权限。您可以向 IAM 实体（用户或角色）和 Amazon 资源附加标签。您可以为您的 IAM 委托人创建单个 ABAC 策略或一组单独的策略。您可以将这些 ABAC 策略设计为允许在委托人的标签与资源标签匹配时进行操作。有关更多信息，请参阅 ABAC 有什么用 Amazon？ 在 IAM 用户指南中。
注意
不要在标签中添加个人身份信息 (PII) 或其他机密或敏感信息。许多人都可以访问标签 Amazon Web Services，包括 Amazon Billing。有关更多标记最佳做法，请参阅中的为Amazon 资源添加标签。Amazon Web Services 一般参考
修复
要向 Route 53 运行状况检查添加标签，请参阅 Amazon Route 53 开发者指南中的命名和标记运行状况检查。
[Route53.2] Route 53 公有托管区域应记录 DNS 查询
相关要求：NIST.800-53.r5 AC-2(4)、NIST.800-53.r5 AC-4(26)、NIST.800-53.r5 AC-6(9)、NIST.800-53.r5 AU-10、NIST.800-53.r5 AU-12、NIST.800-53.r5 AU-2、NIST.800-53.r5 AU-3、NIST.800-53.r5 AU-6(3)、NIST.800-53.r5 AU-6(4)、NIST.800-53.r5 CA-7、NIST.800-53.r5 SC-7(9)、NIST.800-53.r5 SI-3(8)、NIST.800-53.r5 SI-4(20)、NIST.800-53.r5 SI-7(8)。
类别：识别 > 日志记录
严重性：中
资源类型：AWS::Route53::HostedZone
Amazon Config 规则：route53-query-logging-enabled
计划类型：已触发变更
参数：无
此控件检查是否为 Amazon Route 53 公共托管区域启用了 DNS 查询日志记录。如果未为 Route 53 公共托管区域启用 DNS 查询日志记录，控制将会失败。
记录 Route 53 托管区域的 DNS 查询可满足 DNS 安全性和合规性要求并授予可见性。日志包含诸如查询的域或子域、查询的日期和时间、DNS 记录类型（例如 A 或 AAAA）以及 DNS 响应代码（例如 NoError 或 ServFail）等信息。启用 DNS 查询日志记录后，Route 53 会将日志文件发布到 Amazon CloudWatch 日志。
修复
要记录 Route 53 公共托管区域的 DNS 查询，请参阅 Amazon Route 53 开发人员指南中的 DNS 查询配置日志记录。