限制項 | 權限原則名稱 | 代碼 | 說明 |
執行個體建立 | CreateRdsWithNonDiskEncryptionForbidden | 點擊展開 {
"Statement": [
{
"Action": [
"rds:CreateDBInstance",
"rds:PreCheckCreateOrder",
"rds:CreateOrder"
],
"Effect": "Deny",
"Resource": "*",
"Condition": {
"Bool": {
"rds:DiskEncryptionRequired": "false"
}
}
}
],
"Version": "1"
}
| 防止目標使用者建立磁碟沒有加密的RDS執行個體。
說明 本功能當前僅適用於建立主執行個體，除此之外的所有情境下（例如建立唯讀執行個體、恢複資料到新執行個體），本功能不會生效。 |
CreateRdsWithNonVPCNetworkTypeForbidden | 點擊展開 {
"Statement": [
{
"Action": [
"rds:CreateDBInstance",
"rds:PreCheckCreateOrder",
"rds:CreateOrder"
],
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:InstanceNetworkType": "VPC"
}
}
}
],
"Version": "1"
}
| 防止目標使用者建立網路類型為非Virtual Private Cloud的RDS執行個體。
說明 本功能當前僅適用於建立主執行個體，除此之外的所有情境下（例如建立唯讀執行個體、恢複資料到新執行個體），本功能不會生效。 |
網路設定 | DatabaseConnectionNonVPCNetworkTypeForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyDBInstanceNetworkType",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:InstanceNetworkType": "VPC"
}
}
}
],
"Version": "1"
}
| 防止目標使用者切換RDS執行個體的網路類型為傳統網路。 |
安全配置 | DataSecuritySSLDisabledForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyDBInstanceSSL",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringEquals": {
"rds:SSLEnabled": "0"
}
}
}
],
"Version": "1"
}
| 防止目標使用者關閉RDS執行個體的SSL加密。 |
DataSecurityTDEDisabledForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyDBInstanceTDE",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:TDEStatus": "Enabled"
}
}
}
],
"Version": "1"
}
| 防止目標使用者關閉RDS執行個體的透明資料加密TDE。 |
資料庫代理配置 | DatabaseProxyWithNonVPCNetworkTypeForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyDBProxy",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:InstanceNetworkType": "VPC"
}
}
}
],
"Version": "1"
}
| 防止目標使用者在開啟RDS執行個體的資料庫代理服務時，指定網路地址類型為外網。 |
DatabaseProxyCreateEndpointAddressWithNonVPCNetworkTypeForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:CreateDBProxyEndpointAddress",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:DBProxyConnectStringNetType": "VPC"
}
}
}
],
"Version": "1"
}
| 防止目標使用者在建立RDS執行個體的資料庫代理串連地址時，指定網路地址類型為外網。 |
DatabaseProxyModifyEndpointAddressWithNonVPCNetworkTypeForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyDBProxyEndpointAddress",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:DBProxyConnectStringNetType": "VPC"
}
}
}
],
"Version": "1"
}
| 防止目標使用者在修改RDS執行個體的資料庫代理串連地址時，指定網路地址類型為外網。 |
DatabaseProxyDbProxyInstanceSslDisabledForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyDbProxyInstanceSsl",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringEquals": {
"rds:DbProxySslEnabled": "0"
}
}
}
],
"Version": "1"
}
| 防止目標使用者關閉RDS執行個體的資料庫代理SSL加密功能。 |
備份相關配置 | BackupAndRestorationCrossBackupDisabledForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyInstanceCrossBackupPolicy",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:BackupEnabled": "1"
}
}
},
{
"Action": "rds:ModifyInstanceCrossBackupPolicy",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:LogBackupEnabled": "1"
}
}
}
],
"Version": "1"
}
| 防止目標使用者關閉RDS執行個體的跨地區備份功能。 |
BackupAndRestorationBackupPolicyDisabledForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyBackupPolicy",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringEquals": {
"rds:EnableBackupLog": "0"
}
}
},
{
"Action": "rds:ModifyBackupPolicy",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringEquals": {
"rds:BackupLog": "Disabled"
}
}
}
],
"Version": "1"
}
| 防止目標使用者關閉RDS執行個體的記錄備份功能。 |
歷史事件 | EventCenterActionEventEnableEventLogForbidden | 點擊展開 {
"Statement": [
{
"Action": "rds:ModifyActionEventPolicy",
"Effect": "Deny",
"Resource": "*",
"Condition": {
"StringNotEquals": {
"rds:EnableEventLog": "False"
}
}
}
],
"Version": "1"
}
| 防止目標使用者開啟RDS執行個體的歷史事件功能。 |