企业多账号场景下订阅资源的配置变更事件

应用场景

某企业统一管理多账号中资源的配置变更事件的应用场景如下图所示。

某企业的管理账号通过一个成员（日志账号A）查看其他成员（业务账号B和业务账号C）中资源的配置变更事件，本文以查看前缀为sg-的RAM角色的配置变更事件为例进行介绍。

前提条件

• 资源目录的管理账号已将日志账号A、业务账号B和业务账号C加入资源目录。具体操作，请参见创建成员或邀请阿里云账号加入资源目录。
• 请确保您已开通函数计算服务。具体操作，请参见使用控制台创建函数。
• 请确保您已开通事件总线EventBridge服务。具体操作，请参见开通事件总线EventBridge并授权。

数据规划

操作流程

企业在多账号场景下，订阅资源的配置变更事件的操作流程如下图所示。

步骤一：日志账号创建RAM角色

日志账号A通过事件总线EventBridge提供的跨账号事件路由的能力，将业务账号B和业务账号C的事件投递到日志账号A的事件总线EventBridge中，日志账号A可以集中查看业务账号B和业务账号C的资源配置变更事件。

首先日志账号A需要完成跨账号投递事件的角色授权，即创建RAM角色（account-eb-role），并授权事件总线EventBridge向业务账号A投递事件的权限。

1. 创建RAM角色并授权事件总线EventBridge。
   1. 登录RAM控制台。
   2. 在左侧导航栏，选择身份管理 > 角色。
   3. 在角色页面，单击创建角色。
   4. 在选择类型页面，选择可信实体类型为阿里云账号，然后单击下一步。
   5. 在配置角色页面，输入角色名称为account-eb-role，信任的云账号保持默认（即当前云账号），单击完成。
      说明 先选择默认信任云账号，再在步骤 2中设置准确的信任策略。
   6. 在创建完成页面，单击为角色授权。
   7. 在添加权限面板，权限选择系统策略页签中的AliyunEventBridgePutEventsPolicy，其他参数保持默认值，单击确定。
2. 修改信任策略。
   1. 在角色页面，单击目标RAM角色名称。
   2. 单击信任策略管理页签，然后单击修改信任策略。
   3. 修改信任策略内容。
      业务账号B和业务账号C授信于日志账号A后，日志账号A的事件总线EventBridge可以扮演该RAM角色。信任策略示例如下：

      {
          "Statement":[
              {
                  "Action":"sts:AssumeRole",
                  "Effect":"Allow",
                  "Principal":{
                      "Service":[
                          "<业务账号B的ID>@eventbridge.aliyuncs.com",
                          "<业务账号C的ID>@eventbridge.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version":"1"
      }

   4. 单击确定。

步骤二：业务账号配置事件总线

业务账号B创建事件总线规则b-eb-filter-ram-role，业务账号C创建事件总线规则c-eb-filter-ram-role。业务账号B和业务账号C中的资源变更事件通过角色account-eb-role路由到日志账号A的事件总线EventBridge中。

1. 登录事件总线EventBridge控制台。
2. 在顶部菜单栏，选择地域，例如：华东2（上海）。
3. 在左侧导航栏，单击事件总线。
4. 在事件总线页面，单击云服务专用事件总线区域的创建规则。
5. 在创建规则页面，设置事件总线规则的相关参数。
   1. 在配置基本信息页面，输入事件总线名称，单击下一步。
   2. 在配置事件模式页面，事件源类型选择阿里云官方事件源、事件源选择acs.ram访问控制、事件类型选择ram:Config:ConfigurationItemChangeNotification（访问控制配置变更通知）、事件模式内容输入以下信息，然后单击下一步。
      仅当访问控制中前缀为sg-的资源（RAM角色或RAM用户）的配置变更时，事件总线EventBridge才会记录事件。事件模式内容如下：

      {
          "source": [
              "acs.ram"
          ],
          "data": {
              "resourceName": [
                  {
                      "prefix": "sg-"
                  }
              ]
          },
          "type": [
              "ram:Config:ConfigurationItemChangeNotification"
          ]
      }

   3. 在配置事件目标页面，服务类型选择事件总线EventBridge、账号ID输入日志账号A的ID、总线名称输入default、角色名称输入account-eb-role，然后单击创建。

步骤三：日志账号配置函数计算

日志账号A在函数计算中创建函数，并通过触发器将资源的配置变更事件投递到函数计算中。

1. 新建服务。
   1. 登录函数计算控制台。
   2. 在左侧导航栏，单击服务及函数。
   3. 在顶部菜单栏，选择地域，例如：华东2（上海）。
   4. 在服务列表页面，单击创建服务。
   5. 在创建服务面板，名称输入eb_event_action。
   6. 单击确定。
2. 创建函数。
   1. 在服务eb_event_action的函数管理页面，单击创建函数。
   2. 在创建函数页面，设置函数的基本信息和触发器。
      • 在基本信息区域：函数名称输入eb_event_trigger，运行环境选择Python 3.6，其他参数保持默认值。
      • 在配置触发器区域：触发器类型选择事件总线EventBridge下的访问控制，名称输入ConfigurationItemChangeTrigger，事件类型选择选中全部事件类型，其他参数保持默认值。
        说明 如果函数计算初次访问事件总线EventBridge，则需要根据提示授权，允许事件总线EventBridge访问函数计算。
   3. 单击创建。
3. 显示函数调用日志。
   1. 在函数eb_event_trigger的函数代码页签，将文件index.py中的logger.info('hello world')修改为logger.info(event)。
   2. 先单击右上角的Save，然后单击左上角的部署代码。

步骤四：业务账号变更资源

业务账号B创建一个RAM角色sg-01，业务账号C创建一个RAM角色sg-02。具体操作，请参见创建可信实体为阿里云账号的RAM角色。

步骤五：日志账号查看资源的配置变更事件