本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 评估合规性状态和控件状态
<a name="controls-overall-status"></a>

 AWS 安全调查结果格式的`Compliance.Status`字段描述了控制结果的结果。 AWS Security Hub CSPM 使用控制结果的合规性状态来确定总体控制状态。控件状态将在 Security Hub CSPM 控制台上控件的详细信息页面上显示。

## 评估 Security Hub CSPM 调查发现的合规性状态
<a name="controls-overall-status-compliance-status"></a>

为每个调查发现的合规性状态分配以下值之一：
+ `PASSED` – 表示控件通过了调查发现的安全检查。这会自动将 Security Hub CSPM `Workflow.Status` 设置为 `RESOLVED`。
+ `FAILED` – 表示控件未通过调查发现的安全检查。
+ `WARNING` – 表示 Security Hub CSPM 无法确定资源是处于 `PASSED` 还是 `FAILED` 状态。例如，没有为相应的资源类型启用 [AWS Config 资源记录](securityhub-setup-prereqs.md#config-resource-recording)。
+ `NOT_AVAILABLE`— 表示无法完成检查，原因是服务器出现故障、资源已删除或 AWS Config 评估结果失败`NOT_APPLICABLE`。如果 AWS Config 评估结果为`NOT_APPLICABLE`，Security Hub CSPM 会自动将发现结果存档。

如果调查发现的合规性状态从 `PASSED` 更改为 `FAILED`、`WARNING` 或 `NOT_AVAILABLE`，并且 `Workflow.Status` 是 `NOTIFIED` 或 `RESOLVED`，则 Security Hub CSPM 会自动将 `Workflow.Status` 更改为 `NEW`。

如果您没有与控件对应的资源，Security Hub CSPM 会在账户级别生成 `PASSED` 调查发现。如果您有与控件对应的资源，但随后删除了该资源，Security Hub CSPM 会创建 `NOT_AVAILABLE` 调查发现并立即将其存档。18 小时后，您会收到一个 `PASSED` 调查发现，因为您不再拥有与该控件对应的资源。

## 从合规性状态获取控件状态
<a name="controls-overall-status-values"></a>

Security Hub CSPM 根据控件调查发现的合规性状态得出总体控件状态。在确定控件状态时，Security Hub CSPM 会忽略 `RecordState` 为 `ARCHIVED` 的调查发现和 `Workflow.Status` 为 `SUPPRESSED` 的调查发现。

为控件状态分配以下值之一：
+ **通过** – 表示所有调查发现的合规性状态均为 `PASSED`。
+ **未通过** – 表示至少一个调查发现的合规性状态为 `FAILED`。
+ **未知** – 表示至少一个调查发现的合规性状态为 `WARNING` 或 `NOT_AVAILABLE`。如果没有调查发现，则合规性状态为 `FAILED`。
+ **无数据**：表示控件没有调查发现。例如，新启用的控件在 Security Hub CSPM 开始为其生成调查发现之前一直处于此状态。如果所有标准的状态为 `SUPPRESSED` 或在当前 AWS 区域中不可用，则控件也具有此状态。
+ **已禁用** – 表示当前账户和区域中的控件已禁用。目前没有对当前账户和区域中的此控件进行安全检查。然而，已禁用控件的调查发现在禁用后最多 24 小时内可能仍有​​合规性状态的值。

对于管理员账户，控件状态反映了管理员账户和成员账户的控件状态。具体而言，如果控件在管理员账户或任何成员账户中有一个或多个失败的调查发现，则该控件的总体状态将显示为**失败**。如果您设置了聚合区域，则聚合区域中的控件状态将反映聚合区域和关联区域的控件状态。具体而言，如果控件在聚合区域或任何关联区域中有一个或多个失败的调查发现，则该控件的总体状态将显示为**失败**。

Security Hub CSPM 通常会在您首次访问 Security Hub CSPM 控制台上的**摘要**页面或**安全标准**页面后 30 分钟内生成初始控件状态。此外，必须配置 [AWS Config 资源记录](controls-config-resources.md)才能显示控件状态。首次生成控件状态后，Security Hub CSPM 会根据前 24 小时的调查发现每 24 小时更新一次控件状态。控件详细信息页面上的时间戳表示控件状态的上次更新时间。

**注意**  
首次启用控件后，最长可能需要 24 小时才能在中国地区和 AWS GovCloud (US) Region生成控件状态。