容错能力

检查您的应用程序负载均衡器是否配置为使用多个可用区（AZ）。一个可用区是一个不同的位置，它与其他区域的故障隔离开来。在同一区域内的多个可用区中配置您的负载均衡器，以帮助提高您的工作负载可用性。

c1dfprch08

黄色：ALB 部署在单个可用区中。

绿色：ALB 有两个或多个可用区。

确保负载均衡器配置了至少两个可用区。

有关更多信息，请参阅应用程序负载均衡器的可用区。

有关更多信息，请参阅以下文档：

检查 Amazon Aurora MySQL 集群是否启用了回溯功能。

Amazon Aurora MySQL 集群回溯功能允许您将 Aurora 数据库集群还原到之前的时间点，而无需创建新集群。该功能使您能够将数据库回滚到保留期内的特定时间点，而无需从快照还原。

您可以在 AWS Config 规则的 BacktrackWindowInHours 参数中调整回溯时段（小时）。

有关更多信息，请参阅回溯 Aurora 数据库集群。

c18d2gz131

AWS Config Managed Rule: aurora-mysql-backtracking-enabled

黄色：未启用 Amazon Aurora MySQL 集群回溯功能。

为您的 Amazon Aurora MySQL 集群开启回溯功能。

有关更多信息，请参阅回溯 Aurora 数据库集群。

回溯 Aurora 数据库集群

检查 Amazon Aurora 数据库集群同时具有私有实例和公有实例的情况。

如果主实例故障，则副本实例可提升为主实例。如果该副本实例是私有的，则只具有公有访问权限的用户将无法在失效转移后连接到数据库。我们建议集群中的所有数据库实例具有相同的可访问性。

xuy7H1avtl

黄色：Aurora 数据库集群中的实例具有不同的可访问性（公有和私有混合）。

修改数据库集群中实例的 Publicly Accessible 设置，以便将所有实例设置为公有或私有。有关详细信息，请参阅修改运行 MySQL 数据库引擎的数据库实例中有关 MySQL 实例的说明。

Aurora 数据库集群的容错能力

检查是否为包含 Amazon CloudFront 中两个源的分配配置了源组。

有关更多信息，请参阅通过 CloudFront 源失效转移优化高可用性。

c18d2gz112

AWS Config Managed Rule: cloudfront-origin-failover-enabled

黄色：未启用 Amazon CloudFront 源失效转移。

请务必为 CloudFront 分发开启源失效转移功能，以帮助确保向最终用户交付内容的高可用性。开启此功能后，如果主原始服务器不可用，则流量将自动路由到备用原始服务器。这样可以最大限度地减少潜在停机时间，并确保内容的持续可用性。

检查其中使用客户托管式密钥加密基础模型的端点的 AWS Key Management Service (AWS KMS) 密钥权限。如果禁用了客户托管式密钥，或者更改了密钥策略以针对 Amazon Comprehend 更改允许的权限，则端点可用性可能会受到影响。

Cm24dfsM13

红色：客户托管式密钥已禁用或者密钥策略已更改以改变 Amazon Comprehend 允许的访问权限。

如果客户托管式密钥已禁用，我们建议您启用它。有关更多信息，请参阅启用密钥。如果密钥策略已更改并且您想要继续使用端点，我们建议您更新 AWS KMS 密钥策略。有关更多信息，请参阅更改密钥政策。

AWS KMS 权限

检查是否存在配置为单可用区的 Amazon DocumentDB 集群。

在单可用区架构中运行 Amazon DocumentDB 工作负载不足以处理高度关键的工作负载，最长可能需要 10 分钟时间才能从组件故障中恢复。客户应在其他可用区中部署副本实例，以确保在维护操作、实例故障、组件故障或可用区故障期间保持可用。

c15vnddn2x

黄色：Amazon DocumentDB 集群的实例分布在少于三个可用区中。

绿色：Amazon DocumentDB 集群的实例分布在三个可用区中。

如果您的应用程序要求高可用性，请修改数据库实例，通过副本实例启用多可用区部署。请参阅 Amazon DocumentDB 高可用性和复制

了解 Amazon DocumentDB 集群容错能力

区域和可用区

检查您的 Amazon DynamoDB 表是否启用了时间点恢复。

时间点恢复有助于保护 DynamoDB 表免遭意外写入或删除操作。使用时间点恢复，您不必担心创建、维护或计划按需备份。时间点恢复可将表还原到最近 35 天中的任何时间点。DynamoDB 维护表的增量备份。

有关更多信息，请参阅 DynamoDB 时间点恢复。

c18d2gz138

AWS Config Managed Rule: dynamodb-pitr-enabled

黄色：您的 DynamoDB 表未启用时间点恢复。

在 Amazon DynamoDB 中开启时间点恢复以持续备份您的表数据。

有关更多信息，请参阅时间点恢复：工作原理。

DynamoDB 的时间点恢复

检查 Amazon DynamoDB 表是否为 AWS Backup 计划的一部分。

AWS Backup 为 DynamoDB 表提供增量备份，用于捕获自上次备份以来所做的更改。在 AWS Backup 计划中包含 DynamoDB 表有助于保护您的数据免受意外数据丢失的影响，并自动执行备份过程。这为您的 DynamoDB 表提供了可靠且可扩展的备份解决方案，有助于确保您的宝贵数据得到保护并可根据需要进行恢复。

有关更多信息，请参阅使用 AWS Backup 创建 DynamoDB 表的备份

c18d2gz107

AWS Config Managed Rule: dynamodb-in-backup-plan

黄色：AWS Backup 计划中未包含 Amazon DynamoDB 表。

确保 AWS Backup 计划中包含您的 Amazon DynamoDB 表。

计划备份

什么是 AWS Backup？

使用 AWS Backup 控制台创建备份计划

检查 AWS Backup 的备份计划中是否存在 Amazon EBS 卷。

将 Amazon EBS 卷纳入 AWS Backup 计划，以自动定期备份存储在这些卷上的数据。这可以防止数据丢失，使数据管理更容易，并允许在需要时恢复数据。备份计划有助于确保您的数据安全，并且能够满足应用程序和服务的恢复时间和恢复点目标（RTO/RPO）。

有关更多信息，请参阅创建备份计划

c18d2gz106

AWS Config Managed Rule: ebs-in-backup-plan

黄色：AWS Backup 计划中未包含 Amazon EBS 卷。

确保您的 Amazon EBS 卷是 AWS Backup 计划的一部分。

使用 AWS Backup 控制台创建备份计划

什么是 AWS Backup？

入门 3：创建计划备份

检查 Amazon EBS 卷（可用或正在使用）的快照的存在时间。即使复制了 Amazon EBS 卷，也可能会发生故障。快照被持久化到 Amazon S3 中以实现持久存储和时间点恢复。

H7IgTzjTYb

每周或每月为卷创建一次快照。有关更多信息，请参阅创建 Amazon EBS 快照。

要自动创建 EBS 快照，您可以考虑使用 AWS Backup 或 Amazon Data Lifecycle Manager。

Amazon Elastic Block Store（Amazon EBS）

Amazon EBS Snapshots

AWS Backup

Amazon Data Lifecycle Manager

检查与经典负载均衡器关联的 Amazon EC2 Auto Scaling 组是否正在使用 Elastic Load Balancing 运行状况检查。自动扩缩组的默认运行状况检查只有 Amazon EC2 状态检查。如果某个实例未通过这些状态检查，则将该实例标记为运行状况不佳并终止该实例。Amazon EC2 Auto Scaling 会启动一个新替代实例。Elastic Load Balancing 运行状况检查会定期监控 Amazon EC2 实例，以检测和终止运行状况不佳的实例，再启动新实例。

有关更多信息，请参阅新增 Elastic Load Balancing 运行状况检查。

c18d2gz104

AWS Config Managed Rule: autoscaling-group-elb-healthcheck-required

黄色：附加到经典负载均衡器的 Amazon EC2 Auto Scaling 组未启用 Elastic Load Balancing 运行状况检查。

确保与经典负载均衡器关联的自动扩缩组使用 Elastic Load Balancing 运行状况检查。

Elastic Load Balancing 运行状况检查报告负载均衡器是否运行状况良好以及是否可用于处理请求。这可为您的应用程序确保高可用性。

有关更多详细，请参阅向自动扩缩组添加 Elastic Load Balancing 运行状况检查

检查使用多种实例类型的 Amazon EC2 Auto Scaling 组是否启用了容量再平衡。

为 Amazon EC2 Auto Scaling 组配置容量再平衡有助于确保 Amazon EC2 实例在各可用区均匀分布，而不受实例类型和购买选项的影响。该功能使用与该组关联的目标跟踪策略，例如 CPU 利用率或网络流量。

有关更多信息，请参阅具有多个实例类型和购买选项的自动扩缩组。

AWS Config c18d2gz103

AWS Config 托管规则：autoscaling-capacity-rebalancing

黄色：Amazon EC2 Auto Scaling 组容量再平衡未启用。

确保使用多种实例类型的 Amazon EC2 Auto Scaling 组已启用容量再平衡。

有关更多信息，请参阅启用容量再平衡（控制台）

检查 Amazon EC2 Auto Scaling 组是否部署在多个可用区中，或是否指定了最少可用区数量。在多个可用区中部署 Amazon EC2 实例以确保高可用性。

您可以使用 AWS Config 规则中的 minAvailibilityZones 参数来调整最少可用区数量。

有关更多信息，请参阅具有多个实例类型和购买选项的自动扩缩组。

c18d2gz101

AWS Config Managed Rule: autoscaling-multiple-az

红色：Amazon EC2 Auto Scaling 组未配置多个可用区，或者未达到指定的最少可用区数量。

请确保您的 Amazon EC2 Auto Scaling 组配置了多个可用区。在多个可用区中部署 Amazon EC2 实例以确保高可用性。

使用启动模板创建自动扩缩组

使用启动配置创建自动扩缩组

检查 Amazon Elastic Compute Cloud (Amazon EC2) 实例在一个区域的可用区之间的分布。

可用区的位置各不相同，用于隔离其他可用区的故障。相同区域中的可用区之间通过廉价、低延迟的网络相连。通过启动相同区域中的多个可用区内的实例，您可以保护您的应用程序不受单点故障的影响。

wuy7G1zxql

在多个可用区之间平均分配 Amazon EC2 实例。您可以手动启动实例或使用 Auto Scaling 自动进行来实现此操作。有关更多信息，请参阅启动实例和对您的自动扩缩组进行负载均衡。

检查是否已为 Amazon EC2 实例启用详细监控。

Amazon EC2 详细监控提供了更频繁的指标，每隔一分钟发布一次，而不是 Amazon EC2 基本监控中每五分钟发布一次。启用对 Amazon EC2 的详细监控可帮助您更好地管理 Amazon EC2 资源，以便您可以找到趋势并更快地采取措施。

有关更多信息，请参阅基本监控和详细监控。

AWS Config c18d2gz144

AWS Config 托管规则：ec2-instance-detailed-monitoring-enabled

黄色：未启用对 Amazon EC2 实例的详细监控。

开启对您的 Amazon EC2 实例的详细监控，以提高将 Amazon EC2 指标数据发布到 Amazon CloudWatch 的频率（间隔从 5 分钟到 1 分钟）。

检查 Amazon ECS 任务定义是否配置了处于阻塞模式的 AWSLogs 日志记录驱动程序。在阻塞模式下配置的驱动程序可能会对系统可用性造成风险。

此检查不考虑账户级别的驱动程序配置设置。

c1dvkm4z6b

黄色：awslogs 驱动程序日志记录配置参数模式设置为阻塞。

绿色：Amazon ECS 任务定义未使用 awslogs 驱动程序，或在非阻塞模式下配置了 awslogs 驱动程序。

为了降低可用性风险，请考虑将任务定义 AWSLogs 驱动程序的配置从阻塞模式改为非阻塞模式。在非阻塞模式下，您必须为 max-buffer-size 参数设置一个值。有关更多信息，请参阅在 AWSLogs 容器日志驱动程序中使用非阻塞模式防止日志丢失。

使用 AWSLogs 日志驱动程序

选择容器日志记录选项以避免出现背压

在 AWSLogs 容器日志驱动程序中使用非阻塞模式防止日志丢失

检查您的服务配置是否使用单个可用区（AZ）。

一个可用区是一个不同的位置，它与其他区域的故障隔离开来。此功能支持同一 AWS 区域 中各可用区之间廉价、低延迟的网络连接。通过启动相同区域中多个可用区内的实例，您可以保护您的应用程序不受单点故障的影响。

c1z7dfpz01

为不同可用区中的服务至少再创建一个任务。

Amazon ECS 容量和可用性

检查您的 Amazon ECS 服务是否使用基于可用区（AZ）的分布放置策略。此策略在同一 AWS 区域 的多个可用区内分配任务，有助于保护您的应用程序不受单点故障的影响。

对于作为 Amazon ECS 服务的一部分运行的任务，默认的任务放置策略为分布。

此检查还会验证分布是否是已启用的放置策略列表中的第一个或唯一的策略。

c1z7dfpz02

启用分布任务放置策略，将任务分配到多个可用区。验证按可用区分布是所有已启用任务放置策略的第一个策略或是使用的唯一策略。如果您选择管理可用区放置，则可以在另一个可用区中使用镜像服务来降低这类风险。

Amazon ECS 任务放置策略

检查 Amazon EFS 文件系统的多个可用区中是否存在挂载目标。

每个可用区是一个不同的位置，它与其他区域的故障隔离开来。通过在一个亚马逊云科技区域内多个地理上分离的可用区中创建挂载目标，您可以为 Amazon EFS 文件系统实现最高级别的可用性和持久性。

c1dfprch01

对于使用单区存储类的 EFS 文件系统，我们建议您通过将备份还原到新的文件系统来创建使用标准存储类的新文件系统。然后，在多个可用区中创建挂载目标。

对于使用标准存储类的 EFS 文件系统，建议您在多个可用区中创建挂载目标。

检查 AWS Backup 的备份计划中是否包含 Amazon EFS 文件系统。

AWS Backup 是一种统一备份服务，旨在简化备份的创建、迁移、恢复和删除，同时提供改进的报告和审核。

有关更多信息，请参阅备份您的 Amazon EFS 文件系统。

c18d2gz117

AWS Config Managed Rule: EFS_IN_BACKUP_PLAN

红色：AWS Backup 计划中不包含 Amazon EFS 文件系统。

确保您的 AWS Backup 计划中包含 Amazon EFS 文件系统，以防数据意外丢失或数据损坏。

备份您的 Amazon EFS 文件系统

使用 AWS Backup 进行 Amazon EFS 备份和还原。

检查部署在单个可用区（AZ）中的 ElastiCache 集群。如果集群中的多可用区处于非活动状态，则此检查会提示您。

在多个可用区中部署可异步复制到不同可用区中的只读副本，从而增强 ElastiCache 集群可用性。当发生计划内集群维护或主节点不可用时，ElastiCache 会自动将副本提升为主节点。这种失效转移允许恢复集群写入操作，并且不需要管理员干预。

ECHdfsQ402

在与主分片不同的可用区中，每个分片至少创建一个副本。

有关更多信息，请参阅通过多可用区最大程度地减少 ElastiCache（Redis OSS）的停机时间。

检查 Amazon ElastiCache (Redis OSS) 集群是否开启了自动备份，以及快照保留期是否高于指定的限制或 15 天的默认限制。启用自动备份后，ElastiCache 会每天为集群创建一个备份。

您可以使用 AWS Config 规则的 snapshotRetentionPeriod 参数指定所需的快照保留期限。

有关更多信息，请参阅 ElastiCache (Redis OSS) 备份和还原。

c18d2gz178

AWS Config Managed Rule: elasticache-redis-cluster-automatic-backup-check

红色：Amazon ElastiCache (Redis OSS) 集群未开启自动备份或快照保留期低于限制。

确保 Amazon ElastiCache (Redis OSS) 集群已开启自动备份，且快照保留期高于指定的限制或 15 天的默认限制。自动备份可以帮助防止数据丢失。节点发生故障时，您可以通过从最新的备份还原所有数据来创建新集群。

有关更多信息，请参阅 ElastiCache (Redis OSS) 备份和还原。

有关更多信息，请参阅计划自动备份。

检查部署在单个可用区（AZ）中的 MemoryDB 集群。如果集群中的多可用区处于非活动状态，则此检查会提示您。

在多个可用区中部署可异步复制到不同可用区中的只读副本，从而增强 MemoryDB 集群可用性。当发生计划内集群维护或主节点不可用时，MemoryDB 会自动将副本提升为主节点。这种失效转移允许恢复集群写入操作，并且不需要管理员干预。

MDBdfsQ401

在与主分片不同的可用区中，每个分片至少创建一个副本。

有关更多信息，请参阅 Minimizing downtime in MemoryDB with Multi-AZ（通过多可用区最大程度地减少 MemoryDB 停机时间）。

检查 Managed Streaming for Kafka（MSK）集群的代理分配的分区数量是否未超过建议的数量。

Cmsvnj8vf1

按照 MSK 建议的最佳实践来扩展您的 MSK 集群或删除任何未使用的分区。

检查您的 Amazon MSK 预置集群的可用区（AZ）数量。Amazon MSK 集群由多个协同工作的代理组成，这些代理会分发数据和负载。在 2 个可用区架构的集群中，在执行维护操作或出现代理问题期间，生产可能会中断。

90046ff5b5

为了提高集群的可用性，可创建另一个采用 3 个可用区架构的集群。然后将现有集群迁移至新创建的集群。可以使用 Amazon MSK 复制进行此次迁移。

Amazon MSK 高可用性

Amazon MSK 迁移

检查 Amazon OpenSearch Service 域是否配置了至少三个数据节且 ZoneAwarenessEnabled 为 true。启用 ZoneAwarenessEnabled 后，Amazon OpenSearch Service 可确保将每个主分片及其对应的副本分配到不同的可用区。

有关更多信息，请参阅在 Amazon OpenSearch Service 中配置多可用区域。

c18d2gz183

AWS Config Managed Rule: opensearch-data-node-fault-tolerance

黄色：Amazon OpenSearch Service 域配置的数据节点少于三个。

确保为 Amazon OpenSearch Service 域配置至少三个数据节点。配置多可用区域，通过在同一区域内的三个可用区之间分配节点和复制数据，来提高 Amazon OpenSearch Service 集群的可用性。当节点或数据中心（可用区）出现故障时，这可以防止数据丢失并最大程度地缩短停机时间。

有关更多信息，请参阅通过在三个可用区中部署来提高 Amazon OpenSearch Service 的可用性。

检查 Amazon RDS 数据库实例的自动备份。

默认情况下，启用备份，保留期为一天。备份可以降低意外数据丢失的风险，并允许进行时间点恢复。

opQPADkZvH

红色：数据库实例将备份保留期设置为 0 天。

根据您的应用程序的要求，将数据库实例的自动备份的保留期设置为 1 到 35 天。请参阅使用自动备份。

Amazon RDS 入门

检查 Amazon RDS 实例是否已通过 Amazon RDS 启用自动备份，或者是否已启用 AWS Backup 的连续备份。连续备份可以降低意外数据丢失的风险，并允许进行时间点恢复。

44fde09ab5

确保 Amazon RDS 实例已配置自动备份，配置方式包括：在 Amazon RDS 中将备份保留期设置为大于 0 的值，或使用 AWS Backup 创建连续备份计划。

向数据库集群中至少再添加一个数据库实例，以提高可用性和性能。

c1qf5bt011

黄色：数据库集群仅包含一个数据库实例。

向数据库集群添加一个读取器数据库实例。

在当前配置下，单个数据库实例同时处理读取和写入操作。您可以添加另一个数据库实例，以实现读取操作的重新分配并获得失效转移选项。

有关更多信息，请参阅 Amazon Aurora 的高可用性。

数据库集群目前位于单个可用区中。使用多个可用区来提高可用性。

c1qf5bt007

黄色：数据库集群的所有实例都在同一可用区中。

将数据库实例添加到数据库集群中的多个可用区。

建议您将数据库实例添加到数据库集群中的多个可用区。将数据库实例添加到多个可用区可提高数据库集群的可用性。

有关更多信息，请参阅 Amazon Aurora 的高可用性。

您的数据库集群的所有读取器实例都在同一个可用区中。建议您将读取器实例分布在数据库集群中的多个可用区。

这种分布方式可提高数据库的可用性，并通过减少客户端与数据库之间的网络延迟来缩短响应时间。

c1qf5bt018

红色：数据库集群的读取器实例在同一可用区中。

将读取器实例分布在多个可用区中。

在每个 AWS 区域内，可用区（AZ）是相互不同的位置，以便在发生中断时提供隔离。建议您将数据库集群中的主实例和读取器实例分配到多个可用区，以提高数据库集群的可用性。在创建集群时，您可以使用 AWS 管理控制台、AWS CLI 或 Amazon RDS API 创建多可用区集群。您可以通过添加新的读取器实例并指定不同的可用区，修改现有 Aurora 集群以转为多可用区集群。

有关更多信息，请参阅 Amazon Aurora 的高可用性。

检查您的 Amazon RDS 数据库实例是否已启用增强监控。

Amazon RDS 增强监控提供运行数据库实例的操作系统（OS）的实时指标。可以在 Amazon RDS 控制台上查看 Amazon RDS 数据库实例的所有系统指标和过程信息。而且，您可以自定义控制面板。借助增强监控，您可以近乎实时地查看 Amazon RDS 实例的运行状态，从而更快地响应操作问题。

您可以使用 AWS Config 规则的 monitoringInterval 参数指定所需的监控间隔。

有关更多信息，请参阅增强监测概述和增强监控中的操作系统指标。

c18d2gz158

AWS Config Managed Rule: rds-enhanced-monitoring-enabled

黄色：您的 Amazon RDS 数据库实例未启用增强监控，或未配置所需的间隔。

为您的 Amazon RDS 数据库实例启用增强监控，以提高 Amazon RDS 实例运行状态的可见性。

有关更多信息，请参阅使用增强监控来监控操作系统指标。

增强监控中的操作系统指标

您的数据库实例没有开启 Amazon RDS 存储自动扩缩功能。当数据库工作负载增加时，RDS 存储自动扩缩功能会自动扩展存储容量，且停机时间为零。

c1qf5bt013

红色：数据库实例未开启存储自动扩缩功能。

开启 Amazon RDS 存储自动扩缩功能，并设置指定的最大存储阈值。

当数据库工作负载增加时，Amazon RDS 存储自动扩缩功能会自动扩展存储容量，且停机时间为零。存储自动扩缩功能会监控存储使用情况，并在使用量接近预配置的存储容量时自动扩展容量。您可以指定 Amazon RDS 可为数据库实例分配的存储空间的上限。存储自动扩缩功能不额外收费。您只需为分配给您的数据库实例的 Amazon RDS 资源付费即可。建议您开启 Amazon RDS 存储自动扩缩功能。

有关详细信息，请参阅使用 Amazon RDS 存储自动扩展功能自动管理容量。

建议您使用多可用区部署。多可用区部署可增强数据库实例的可用性和持久性。

c1qf5bt019

黄色：数据库实例未使用多可用区部署。

为受影响的数据库实例设置多可用区。

在 Amazon RDS Multi-AZ 部署中，Amazon RDS 会自动创建一个主数据库实例，并将数据复制到不同可用区中的另一个实例。当检测到故障时，Amazon RDS 会自动执行故障转移到备用实例，无需人工干预。

有关更多信息，请参阅定价。

检查 CloudWatch 指标 DiskQueueDepth 是否显示 RDS 实例数据库存储的排队写入次数已增长到应建议进行运行调查的水平。

Cmsvnj8db3

考虑迁移至支持读/写特性的实例和存储卷。

检查 RDS 数据库实例的 FreeStorageSpace CloudWatch 指标是否已降低到低于正常运行合理的阈值。

Cmsvnj8db2

使用 Amazon RDS 管理控制台、Amazon RDS API 或 AWS 命令行界面，为可用存储空间不足的 RDS 数据库实例纵向扩展存储空间。

当 log_output 设置为 TABLE 时，使用的存储空间要比 log_output 设置为 FILE 时使用的存储空间更多。建议您将此参数设置为 FILE，以避免达到存储大小限制。

c1qf5bt023

黄色：数据库参数组中的 log_output 参数设置为 TABLE。

在数据库参数组中将 log_output 参数值设置为 FILE。

有关更多信息，请参阅 MySQL 数据库日志文件。

您的数据库实例遇到一个已知问题：在低于 8.0.26 版本的 MySQL 中，如果创建的表将 row_format 设置为 COMPACT 或 REDUNDANT，当索引超过 767 字节时，该表将不可访问且无法恢复。

建议您将 innodb_default_row_format 参数值设置为 DYNAMIC。

c1qf5bt036

红色：数据库参数组的 innodb_default_row_format 参数设置不安全。

将 innodb_default_row_format 参数设置为 DYNAMIC。

在低于 8.0.26 版本的 MySQL 中，若创建表时将 row_format 设置为 COMPACT 或 REDUNDANT，系统不会强制要求创建的索引键前缀长度小于 767 字节。数据库重启后，这些表将不可访问且无法恢复。

有关更多信息，请参阅 MySQL 文档网站上的 MySQL 8.0.26 版本变更（2021 年 7 月 20 日正式发布）。

数据库实例的 innodb_flush_log_at_trx_commit 参数值并非安全值。此参数控制向磁盘提交操作的持久性。

建议您将 innodb_flush_log_at_trx_commit 参数设置为 1。

c1qf5bt030

黄色：数据库参数组的 innodb_flush_log_at_trx_commit 设置为 1 以外的值。

将 innodb_flush_log_at_trx_commit 参数值设置为 1

当日志缓冲区保存到持久性存储中时，数据库事务具备持久性。但保存到磁盘会影响性能。根据为 innodb_flush_log_at_trx_commit 参数设置的值，日志写入和保存到磁盘的行为可能会有所不同。

有关更多信息，请参阅为 Amazon RDS for MySQL 配置参数的最佳实践，第 1 部分：与性能相关的参数。

对于您的数据库实例，每个数据库账户的最大同时连接数的值较低。

建议您将 max_user_connections 参数设置为大于 5 的数字。

c1qf5bt034

黄色：数据库参数组的 max_user_connections 配置不正确。

将 max_user_connections 参数的值增加到大于 5 的数字。

max_user_connections 设置用于控制 MySQL 用户账户允许的最大并发连接数。若达到此连接限制，会导致 Amazon RDS 实例管理操作（例如备份、修补和参数更改）失败。

有关更多信息，请参阅 MySQL 文档网站上的设置账户资源限制。

检查部署在单个可用区 (AZ) 中的数据库实例。

多可用区部署通过同步复制到不同可用区中的备用实例，增强数据库可用性。在计划的数据库维护期间，或在数据库实例或可用区发生故障时，Amazon RDS 会自动将故障转移到备用实例。通过此失效转移，数据库操作将快速恢复，无需管理干预。由于 Amazon RDS 不支持 Microsoft SQL Server 的多可用区部署，因此此检查不会检查 SQL Server 实例。

f2iK5R6Dep

黄色：在单个可用区中部署数据库实例。

如果您的应用程序要求高可用性，请将您的数据库实例修改为启用多可用区部署。请参阅高可用性（多可用区）。

区域和可用区

检查您的 Amazon RDS 数据库实例是否包含在 AWS Backup 的备份计划中。

AWS Backup 是一项完全托管的备份服务，让您可以轻松地集中管理和自动执行跨 AWS 服务的数据备份。

将您的 Amazon RDS 数据库实例纳入备份计划，对于监管合规义务、灾难恢复、数据保护业务策略和业务连续性目标而言非常重要。

有关更多信息，请参阅什么是 AWS Backup？。

c18d2gz159

AWS Config Managed Rule: rds-in-backup-plan

黄色：Amazon RDS 数据库实例未包含在 AWS Backup 的备份计划中。

将您的 Amazon RDS 数据库实例纳入 AWS Backup 的备份计划中。

有关更多信息，请参阅使用 AWS Backup 进行 Amazon RDS 备份与还原。

将资源分配给备份计划

您的数据库实例的只读副本处于可写模式，这允许来自客户端的更新。

建议您将 read_only 参数设置为 TrueIfReplica，这样只读副本就不会处于可写模式。

c1qf5bt035

黄色：数据库参数组为只读副本开启了可写模式。

将 read_only 参数值设置为 TrueIfReplica。

read_only 参数用于控制客户端对数据库实例的写入权限。此参数的默认值为 TrueIfReplica。对于副本实例，TrueIfReplica 会将 read_only 的值设为 ON (1)，并禁止客户端的任何写入活动。对于主实例/写入器实例，TrueIfReplica 会将该值设置为 OFF (0)，并启用客户端对该实例的写入活动。在可写模式下打开只读副本时，存储在此实例中的数据可能会与主实例产生差异，从而导致复制错误。

有关更多信息，请参阅 MySQL 文档网站上的为 Amazon RDS for MySQL 配置参数的最佳实践，第 2 部分：与复制相关的参数。

您的数据库资源已禁用自动备份功能。自动备份可实现数据库实例的时间点恢复。

c1qf5bt001

红色：Amazon RDS 资源未开启自动备份功能

开启自动备份，保留期最长为 14 天。

自动备份可实现数据库实例的时间点恢复。建议开启自动备份功能。为数据库实例开启自动备份功能后，Amazon RDS 会在您的首选备份窗口内每天自动对您的数据执行完整备份。当数据库实例有更新时，备份会捕获事务日志。您可获得与数据库实例的存储容量相当的备份存储空间，无需额外付费。

有关更多信息，请参阅以下资源：

在数据库实例中确认事务提交之前，不会强制将二进制日志同步到磁盘。

建议您将 sync_binlog 参数值设置为 1。

c1qf5bt031

黄色：数据库参数组的同步二进制日志记录功能已关闭。

将 sync_binlog 参数设置为 1。

sync_binlog 参数用于控制 MySQL 如何将二进制日志写入磁盘。当此参数的值设置为 1 时，它会在提交事务前开启将二进制日志同步到磁盘的功能。当此参数的值设置为 0 时，它会关闭将二进制日志同步到磁盘的功能。通常情况下，MySQL 服务器会像处理其他文件一样，依赖操作系统定期将二进制日志写入磁盘。将 sync_binlog 参数值设置为 0 可以提升性能。但在出现停电或操作系统崩溃期间，服务器会丢失所有尚未同步到二进制日志的已提交事务。

有关更多信息，请参阅为 Amazon RDS for MySQL 配置参数的最佳实践，第 2 部分：与复制相关的参数。

检查您的 Amazon RDS 数据库集群是否已启用多可用区复制。

多可用区数据库集群在三个独立可用区中有一个写入器数据库实例和两个读取器数据库实例。与多可用区部署相比，多可用区数据库集群可提供高可用性、增加读取工作负载容量以及更低的延迟。

有关更多信息，请参阅创建多可用区数据库集群。

c18d2gz161

AWS Config Managed Rule: rds-cluster-multi-az-enabled

黄色：您的 Amazon RDS 数据库集群未配置多可用区复制

创建 Amazon RDS 数据库集群时开启多可用区数据库集群部署。

有关更多信息，请参阅创建多可用区数据库集群。

多可用区数据库集群部署

检查您的 Amazon RDS 数据库实例是否已配置多可用区备用副本。

Amazon RDS Multi-AZ 通过将数据复制到不同可用区中的备用副本，为数据库实例提供高可用性和持久性。这提供了自动失效转移，提高了性能并增强了数据持久性。在多可用区数据库实例部署中，Amazon RDS 会自动在不同可用区中配置和维护一个同步备用副本。主数据库实例将跨可用区同步复制到备用副本，以提供数据冗余并在系统备份期间将延迟峰值降至最小。在计划内的系统维护期间，运行具有高可用性的数据库实例可提高可用性。它还可以帮助您保护数据库，以防数据库实例发生故障和可用区中断。

有关更多信息，请参阅多可用区数据库实例部署。

c18d2gz156

AWS Config Managed Rule: rds-multi-az-support

黄色：Amazon RDS 数据库实例未配置多可用区副本。

创建 Amazon RDS 数据库实例时开启多可用区部署。

无法从 Trusted Advisor 控制台的视图中排除此检查。

多可用区数据库实例部署

检查 RDS 数据库实例的 ReplicaLag CloudWatch 指标在过去一周内是否已增加到高于操作上合理的阈值。

ReplicaLag 指标衡量只读副本落后于主实例的秒数。当对只读副本进行的异步更新无法跟上主数据库实例上所发生的更新时，即可出现复制延迟。主实例发生故障时，如果 ReplicaLag 高于正常运行合理的阈值，则只读副本中可能会丢失数据。

Cmsvnj8db1

ReplicaLag 高于正常运行安全水平有多种可能的原因。例如，它可能是由于最近替换/启动了较旧备份中的副本实例，而这些副本需要大量时间来“追赶”主数据库实例和实时事务。随着追赶的发生，此 ReplicaLag 可能会随着时间的推移而减少。另一个例子可能是，在主数据库实例上能够实现的事务速度高于复制过程或副本基础架构能够匹配的速度。由于复制无法跟上主数据库的性能，此 ReplicaLag 可能会随着时间的推移而增长。最后，工作负载可能会在一天/一个月等的不同时段中突增，从而导致 ReplicaLag 偶尔会落后。您的团队应调查哪些可能的根本原因导致了数据库的 ReplicaLag 过高，并可能更改数据库实例类型或工作负载的其他特征，以确保副本上的数据连续性符合您的要求。

关闭 synchronous_commit 参数后，数据库崩溃可能会导致数据丢失。数据库的持久性受到威胁。

建议您开启 synchronous_commit 参数。

c1qf5bt026

红色：数据库参数组的 synchronous_commit 参数已关闭。

在数据库参数组中开启 synchronous_commit 参数。

synchronous_commit 参数用于定义数据库服务器向客户端发送成功通知前，预写日志 (WAL) 进程需完成的程度。这种提交方式之所以被称为异步提交，是因为客户端会在 WAL 将事务保存到磁盘之前确认事务提交。如果关闭 synchronous_commit 参数，则事务可能会丢失，数据库实例的持久性可能受损，且在数据库崩溃时数据可能会丢失。

有关更多信息，请参阅 MySQL 数据库日志文件。

检查您的 Amazon Redshift 集群是否已启用自动快照。

Amazon Redshift 会自动拍摄递增快照，来跟踪自上次自动快照拍摄以来集群发生的变化。自动快照保留从快照还原集群所需的全部数据。要禁用自动快照，只需将保留期设置为零即可。您不能为 RA3 节点类型禁用自动快照。

您可以使用 AWS Config 规则的 MinRetentionPeriod 和 MaxRetentionPeriod 参数指定所需的最小和最大保留期。

Amazon Redshift 快照和备份

c18d2gz135

AWS Config Managed Rule: redshift-backup-enabled

红色：Amazon Redshift 未在所需的保留期内配置自动快照。

确保为您的 Amazon Redshift 集群启用自动快照。

有关更多信息，请参阅使用控制台管理快照。

Amazon Redshift 快照和备份

有关更多信息，请参阅使用备份。

检查与已删除的运行状况检查关联的资源记录集。

Route 53 不会禁止您删除与一个或多个资源记录集关联的运行状况检查。如果您删除运行状况检查而不更新关联的资源记录集，则 DNS 故障转移配置的 DNS 查询路由将无法按预期运行。

AWS 服务创建的托管区域将不会显示在您的检查结果中。

Cb877eB72b

黄色：资源记录集与已删除的运行状况检查关联。

创建新的运行状况检查，并将其与资源记录集关联。请参阅创建、更新和删除运行状况检查和为资源记录集添加运行状况检查。

检查具有错误配置的 Amazon Route 53 失效转移资源记录集。

当 Amazon Route 53 运行状况检查确定主资源运行状况不佳时，Amazon Route 53 会使用辅助备份资源记录集响应查询。您必须创建正确配置的主资源记录集和辅助资源记录集，以便进行失效转移。

AWS 服务创建的托管区域将不会显示在您的检查结果中。

b73EEdD790

如果失效转移资源集缺失，则创建相应的资源记录集。请参阅创建失效转移资源记录集。

如果您的资源记录集与同一个运行状况检查关联，则为其创建单独的运行状况检查。请参阅创建、更新和删除运行状况检查。

Amazon Route 53 运行状况检查和 DNS 故障转移

检查可以从较低的存活时间 (TTL) 值中获益的资源记录集。

TTL 指的是 DNS 解析程序缓存资源记录集的秒数。当您指定长 TTL 时，DNS 解析程序需要更长的时间来请求更新的 DNS 记录，这可能会导致重新路由流量发生不必要的延迟（例如，当 DNS 故障转移检测到其中某个端点发生故障并进行响应时）。此项检查仅检查包含失效转移策略的记录，或者存在关联运行状况检查的记录。

AWS 服务创建的托管区域将不会显示在您的检查结果中。

C056F80cR3

为列出的资源记录集输入 60 秒的 TTL 值。有关更多信息，请参阅使用资源记录集。

Amazon Route 53 运行状况检查和 DNS 故障转移

检查您的域注册商或 DNS 未使用正确的 Route 53 名称服务器的 Amazon Route 53 托管区域。

当您创建托管区域时，Route 53 将会分配一组四个委托名称服务器。这些服务器的名称为 ns-###.awsdns-##.com、.net、.org 和 .co.uk，其中 ### 和 ## 通常表示不同的数字。在 Route 53 为您的域路由 DNS 查询之前，您必须更新注册商的域名服务器配置以删除注册商分配的名称服务器。然后，您必须在 Route 53 委托集中添加所有四个名称服务器。为了获得最大的可用性，您必须添加所有四个 Route 53 名称服务器。

AWS 服务创建的托管区域不会显示在您的检查结果中。

cF171Db240

黄色：有托管区的域注册器并未使用委托集中的全部四个 Route 53 名称服务器。

通过注册器或域当前的 DNS 服务添加或更新名称服务器记录，以将全部四个名称服务器包含在 Route 53 委托集中。要找到这些值，请参阅获取托管区域的名称服务器。有关添加或更新名称服务器记录的信息，请参阅创建域和子域并迁移到 Amazon Route 53。

使用托管区域

检查您的服务配置是否在至少两个可用区（AZ）中指定了 IP 地址以实现冗余。一个可用区是一个不同的位置，它与其他区域的故障隔离开来。通过指定相同区域中多个可用区内的 IP 地址，您可以保护您的应用程序不受单点故障的影响。

Chrv231ch1

在至少两个可用区中指定 IP 地址以实现冗余。

检查您的 Amazon S3 桶是否为跨区域复制和/或同区域复制启用了复制规则。

复制是跨相同或不同 AWS 区域中的存储桶自动、异步复制对象。复制操作会将源存储桶中新创建的对象和对象更新复制到目标存储桶。使用 Amazon S3 桶复制来帮助提高应用程序和数据存储的恢复能力和合规性。

有关更多信息，请参阅复制对象。

c18d2gz119

AWS Config Managed Rule: s3-bucket-replication-enabled

黄色：未为跨区域复制和/或同区域复制启用 Amazon S3 桶复制规则。

开启 Amazon S3 桶复制规则，以提高应用程序和数据存储的恢复能力和合规性。

有关更多信息，请参阅查看您的备份任务和恢复点和设置复制。

演练：配置复制的示例

检查未启用版本控制或已暂停版本控制的 Amazon Simple Storage Service 存储桶。

启用版本控制时，您可以轻松从用户意外操作和应用程序故障中恢复数据。对于存储桶中存储的每个对象，您可以使用版本控制功能来保留、检索和还原它们的任何版本。通过自动将对象归档到 Glacier 存储类，您可以使用生命周期规则来管理对象的所有版本及其相关成本。还可以将规则配置为在指定时间段后删除对象的版本。对于对存储桶进行的任何对象删除或配置更改，您也可以要求进行多重身份验证 (MFA)。

版本控制在启用后无法被停用。但是，它可以暂停，从而防止创建新版本的对象。使用版本控制会增加 Amazon S3 的成本，因为您需要支付多个版本的对象的存储费用。

R365s2Qddf

在大多数存储桶中启用版本控制以防止意外删除或覆盖。请参阅使用版本控制和以编程方式启用版本控制。

如果存储桶版本控制已暂停，请考虑重新启用版本控制。有关使用已暂停版本控制的存储桶中的对象的信息，请参阅管理已暂停版本控制的存储桶中的对象。

当版本控制处于已启用或已暂停状态时，您可以定义生命周期配置规则来将某些对象版本标记为已过期，或永久删除不需要的对象版本。有关更多信息，请参阅对象生命周期管理。

当存储桶版本控制状态更改或当对象的版本删除时，MFA 删除需要进行额外的身份验证。它要求用户输入凭证和来自批准的身份验证设备的代码。有关更多信息，请参阅 MFA 删除。

使用存储桶

检查您的负载均衡器（应用程序、网络和网关负载均衡器）是否配置了跨多个可用区的子网。

您可以在 AWS Config 规则的 minAvailabilityZones 参数中指定所需的最少可用区数。

有关更多信息，请参阅应用程序负载均衡器的可用区、可用区 – 网络负载均衡器和创建网关负载均衡器。

c18d2gz169

AWS Config Managed Rule: elbv2-multiple-az

黄色：应用程序、网络或网关负载均衡器在少于两个可用区中配置了子网。

为应用程序、网络和网关负载均衡器配置跨多个可用区的子网。

应用程序负载均衡器的可用区

可用区（Elastic Load Balancing）

创建网关负载均衡器

检查目标子网中是否还有足够的可用 IP。当自动扩缩组达到其最大大小并需要启动更多实例时，拥有足够的 IP 可供使用会有所帮助。

Cjxm268ch1

增加可用 IP 地址数

检查 Auto Scaling 组的运行状况检查配置。

如果 Auto Scaling 组使用的是 Elastic Load Balancing，则建议的配置是启用 Elastic Load Balancing 运行状况检查。如果未使用 Elastic Load Balancing 运行状况检查，则 Auto Scaling 只能针对 Amazon Elastic Compute Cloud (Amazon EC2) 实例的运行状况进行检查。Auto Scaling 不会对实例上运行的应用程序执行操作。

CLOG40CDO8

如果自动扩缩组有关联的负载均衡器，但 Elastic Load Balancing 运行状况检查未启用，请参阅向自动扩缩组添加 Elastic Load Balancing 运行状况检查。

如果 Elastic Load Balancing 运行状况检查已启用，但没有负载均衡器与自动扩缩组关联，请参阅设置自动扩展且负载均衡的应用程序。

Amazon EC2 Auto Scaling 用户指南

检查与启动配置、启动模板和自动扩缩组关联的资源的可用性。

指向不可用资源的 Auto Scaling 组无法启动新的 Amazon Elastic Compute Cloud (Amazon EC2) 实例。如果配置正确，Auto Scaling 会在需求高峰期间无缝增加 Amazon EC2 实例的数量，并在需求平缓期间自动减少该数量。指向不可用资源的自动扩缩组和启动配置/启动模板不能按预期运行。

8CNsSllI5v

如果负载均衡器已删除，可以先创建一个新的负载均衡器或目标组，然后将其关联到自动扩缩组；也可以创建一个不包含负载均衡器的新自动扩缩组。有关创建包含新负载均衡器的新自动扩缩组的信息，请参阅设置自动扩展且负载均衡的应用程序。有关创建不包含负载均衡器的新自动扩缩组的信息，请参阅通过控制台开始使用 Auto Scaling 中的“创建自动扩缩组”。

如果 AMI 已删除，则使用有效的 AMI 创建新的启动配置或启动模板版本，然后将其与自动扩缩组关联。有关如何创建新启动配置的信息，请参阅《Amazon EC2 Auto Scaling 用户指南》中的创建启动配置。有关创建启动模板的信息，请参阅《Amazon EC2 Auto Scaling 用户指南》中的为自动扩缩组创建启动模板。

如果您的启动模板包含引用亚马逊机器映像（AMI）ID 的 AWS Systems Manager 参数，请检查该启动模板，确保这些参数引用了有效的 AMI ID；或者在 AWS Systems Manager 参数存储中进行适当的更改。有关更多信息，请参阅《Amazon EC2 Auto Scaling 用户指南》中的使用 AWS Systems Manager 参数代替 AMI ID。

检查在单个可用区（AZ）中运行 HSM 实例的集群。如果集群存在没有最新备份的风险，则此检查会提示您。

hc0dfs7601

为不同的可用区中的集群至少再创建一个实例。

适用于 AWS CloudHSM 的最佳实践

检查用于将本地环境连接到每个 Direct Connect 网关或虚拟专用网关的 Direct Connect 的弹性。

如果任何 Direct Connect 网关或虚拟专用网关未在至少两个不同的 Direct Connect 位置配置虚拟接口，则此检查会提醒您。缺乏位置韧性可能导致在维护、光纤中断、设备故障或整个位置故障期间出现意外停机时间。

c1dfpnchv2

红色：Direct Connect 网关或虚拟专用网关在单个 Direct Connect 设备上配置了一个或多个虚拟接口。

黄色：Direct Connect 网关或虚拟专用网关在单个 Direct Connect 位置的多个 Direct Connect 设备上配置了虚拟接口。

绿色：Direct Connect 网关或虚拟专用网关配置了跨两个或更多不同 Direct Connect 位置的虚拟接口。

要构建 Direct Connect 位置韧性，可以将 Direct Connect 网关或虚拟专用网关配置为连接到至少两个不同的 Direct Connect 位置。有关更多信息，请参阅 Direct Connect 弹性建议。

Direct Connect Resiliency Recommendations

Direct Connect 失效转移测试

检查 AWS Lambda 函数是否配置了死信队列。

死信队列是 AWS Lambda 允许您捕获和分析失败事件的功能，提供一种相应地处理这些事件的方法。您的代码可能会出现异常、超时或内存不足，从而导致 Lambda 函数的异步执行失败。死信队列存储来自失败调用的消息，提供一种处理消息和排除故障的方法。

您可以使用 AWS Config 规则中的 dlqArns 参数指定要检查的死信队列资源。

有关更多信息，请参阅死信队列。

c18d2gz182

AWS Config Managed Rule: lambda-dlq-check

黄色：AWS Lambda 函数未配置死信队列。

确保您的 AWS Lambda 函数配置了死信队列，以控制所有失败异步调用的消息处理。

有关更多信息，请参阅死信队列。

检查您账户中的 Lambda 函数是否为异步调用配置了故障时事件目标或死信队列（DLQ），以便可以将失败调用的记录路由到目标进行进一步调查或处理。

c1dfprch05

请为您的 Lambda 函数设置故障时事件目标或 DLQ，以便将失败的调用以及其他详细信息发送到其中一个可用的目标亚马逊云科技服务，以供进一步调试或处理。

检查单个可用区中易受服务中断影响、启用 VPC 的 Lambda 函数的 $LATEST 版本。最佳做法是将启用 VPC 的函数连接到多个可用区，以实现高可用性。

L4dfs2Q4C6

黄色：启用 VPC 的 Lambda 函数的 $LATEST 版本连接到单个可用区中的子网。

在配置访问 VPC 的函数时，请选择多个可用区中的子网以确保高可用性。

检查 Outposts 机架的均衡性。此检查会评估客户的 Outposts 实例是部署在多个 Outposts 机架上，还是仅部署在单个 Outposts 机架上。单个 Outposts 机架会针对涉及单个机架的问题（例如环境故障）造成单点故障。通过将 Outposts 部署在多个机架上，可缓解此类场景。

c243hjzrhn

如果您在 AWS Outposts 上运行生产工作负载，则最佳做法是使用以下弹性架构。单个 AWS Outposts 机架部署会造成单点故障。请考虑在该位置添加第二个 AWS Outposts 机架，且该机架需具备足够容量以应对失效转移事件，然后在机架之间分配工作负载。

故障模式 4：机架或数据中心

检查应用程序中的应用程序组件 (AppComponent) 是否处于无法恢复的状态。如果 AppComponent 在发生中断事件时无法恢复，您可能会遇到未知数据丢失和系统停机时间等情况。

RH23stmM04

红色：AppComponent 无法恢复。

为了确保 AppComponent 可恢复，请查看并实施弹性建议，然后进行新的评估。有关查看弹性建议的更多信息，请参阅“其他资源”。

查看弹性建议

AWS Resilience Hub 概念

AWS Resilience Hub《用户指南》

针对未达到策略定义的恢复时间目标（RTO）和恢复点目标（RPO）的应用程序检查 Resilience Hub。如果应用程序未达到您在 Resilience Hub 中为应用程序设置的 RTO 和 RPO 目标，则此检查会提示您。

RH23stmM02

登录 Resilience Hub 控制台并查看建议，以便应用程序达到 RTO 和 RPO 目标。

Resilience Hub 概念

检查您是否对 Resilience Hub 中的应用程序进行了评估。如果恢复能力评分低于特定值，则此检查会提示您。

RH23stmM01

登录 Resilience Hub 控制台并对应用程序进行评估。查看建议以提高恢复能力评分。

Resilience Hub 概念

检查自上次进行应用程序评测以来有多长时间。如果您在指定的天数内没有进行应用程序评测，则此检查会提醒您。

RH23stmM03

登录 Resilience Hub 控制台并对应用程序进行评估。

Resilience Hub 概念

检查每个 AWS Site-to-Site VPN 中处于活动状态的隧道数。

VPN 应始终配置两个隧道。这样可以在亚马逊云科技端点的设备中断或计划进行维护时提供冗余。对于某些硬件，每次只有一个隧道处于活动状态。如果 VPN 没有活动隧道，可能仍会收取 VPN 费用。

有关更多信息，请参阅什么是 AWS Site-to-Site VPN？

c18d2gz123

AWS Config Managed Rule: vpc-vpn-2-tunnels-up

黄色：Site-to-Site VPN 至少有一条隧道为 DOWN 状态。

请确保为 VPN 连接已配置两条隧道。而且，如果您的硬件对其提供支持，请确保两条隧道都处于活动状态。如果您不再需要某个 VPN 连接，则将其删除以避免收费。

有关更多信息，请参阅客户网关设备和 AWS Knowledge Center 上提供的内容。

当 AWS 工作负载对美国东部（弗吉尼亚州北部）区域的 STS 全局端点进行跨区域调用时，此检查会识别出相应的弹性风险。如果美国东部（弗吉尼亚州北部）STS 端点的连接受到影响，则向美国东部（弗吉尼亚州北部）的 STS 全局端点发出跨区域请求的 AWS 工作负载可能会受到不利影响。

2025 年 4 月，AWS 对全局端点进行了增强：对于所有默认启用的 AWS 区域，全局端点会自动在与 AWS 工作负载运行所在区域相同的区域内处理 STS 全局端点调用。然而，部分工作负载（例如在选择加入区域中运行的工作负载，或未使用 Amazon DNS 服务器的工作负载）无法从此次增强所带来的延迟降低和故障隔离优势中获益。对于这类工作负载，其 STS 全局端点请求会由美国东部（弗吉尼亚州北部）区域处理，这会给应用程序带来弹性风险，并增加 STS 请求的延迟。

c15m0mgld3

红色：工作负载正在对美国东部（弗吉尼亚州北部）区域的 AWS STS 全局端点进行跨区域调用。

为了提升工作负载的弹性和性能，建议您从 STS 全局端点迁移到 STS 区域端点。通过使用区域端点，您可以在与工作负载相同的区域内使用 AWS STS。

以下是对美国东部（弗吉尼亚州北部）区域的 AWS STS 全局端点进行跨区域调用的 AWS Identity and Access Management (IAM) 主体列表。按照博客文章如何使用区域 AWS STS 端点中的步骤操作，您可以重新配置工作负载以使用区域 STS 端点。

对工作负载高风险问题（HRI）的可靠性支柱检查。此检查基于您的 AWS-Well Architected 审查。检查结果取决于您是否使用 AWS Well-Architected 完成了对工作负载的评估。

Wxdfp4B1L4

AWS Well-Architected 在工作负载评估过程中检测到高风险问题。这些问题为降低风险和节省资金提供了机会。登录 AWS Well-Architected 工具以查看您的答案并采取措施解决活跃的问题。

检查经典负载均衡器是否跨多个可用区（AZ）。

负载均衡器在多个可用区中的多个 Amazon EC2 实例间分配应用程序的传入流量。默认情况下，负载均衡器在为您的负载均衡器启用的可用区之间均匀分配流量。如果一个可用区发生中断，负载均衡器节点将自动将请求转发到一个或多个可用区中的正常注册实例。

您可以使用 AWS Config 规则中的 minAvailabilityZones 参数来调整最少可用区数量

有关更多信息，请参阅什么是经典负载均衡器？。

c18d2gz154

AWS Config Managed Rule: clb-multiple-az

黄色：经典负载均衡器未配置多可用区或未达到指定的最少可用区数量。

请确保您的经典负载均衡器已配置多个可用区。让您的负载均衡器跨越多个可用区，以确保您的应用程序具有高可用性。

有关更多信息，请参阅教程：创建经典负载均衡器。

检查没有启用连接耗尽的经典负载均衡器。

当未启用连接耗尽并且您从经典负载均衡器取消注册 Amazon EC2 实例时，经典负载均衡器将停止将流量路由到该实例并关闭连接。启用连接耗尽后，经典负载均衡器将停止向已取消注册的实例发送新请求，但会保持连接打开以处理活动请求。

7qGXsKIUw

为经典负载均衡器启用连接耗尽。有关更多信息，请参阅连接耗尽和为负载均衡器启用或禁用连接耗尽。

Elastic Load Balancing 概念

检查应用程序负载均衡器（ALB）、网络负载均衡器（NLB）和网关负载均衡器（GWLB）的目标组在各可用区中的目标分布情况。

此检查不包含以下场景：

b92b83d667

为了提升弹性，请确保目标组在各可用区中拥有相同数量的目标。

应用程序负载均衡器的目标组

向应用程序负载均衡器目标组注册目标

检查网关负载均衡器（GWLB）端点是否配置为来自其他可用区（AZ）的路由目的地。

网关负载均衡器端点会将网络流量转发至网关负载均衡器后面的防火墙设备，以进行流量检查。每个网关负载均衡器端点都在指定的可用区内运行，并且仅在该可用区中使用冗余构建。因此，特定可用区中的所有资源必须使用同一可用区中的网关负载均衡器端点。这样可确保网关负载均衡器端点或其所在可用区发生任何潜在中断时，不会影响其他可用区中的资源。

528d6f5ee7

检查子网所在的可用区，然后配置其路由表，使流量通过同一可用区中的网关负载均衡器端点进行路由。

如果可用区中没有网关负载均衡器端点，请新建一个端点，然后通过该端点路由您的子网流量。

如果在不同可用区的子网之间关联了相同的路由表，请将此路由表关联到与网关负载均衡器端点位于同一可用区的子网。对于其他可用区中的子网，随后可以将单独的路由表与通往该可用区中的网关负载均衡器端点的路由相关联。

最佳做法是为 Amazon VPC 中的架构变更选择合适的维护时段。

检查您的负载均衡器配置。

为了帮助在使用 Elastic Load Balancing 时提高 Amazon Elastic Compute Cloud (Amazon EC2) 的容错能力级别，我们建议在一个区域的多个可用区中运行相同数量的实例。配置的负载均衡器会产生费用，因此这也是成本优化检查。

iqdCTZKCUp

确保负载均衡器指向至少两个可用区内活跃并运行正常的实例。有关更多信息，请参见添加可用区。

如果负载均衡器配置的对象是没有正常运行实例的可用区，或者可用区之间的实例分配不均衡，请确定所有可用区是否都是必要的。删除所有不必要的可用区，并确保实例在其余可用区之间均衡分配。有关更多信息，请参阅删除可用区。

检查您的 NAT 网关是否配置了可用区（AZ）独立性。

NAT 网关使私有子网中的资源能够使用 NAT 网关的 IP 地址安全地连接到子网以外的服务，并且丢弃任何未经请求的入站流量。每个 NAT 网关都在指定的可用区（AZ）内运行，并且仅在该可用区中使用冗余构建。因此，您在特定可用区中的资源应使用同一可用区中的 NAT 网关，这样 NAT 网关或其可用区的任何潜在中断均不会影响您在另一个可用区中的资源。

c1dfptbg10

请检查您的子网的可用区，并通过同一可用区中的 NAT 网关路由流量。

如果可用区中没有 NATGW，请创建一个，然后通过它路由您的子网流量。

如果您在不同可用区的子网之间关联了相同的路由表，请将此路由表关联到与 NAT 网关位于同一可用区的子网；对于另一个可用区中的子网，请将单独的路由表与通往另一个可用区中 NAT 网关的路由相关联。

我们建议您为 Amazon VPC 中的架构更改选择一个维护时段。

检查 AWS Network Firewall 端点是否配置为来自其他可用区（AZ）的路由目的地。

Network Firewall 端点将网络流量转发到 Network Firewall 进行检查。每个 Network Firewall 端点都在指定的可用区内运行，并且仅在该可用区中以冗余方式构建。特定可用区中的资源应使用同一可用区中的 Network Firewall 端点。这样可以确保 Network Firewall 端点或其所在可用区发生任何潜在中断时，不会影响其他可用区中的资源。如果从其他可用区发起网络流量以进行流量检查，会产生跨可用区数据传输费用。最佳做法是确保特定可用区中的所有资源均使用同一个可用区中的 Network Firewall，以避免产生跨可用区数据费用。

7040ea389a

检查子网所在的可用区，并通过同一可用区中的 Network Firewall 端点路由流量。

如果可用区中没有 Network Firewall 端点，请新建一个 Network Firewall，然后通过其路由子网流量。

如果在不同可用区的多个子网之间关联了相同的路由表，请将此路由表关联到与 Network Firewall 端点位于同一可用区的子网。对于其他可用区中的子网，可以将单独的路由表与通往该可用区中 Network Firewall 端点的路由相关联。

最佳做法是为 Amazon VPC 中的架构变更选择合适的维护时段。

同一 AWS 区域内的数据传输

Understanding data transfer charges

可用区独立性

实施防火墙的高级步骤

创建防火墙

AWS Well-Architected Tool - 采用隔板架构来限制影响范围

检查 Network Firewall 是否配置为在多个可用区（AZ）部署防火墙端点。

一个可用区是一个不同的位置，它与其他可用区的故障隔离开来。如果 Network Firewall 端点仅部署在 1 个可用区中，则该端点可能成为单点故障，并且可能会影响其他可用区中使用 Network Firewall 进行流量检查的工作负载。最佳做法是在同一区域的多个可用区中配置 Network Firewall，以提高工作负载的可用性。

c2vlfg0gqd

对于生产工作负载，确保 Network Firewall 配置了至少 2 个可用区。

AWS Network Firewall 的 VPC 子网配置

创建防火墙

可用区

AWS Well-Architected Tool - 将工作负载部署到多个位置

共享服务 VPC 中的设备

检查网络负载均衡器上是否已启用跨区域负载均衡。

跨区域负载均衡有助于在不同可用区的实例之间保持传入流量的均匀分布。这可以防止负载均衡器将所有流量路由到同一可用区内的实例，从而可能会导致流量分布不均和潜在的过载。该功能还可在单个可用区出现故障时自动将流量路由到其他可用区中运行正常的实例，从而提高应用程序的可靠性。

有关更多信息，请参阅跨区域负载均衡。

c18d2gz105

AWS Config Managed Rule: nlb-cross-zone-load-balancing-enabled

确保网络负载均衡器上已启用跨区域负载均衡。

跨区域负载均衡（网络负载均衡器）

检查面向互联网的网络负载均衡器 (NLB) 是否配置了私有子网。面向互联网的网络负载均衡器（NLB）必须部署在公有子网中，才能接收流量。公有子网是指具有指向互联网网关的直接路由的子网。如果子网配置为私有子网，则该子网所在的可用区（AZ）不会接收流量，这可能会导致可用性问题。

c1dfpnchv4

红色：NLB 配置了一个或多个私有子网

绿色：面向互联网的 NLB 未配置任何私有子网

确认在面向互联网的负载均衡器中配置的子网是公有子网。公有子网是指具有指向互联网网关的直接路由的子网。使用以下选项之一：

检查网络负载均衡器是否配置为使用多个可用区（AZ）。一个可用区是一个不同的位置，它与其他区域的故障隔离开来。在同一区域内的多个可用区中配置您的负载均衡器，以帮助提高您的工作负载可用性。

c1dfprch09

黄色：NLB 部署在单个可用区中。

绿色：NLB 部署在两个或多个可用区中。

确保负载均衡器配置了至少两个可用区。

有关更多信息，请参阅以下文档：

检查事件管理器复制集的配置是否使用多个 AWS 区域 来支持区域失效转移和响应。对于通过 CloudWatch 警报或 EventBridge 事件创建的事件，事件管理器会创建与警报或事件规则位于同一 AWS 区域 中的事件。如果 Incident Manager 暂时在该区域不可用，则系统会尝试在复制集中的另一个区域中创建事件。如果复制集仅包含一个区域，则在事件管理器不可用时，系统将无法创建事件记录。

cIdfp1js9r

向复制集中至少再添加一个区域。

有关更多信息，请参阅跨区域事件管理。

检查网络模式，您的传出网络流量是否通过单个可用区（AZ）路由。

一个可用区是一个不同的位置，它与其他区域的任何影响隔离开来。通过跨多个可用区分布服务，可以限制可用区故障的影响范围。

c1dfptbg11

如果您的应用程序要求高可用性，则请考虑实施多可用区架构以实现更高的可用性。

检查 AWS PrivateLink VPC 接口端点是否配置为使用多个可用区（AZ）。一个可用区是一个不同的位置，它与其他区域的故障隔离开来。此功能支持同一 AWS 区域中各可用区之间廉价、低延迟的网络连接。创建接口端点时，请选择多个可用区中的子网，这样有助于保护应用程序免受单点故障的影响。

c1dfprch10

黄色：VPC 端点部署在单个可用区中。

绿色：VPC 端点部署在至少两个可用区中。

确保 VPC 接口端点配置了至少两个可用区。

有关更多信息，请参阅以下文档：

检查每个 Site-to-Site VPN 中处于活动状态的隧道数。

VPN 应始终配置两个隧道。这样可以在 AWS 终端节点的设备中断或计划进行维护时提供冗余。对于某些硬件，每次只有一个隧道处于活动状态。如果 VPN 没有活动隧道，可能仍会收取 VPN 费用。有关更多信息，请参阅 AWS Site-to-Site VPN 用户指南。

S45wrEXrLz

请确保为您的 VPN 连接配置两个隧道，并且两个都处于活跃状态（如果硬件支持）。如果您不再需要某个 VPN 连接，则可将其删除以避免收费。有关更多信息，请参阅您的客户网关设备或删除 Site-to-Site VPN 连接。

检查 Amazon MQ for ActiveMQ 代理是否已配置为具有多个可用区中活动/备用代理的高可用性。

c1t3k8mqv1

创建具有活动/备用部署模式的新代理。

检查 Amazon MQ for RabbitMQ 代理是否已配置为具有多个可用区中集群实例的高可用性。

c1t3k8mqv2

创建具有集群部署模式的新代理。