通过本文您可以了解配置审计中用到的基本概念,帮助您正确理解和使用本产品。

资源类型

配置审计是面向资源的审计服务。资源类型是一组实体资源的归类。例如:云服务器ECS的实例资源类型为:ACS::ECS::Instance。资源可以分为以下几类:

  • 计算实例、存储实例等实体资源。
  • 工作组、工作流等应用级产品的管理概念。
  • 角色、策略等权限相关的管理资源。

资源配置详情

通过云产品开放的资源查询接口可获取的当前账号下所有资源。

监控范围

监控范围指追踪资源类型的范围,监控的粒度是资源类型。

  • 当选择的某个资源类型在监控范围内时,当前账号下所有该类型的实体资源都会被追踪,每10分钟记录配置变更快照。
  • 当某个资源类型移出监控范围时,当前账号下该类型的实体资源都将停止记录配置变更。

配置时间线

配置审计为您提供每个监控范围内的资源配置时间线。

  • 对于您开通配置审计服务时已保有的资源,配置时间线的起点是服务开通时间。
  • 对于您开通配置审计服务后新创建的资源,配置时间线起点是资源创建时间。配置审计每10分钟确认资源配置变更,如果出现配置变更,则会在配置时间线出现一个节点,显示该时间点的资源配置详情、具体变更详情,以及该变更涉及的操作事件。

规则

规则指用于判断资源配置是否合规的规则函数。配置审计依赖函数计算服务做规则开发,规则内容一般为某属性必须是或不是某个值。将规则绑定到资源类型后,资源类型发生配置变更时将自动触发规则评估,监督本次变更的合规性。您也可以设置为定时触发,配置审计定时为您校验所有资源的合规性。关于规则的管理,请参见创建规则

配置审计规则如下:

  • 系统预设规则

    配置审计服务为您提供40多款系统预设规则,请参见阿里云预设规则列表

  • 自定义规则

    自定义规则需要您登录函数计算服务自行创建规则函数,在配置审计控制台创建自定义规则时需要录入规则的函数ARN,请参见自定义规则的开发。通过自定义规则可以更好的支持个性化的合规场景。

合规时间线

规则评估可以在变更发生时触发,对应的配置时间线会有一个对应的合规时间线,是每次合规评估结果的历史记录。合规时间线的合规评估记录与规则触发方式有关。

  • 如果规则为定时触发,则只包括定时评估的记录。
  • 如果规则为变更触发,则只包括每次变更时评估的记录。
  • 如果选择了两种触发方式,则包括上述两种评估记录。