產生式AI合規最佳實務中的預設規則 - Cloud Config

本合規包旨在協助您全面檢測和管理百鍊、人工智慧平台PAI以及其依賴的核心產品（如ACS、ACR、OSS、NAS、KMS、SLS、MaxCompute等）在安全與穩定性方面的潛在合規風險。本文為您介紹產生式AI合規最佳實務中的預設規則。

規則名稱	規則描述
為百鍊啟用輸入內容提示詞攻擊安全護欄	為百鍊啟用輸入內容提示詞攻擊安全護欄，視為“合規”。
為百鍊啟用輸入Alibaba Content Security Service護欄	為百鍊啟用輸入Alibaba Content Security Service護欄，並且7天內有過實際調用，視為“合規”。
為百鍊啟用輸出內容提示詞攻擊安全護欄	為百鍊啟用輸出內容提示詞攻擊安全護欄，視為“合規”。
為百鍊啟用輸出Alibaba Content Security Service護欄	為百鍊啟用輸出Alibaba Content Security Service護欄，並且7天內有過實際調用，視為“合規”。
為百鍊啟用輸出內容惡意URL安全護欄	為百鍊啟用輸出內容惡意URL安全護欄，視為“合規”。
為模型線上服務PAI-EAS設定警示	在CloudMonitor為模型線上服務PAI-EAS設定至少一條警示規則，視為“合規”。
為分布式訓練服務PAI-DLC設定警示	在CloudMonitor為分布式訓練服務PAI-DLC設定至少一條警示規則，視為“合規”。
使用Security Center進行安全防護	使用Security Center的版本高於基礎版或開通後付費版本視為“合規”。
ACK叢集未設定公網串連端點	ACK叢集未設定公網串連端點，或關聯的SLB的監聽開啟acl存取控制，視為“合規”。
ACK叢集運行中節點安裝CloudMonitor外掛程式	ACK叢集運行中節點均安裝了CloudMonitor外掛程式，且監控運行狀態正常，視為“合規”。
ACK叢集安裝容器內部Action Trail組件進行執行命令審計	ACK叢集安裝容器內部Action Trail組件，方便您審計組織內成員或應用程式進入容器後執行的命令操作，視為“合規”。
ACK叢集啟用APIServer審計功能	ACK叢集使用叢集API Server審計功能，協助叢集管理員記錄或追溯不同使用者的日常操作，視為“合規”。
使用地區級多可用性區域ACK叢集	使用地區級ACK叢集，節點分布在3個及以上可用性區域，視為“合規”。
ACK叢集啟用RRSA功能	啟用ACK叢集的RRSA功能，視為“合規”。RRSA功能可以在叢集內實現Pod維度OpenAPI許可權隔離，從而實現雲資源存取權限的細粒度隔離，降低安全風險。
ACK叢集配置Secret的落盤加密	ACK叢集配置Secret的落盤加密，視為“合規”。非專業託管版叢集視為“不適用”。
ACK叢集開啟並配置容器安全性原則	ACK叢集開啟並配置容器安全性原則，視為“合規”。
ACK叢集控制平面組件日誌開啟檢測	ACK託管叢集控制平面組件日誌開啟，視為“合規”。叢集類型非託管版的叢集不適用本規則，視為“不適用”。
Container Registry執行個體未開啟公網訪問入口	Container Registry執行個體未開啟公網訪問入口，視為“合規”，適用於企業版。
關聯同城冗餘的OSS桶的容器鏡像執行個體	關聯同城冗餘的OSS桶的容器鏡像執行個體，視為“合規”。
Container Registry鏡像版本為不可變	Container Registry鏡像版本為不可變，視為“合規”。
ECS資料磁碟開啟加密	ECS資料磁碟已開啟加密，視為“合規”。
ECS磁碟設定自動快照策略	ECS磁碟設定了自動快照策略，視為“合規”。狀態非使用中的磁碟、不支援設定自動快照策略的磁碟、ACK叢集掛載的非持久化使用情境的磁碟視為“不適用”。開啟自動快照策略後，阿里雲會自動按照預設的時間點和周期為雲端硬碟建立快照，遭遇破壞入侵或勒索後能夠快速從安全事件中恢複。
Key Management Service設定主要金鑰自動輪轉	對Key Management Service中的使用者主要金鑰設定自動輪轉，視為“合規”。如果是服務密鑰，視為“不適用“。如果來源是使用者內建密鑰，視為“不適用”，
KMS主要金鑰開啟刪除保護	KMS主要金鑰開啟刪除保護，視為“合規”。如果密鑰狀態非啟用中，視為“不適用”，如果密鑰為服務密鑰，由於本身不可刪除，視為“不適用”。
Key Management Service設定憑據自動輪轉	Key Management Service中的憑據設定自動輪轉，視為“合規”。如果密鑰類型為普通密鑰，視為“不適用”。
MaxCompute專案使用同城容災架構	MaxCompute專案使用同城容災架構，視為“合規”。
MaxCompute專案開啟加密	MaxCompute專案開啟加密，視為“合規”。凍結狀態的專案視為“不適用”。
MaxCompute專案啟用IP白名單	MaxCompute專案啟用IP白名單，視為“合規”。
NAS檔案系統使用的許可權組未對所有來源開放	NAS檔案系統使用的許可權組未對所有訪問來源開放，視為“合規”。檔案系統未添加掛載點或關聯許可權組未添加任何規則視為“不適用”。
NAS檔案系統建立備份計劃	為NAS檔案系統建立備份計劃，視為“合規”。
NAS檔案儲存體存取點啟用RAM策略	NAS檔案儲存體存取點啟用RAM策略，視為“合規”。
NAS檔案系統設定了加密	NAS檔案系統設定了加密，視為“合規”。
OSS儲存空間ACL不開啟公用讀寫	OSS儲存空間的ACL不開啟公用讀寫，視為“合規”。OSS儲存空間開啟公用讀寫許可權後，任何訪問者均可寫入，將面臨惡意注入的資料風險，建議關閉。
OSS儲存空間開啟同城冗餘儲存	如果沒有開啟同城冗餘儲存，會導致當出現某個機房不可用時，OSS服務無法提供可用性、持久性服務，影響資料恢複目標。OSS儲存空間開啟同城冗餘儲存，視為“合規”。
OSS儲存空間開啟服務端KMS加密	OSS儲存空間開啟服務端KMS加密，視為“合規”。
OSS儲存桶TLS版本檢測	OSS儲存桶開啟TLS且使用的TLS版本在參數指定的版本範圍內，視為“合規”。TLS版本預設值為TLSv1.2，TLSv1.3。
OSS桶開啟跨地區複製	開啟了OSS Bucket跨地區複製功能，視為“合規”。該規則依賴災備中心bdrc的檢測結果，如果未開通bdrc或無檢測結果視為不適用。
OSS儲存空間權限原則設定安全訪問	OSS儲存空間權限原則中包含了讀寫操作的訪問方式設定為HTTPS，或者拒絕訪問的訪問方式設定為HTTP，視為“合規”。權限原則為空白的OSS儲存空間視為“不適用”。
PAI模型線上服務執行個體分布在多個可用性區域	PAI模型線上服務（EAS）執行個體分布在多個可用性區域，視為“合規”。
PAI分布式訓練開啟算力健康檢測	PAI分布式訓練（DLC）開啟算力健康檢測，視為“合規”。無訓練任務時視為“不適用”。
PAI分布式訓練開啟基於AIMaster的容錯監控	PAI分布式訓練（DLC）開啟基於AIMaster的容錯監控，視為“合規”。無訓練任務時視為“不適用”。
為終端節點服務配置多個可用性區域	終端節點服務配置多個可用性區域，視為“合規”。
Log Service日誌庫設定資料加密	Log Service日誌庫設定了資料加密，視為“合規”。