Kiro CLI 的 compliance validation 不能只看工具本身是否“合规”，还要结合数据敏感性、公司目标、法规和登录方式判断。企业可用 AWS Artifact、AWS Config、Security Hub、GuardDuty、Audit Manager 做证据收集与持续审计。

Kiro CLI compliance validation：用 AWS 资源完成企业合规验证

企业引入 Kiro CLI 时，合规团队通常会问三个问题：Kiro 是否在目标合规项目范围内？审计报告从哪里拿？使用 Kiro 之后，我们自己的责任是什么？

这篇文档的重点不是给出一个“一键合规”的答案，而是说明如何使用 AWS 提供的资源来完成 compliance validation。

先确认 Kiro 是否在合规范围内

要了解某个 AWS service 是否在特定 compliance program 范围内，查看 AWS services in Scope by Compliance Program，并选择你关心的合规项目。

如果需要了解 AWS 合规体系的整体信息，可以查看 AWS Compliance Programs。

企业内部评估时，建议记录以下信息：

1. 目标 compliance program，例如 SOC、ISO、PCI、HIPAA 等。
2. Kiro 或相关 AWS service 是否在 scope 中。
3. 使用 Kiro 的账号类型和 authentication 方式。
4. Kiro 会处理的数据类型和敏感级别。
5. 内部控制措施，例如权限、日志、review、数据分类和保留策略。

使用 AWS Artifact 下载第三方审计报告

第三方审计报告可以通过 AWS Artifact 下载。具体流程可参考 Downloading Reports in AWS Artifact。

需要注意：如果你使用 GitHub 或 Google 登录 Kiro，将无法通过 AWS Artifact 下载第三方审计报告。企业需要审计报告时，通常应通过 AWS 账号和组织身份体系来完成访问。

这也是为什么企业版 rollout 通常会优先规划 IAM Identity Center，而不是让每个开发者用个人 social login 分散接入。

理解你的 compliance responsibility

使用 AWS services 时，你的合规责任取决于：

• 数据敏感性。
• 公司自身的 compliance objectives。
• 适用的法律法规。
• 行业标准和客户合同要求。
• 你如何配置、使用和监控 Kiro CLI 及相关 AWS 资源。

换句话说，AWS 提供基础设施、审计报告和安全服务；你仍然要证明自己的使用方式符合内部制度和外部要求。

可用于合规工作的 AWS 资源

AWS 提供了一组资源，帮助企业设计、验证和持续监控合规控制。

Security Compliance & Governance

Security Compliance & Governance 提供解决方案实施指南，帮助你理解安全与合规架构，并部署相关控制。

适合用于：设计企业级 Kiro 使用边界、账号结构、日志和监控方案。

HIPAA Eligible Services Reference

HIPAA Eligible Services Reference 列出符合 HIPAA 资格的服务。并非所有 AWS services 都符合 HIPAA 条件。

如果你的团队处理医疗健康相关数据，不要只看 Kiro CLI 功能，还要确认相关 AWS service 和数据流是否满足 HIPAA 要求。

AWS Compliance Resources

AWS Compliance Resources 收集了工作簿、指南和参考材料，可能适用于不同行业和地区。

适合用于：准备内部安全评审材料、客户问卷、供应商准入材料。

AWS Customer Compliance Guides

AWS Customer Compliance Guides 从合规视角解释 shared responsibility model，并把最佳实践映射到多个控制框架，包括 NIST、PCI 和 ISO。

适合用于：把 Kiro CLI 的使用政策映射到企业已有控制项，例如访问控制、日志、变更管理和数据保护。

AWS Config

AWS Config Evaluating Resources with Rules 可以评估资源配置是否符合内部规范、行业指南和监管要求。

适合用于：持续检查 AWS 资源配置，而不是只在上线前做一次静态审查。

AWS Security Hub

AWS Security Hub 提供 AWS 安全状态的集中视图，并使用 security controls 检查 AWS resources 是否符合安全标准和最佳实践。控制项列表见 Security Hub controls reference。

适合用于：安全团队集中查看 Kiro 相关 AWS 环境的风险信号。

Amazon GuardDuty

Amazon GuardDuty 通过监控环境中的可疑和恶意活动，检测 AWS accounts、workloads、containers 和 data 的潜在威胁。

GuardDuty 可以帮助满足部分合规框架中的入侵检测要求，例如 PCI DSS 相关要求。

AWS Audit Manager

AWS Audit Manager 用于持续审计 AWS 使用情况，帮助简化风险和合规管理。

适合用于：把证据收集、控制映射和审计准备流程常态化，而不是每次审计前临时补材料。

建议的企业验证流程

可以按以下顺序做 Kiro CLI compliance validation：

1. 定义使用场景：个人开发、企业开发、客户项目、受监管数据处理等。
2. 定义数据类型：代码、日志、prompt、配置、credentials、客户数据。
3. 确认 authentication 和 subscription：优先明确是否使用 IAM Identity Center。
4. 查询 AWS services in scope，记录相关 compliance program 状态。
5. 通过 AWS Artifact 下载审计报告，并存入企业合规证据库。
6. 使用 AWS Config、Security Hub、GuardDuty 和 Audit Manager 做持续监控与审计。
7. 把 Kiro CLI 的本地使用规范写入开发者安全政策，例如 workspace 隔离、trusted commands、secret 管理和 review 要求。

常见问题

只要 AWS 有合规认证，我使用 Kiro CLI 就自动合规吗？

不是。AWS 的合规认证覆盖 AWS 负责的部分，你仍需证明自己的配置、访问控制、数据处理和使用流程符合要求。

用 GitHub 或 Google 登录还能下载 AWS Artifact 报告吗？

不能。原文明确说明，如果使用 GitHub 或 Google 登录 Kiro，无法通过 AWS Artifact 下载第三方审计报告。

哪个 AWS 服务最适合做持续合规监控？

通常不是单一服务解决。AWS Config 评估资源配置，Security Hub 汇总安全控制状态，GuardDuty 检测威胁，Audit Manager 负责持续审计和证据管理。