El cumplimiento como código consiste en codificar los requisitos de cumplimiento de su empresa como código de reglas que evalúa si las configuraciones de los recursos cumplen con sus estándares. Cloud Config ejecuta esta lógica mediante funciones de regla desplegadas en Function Compute. Cada regla especifica los recursos asociados, el tipo de activación y los parámetros de entrada que determinan cómo y cuándo se evalúa el cumplimiento.
Cuando cambia la configuración de un recurso, Cloud Config invoca la función de regla para evaluar el cumplimiento. Varias reglas pueden supervisar simultáneamente todos los elementos de configuración del mismo recurso.
Definición de una regla
Una regla es una lógica que determina si un elemento de configuración de un recurso cumple con los requisitos. Cada regla consta de tres componentes:
Parámetros de entrada: elementos de configuración obtenidos mediante las API de servicios en la nube, como especificaciones del recurso, región, nombre, estado, puerto HTTP o puerto de red de internet. La clave de cada parámetro de entrada debe coincidir con el nombre del elemento de configuración correspondiente.
Función de regla: código que comprueba si el valor de un parámetro de entrada satisface la condición de cumplimiento. Por ejemplo, una regla que exige un listener HTTPS en una instancia de Server Load Balancer (SLB) usa el estado del listener HTTPS como parámetro de entrada. Si el listener está deshabilitado, la regla determina que la instancia de SLB no cumple con los requisitos.
Parámetros de salida: resultado de la evaluación de cumplimiento que devuelve la función de regla.
Tipos de recursos asociados a una regla
Una función de regla creada en la consola de Function Compute no se asocia con ningún tipo de recurso de forma predeterminada. Dado que distintos tipos de recursos pueden tener elementos de configuración con nombres idénticos, Cloud Config no puede evaluar el cumplimiento con precisión si solo se basa en los nombres de los parámetros de entrada.
Asocie la función de regla con un tipo de recurso en Cloud Config. Cuando cambie la configuración de un recurso, Cloud Config identificará todas las reglas asociadas a ese tipo de recurso y determinará si debe activarlas según los cambios específicos.
Activación de una regla
Cloud Config admite los siguientes tipos de activación:
|
Tipo de activación |
Descripción |
|
Cambios de configuración |
Cloud Config detecta el elemento de configuración modificado, usa su valor como parámetro de entrada e invoca las reglas correspondientes para evaluarlo. Las claves de los parámetros de entrada deben coincidir con los nombres de los elementos de configuración del recurso. |
|
Periódico |
Cloud Config invoca la regla con una frecuencia establecida para evaluar el cumplimiento de los recursos de manera programada. |
Resultados de la evaluación de cumplimiento
Cloud Config pasa el resultado del cambio de configuración obtenido como parámetro de entrada a la función de regla. Tras la evaluación, la función de regla devuelve un resultado de cumplimiento a Cloud Config. Los resultados se muestran y agregan en la consola de Cloud Config. Consulte View the compliance evaluation results.
Para escribir lógica de cumplimiento personalizada, cree una función de regla personalizada en Function Compute. Consulte Create a custom rule function. Para usar una regla de cumplimiento integrada, consulte Rule templates.