本文罗列了配置审计中用到的基本概念,帮助您正确理解和使用。

资源类型

配置审计是面向资源的审计服务。资源类型是一组实体资源的归类。例如云服务器ECS的实例资源类型为:ACS::ECS::Instance。资源可以分为以下几类:
  1. 计算实例、存储实例等实体资源。
  2. 工作组、工作流等应用级产品的管理概念。
  3. 角色、策略等权限相关的管理资源。

资源配置详情

通过云产品开放的资源查询接口可获取的全部信息。

监控范围

监控范围指追踪的资源类型的范围,监控的粒度是资源类型。
  1. 当选择某个资源类型在监控范围内,账号下所有该类型的实体资源都会被追踪,每10分钟记录配置变更快照。
  2. 当某个资源类型移出监控范围,则账号下该类型的实体资源都将停止记录配置变更。

配置时间线

配置审计为您提供每个监控范围内的资源配置时间线。
  1. 对于您开通配置审计服务时已保有的资源,配置时间线的起点是服务开通时间。
  2. 对于您开通配置审计服务后新创建的资源,配置时间线起点是资源创建时间。配置审计每隔10分钟确认资源配置变更,若出现配置变更,则会在配置时间线出现一个节点,显示该时间点的资源配置详情、具体变更详情以及该变更涉及的操作事件。

规则

规则指用于判断资源配置是否合规的规则函数。配置审计依赖函数计算服务做规则开发,规则内容一般为某属性必须是/不是某个值。将规则绑定到资源类型后,资源类型发生配置变更时将自动触发规则评估,监督本次变更的合规性。您也可以设置为定时触发,配置审计定时为您校验所有资源的合规性。关于规则的管理,请参见创建规则。配置审计中有2种规则:系统预设规则和自定义规则。
  1. 系统预设规则:配置审计服务为您提供数十款系统预设规则,请参见阿里云预设规则列表
  2. 自定义规则的开发:自定义规则需要您登录函数计算服务自行创建规则函数,在配置审计控制台创建自定义规则时需要录入规则的函数ARN。通过自定义规则可以更好的支持个性化的合规场景。

合规时间线

规则评估可以是在变更发生时触发的,对应的配置时间线就会相应有一个合规时间线,是每次合规评估结果的历史记录。合规时间线的合规评估记录与规则触发方式有关。
  1. 若规则为定时触发,则只包括定时评估的记录。
  2. 若规则为变更触发,则包括每次变更时评估的记录。
  3. 若选择了两种触发方式,则都会出现评估记录。