本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Amazon Simple Notification Service 控件
这些控件与 Amazon SNS 资源有关。
这些控件可能并非全部可用 Amazon Web Services 区域。有关更多信息，请参阅 按地区划分的控件可用性。
[SNS.1] SNS 主题应使用以下方法进行静态加密 Amazon KMS
重要
Security Hub于2024年4月从 Amazon 基础安全最佳实践标准中取消了该控件，但它仍包含在NIST SP 800-53 Rev. 53标准中。有关更多信息，请参阅 Security Hub 控件的更改日志。
相关要求：NIST.800-53.r5 CA-9(1)、NIST.800-53.r5 CM-3(6)、NIST.800-53.r5 SC-13、NIST.800-53.r5 SC-28、NIST.800-53.r5 SC-28(1)、NIST.800-53.r5 SC-7(10)、NIST.800-53.r5 SI-7(6)。
类别：保护 > 数据保护 > 加密 data-at-rest
严重性：中
资源类型：AWS::SNS::Topic
Amazon Config 规则：sns-encrypted-kms
计划类型：已触发变更
参数：无
此控件检查是否使用在 Amazon Key Management Service ()Amazon KMS中管理的密钥对 Amazon SNS 主题进行静态加密。如果 SNS 主题不使用 KMS 密钥进行服务器端加密 (SSE)，则控制失败。默认情况下，SNS 使用磁盘加密存储消息和文件。要通过此控制，必须选择改用 KMS 密钥进行加密。这增加了额外的安全层，并提供了更大的访问控制灵活性。
对静态数据进行加密可降低存储在磁盘上的数据被未经身份验证的用户访问的风险。 Amazon需要有 API 权限才能解密数据，然后才能读取数据。为了增加安全性，我们建议使用 KMS 密钥加密 SNS 主题。
修复
要为 SNS 主题启用 SSE，请参阅《亚马逊简单通知服务开发者指南》中的 “为亚马逊 SNS 启用服务器端加密 (SSE)” 主题。在使用 SSE 之前，还必须配置 Amazon KMS key 策略以允许对主题进行加密以及对消息进行加密和解密。有关更多信息，请参阅《Amazon 简单通知服务开发者指南》中的配置 Amazon KMS 权限。
[SNS.2] 应为发送到主题的通知消息启用传输状态记录
重要
Security Hub 于 2024 年 4 月取消了该控制权。有关更多信息，请参阅 Security Hub 控件的更改日志。
相关要求：NIST.800-53.r5 AU-12、NIST.800-53.r5 AU-2。
类别：识别 > 日志记录
严重性：中
资源类型：AWS::SNS::Topic
Amazon Config 规则：sns-topic-message-delivery-notification-enabled
计划类型：已触发变更
参数：无
此控件检查是否启用记录发送到端点的 Amazon SNS 主题的通知消息的传输状态。如果未启用邮件的传输状态通知，则此控件将失败。
日志记录是维护服务的可靠性、可用性和性能的重要组成部分。记录消息传送状态有助于提供操作见解，例如：
了解消息是否已传输到 Amazon SNS 端点。
识别从 Amazon SNS 端点发送到 Amazon SNS 的响应。
确定消息停留时间（发布时间戳和移交到 Amazon SNS 端点之间的时间）。
修复
要为主题配置传输状态日志，请参阅 Amazon Simple Notification Service 开发人员指南中的 Amazon SNS 消息传输状态。
[SNS.3] 应标记 SNS 话题
类别：识别 > 清单 > 标记
严重性：低
资源类型：AWS::SNS::Topic
Amazon Config 规则：tagged-sns-topic（自定义 Security Hub 规则）
计划类型：已触发变更
参数：无
| 参数 | 描述 | 类型 | 允许的自定义值 | Security Hub 默认值 |
|---|---|---|---|---|
requiredTagKeys
|
评估的资源必须包含的非系统标签密钥列表。标签键区分大小写。 | StringList | 符合Amazon 要求的标签列表 |
No default value
|
此控件检查 Amazon SNS 主题是否具有参数中定义的特定密钥的标签。requiredTagKeys如果主题没有任何标签密钥或者没有在参数中指定的所有密钥，则控件将失败requiredTagKeys。如果requiredTagKeys未提供该参数，则该控件仅检查标签密钥是否存在，如果主题未使用任何密钥进行标记，则该控件将失败。系统标签会自动应用并以其开头aws:，但会被忽略。
标签是您分配给 Amazon 资源的标签，它由密钥和可选值组成。您可以创建标签，按用途、所有者、环境或其他标准对资源进行分类。标签可以帮助您识别、组织、搜索和筛选资源。标记还可以帮助您跟踪负责任的资源所有者的操作和通知。使用标记时，可以实现基于属性的访问控制 (ABAC) 作为一种授权策略，该策略根据标签定义权限。您可以向 IAM 实体（用户或角色）和 Amazon 资源附加标签。您可以为您的 IAM 委托人创建单个 ABAC 策略或一组单独的策略。您可以将这些 ABAC 策略设计为允许在委托人的标签与资源标签匹配时进行操作。有关更多信息，请参阅 ABAC 有什么用 Amazon？ 在 IAM 用户指南中。
注意
不要在标签中添加个人身份信息 (PII) 或其他机密或敏感信息。许多人都可以访问标签 Amazon Web Services，包括 Amazon Billing。有关更多标记最佳做法，请参阅中的为Amazon 资源添加标签。Amazon Web Services 一般参考
修复
要向 SNS 主题添加标签，请参阅亚马逊简单通知服务开发者指南中的配置 Amazon SNS 主题标签。