Tema ini menjelaskan informasi latar belakang, skenario, dan aturan dari paket kepatuhan Praktik Terbaik untuk Stabilitas Sumber Daya.
Informasi Latar Belakang
Pengendalian risiko merupakan salah satu perhatian utama bagi pengguna cloud. Sebagian besar perusahaan menggunakan layanan Alibaba Cloud untuk memastikan kelangsungan bisnis dengan tingkat ketersediaan tinggi. Untuk menjamin kelangsungan bisnis, diperlukan solusi yang memungkinkan pengguna cloud mengidentifikasi risiko keamanan konfigurasi sumber daya secara efisien dan menyeluruh.
Berikut adalah contoh kasus di mana kegagalan sistem terjadi akibat konfigurasi sumber daya cloud yang tidak sesuai.
Perusahaan A menerapkan sistem bisnis inti berdasarkan instance ApsaraDB RDS Basic Edition, yang cocok untuk lingkungan pengujian. Selama operasi sehari-hari, tidak ada masalah karena hanya terdapat fluktuasi lalu lintas kecil. Namun, selama acara promosi berskala besar, volume beban kerja meningkat dua hingga tiga kali lipat, dan jumlah data yang diproses secara real-time meningkat lebih dari 10 kali lipat. Akibatnya, waktu respons instance database menjadi lambat, yang dapat mempengaruhi kelangsungan bisnis. Penyebab utamanya adalah konfigurasi database tidak memenuhi persyaratan bisnis. Setelah spesifikasi database ditingkatkan, masalah tersebut berhasil diselesaikan.
Skenario
Cloud Config memungkinkan Anda melakukan evaluasi kepatuhan pada konfigurasi statis sumber daya inti dan menghasilkan hasil evaluasi untuk mengidentifikasi konfigurasi yang tidak sesuai berdasarkan pengalaman teknis serta spesifikasi layanan cloud. Anda dapat mengunduh laporan evaluasi dan memperbaiki konfigurasi yang tidak sesuai, seperti meningkatkan spesifikasi instance atau memodifikasi konfigurasi.
Konfigurasi statis mencakup konfigurasi sumber daya cloud, seperti jenis instance dan zona tempat instance berada.
Gambar berikut menunjukkan proses penggunaan paket kepatuhan Praktik Terbaik untuk Stabilitas Sumber Daya.
Aturan Default
Nama Aturan | Deskripsi |
Memeriksa apakah pencadangan log diaktifkan untuk setiap instance RDS. Jika ya, hasil evaluasi adalah Sesuai. Jika pencadangan log dinonaktifkan, log lokal yang hilang tidak dapat dipulihkan. | |
Memeriksa apakah setiap instance RDS termasuk dalam keluarga instance khusus. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur SQL explorer dan audit diaktifkan untuk setiap instance ApsaraDB RDS for MySQL dan apakah jumlah hari penyimpanan log audit SQL lebih besar dari atau sama dengan jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 180. | |
Memeriksa apakah setiap instance RDS menggunakan arsitektur multi-zona. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah tidak ada endpoint publik yang dikonfigurasikan untuk setiap instance RDS. Jika ya, hasil evaluasi adalah Sesuai. Untuk mencegah serangan siber, kami merekomendasikan agar Anda tidak mengonfigurasikan akses langsung ke instance RDS di lingkungan produksi melalui Internet. | |
Memeriksa apakah periode pemeliharaan setiap instance RDS sesuai dengan salah satu rentang waktu yang ditentukan. Jika ya, hasil evaluasi adalah Sesuai. Jika jam sibuk bisnis Anda bertepatan dengan periode pemeliharaan, bisnis Anda mungkin terpengaruh. | |
Memeriksa apakah fitur perlindungan penghapusan diaktifkan untuk setiap instance RDS. Jika ya, hasil evaluasi adalah Sesuai. Untuk sumber daya berlangganan, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah daftar putih alamat IP dikonfigurasikan untuk setiap instance RDS dan 0.0.0.0/0 tidak ditambahkan ke daftar putih alamat IP. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa dan tanggal pemeriksaan setiap instance ApsaraDB for Redis berlangganan lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Jika perpanjangan otomatis diaktifkan untuk instance, hasil evaluasi juga Sesuai. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah periode pencadangan otomatis setiap instance Redis sesuai dengan salah satu rentang waktu yang ditentukan. Jika ya, hasil evaluasi adalah Sesuai. Jika jam sibuk bisnis Anda bertepatan dengan periode pencadangan, bisnis Anda mungkin terpengaruh. | |
Memeriksa apakah 0.0.0.0/0 ditambahkan ke daftar putih IP setiap instance ApsaraDB for Redis. Jika tidak, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah perintah berisiko tinggi dinonaktifkan untuk setiap instance ApsaraDB for Redis. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah edisi setiap instance ApsaraDB for Redis adalah Edisi Kluster. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa dan tanggal pemeriksaan setiap kluster ApsaraDB for MongoDB berlangganan lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Jika perpanjangan otomatis diaktifkan untuk kluster, hasil evaluasi juga Sesuai. | |
Memeriksa apakah fitur pencadangan log diaktifkan untuk setiap instance ApsaraDB for MongoDB. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance RDS adalah instance tujuan umum. Jika tidak, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah 0.0.0.0/0 ditambahkan ke daftar putih IP setiap instance ApsaraDB for MongoDB. Jika tidak, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa dan tanggal pemeriksaan setiap sumber daya berlangganan lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Jika Anda menggunakan sumber daya berlangganan, Anda harus memperpanjang sumber daya sebelum kedaluwarsa. Ini mencegah instance Anda dihentikan karena sumber daya yang kedaluwarsa. Jika perpanjangan otomatis diaktifkan untuk instance, hasil evaluasi juga Sesuai. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah edisi setiap instance PolarDB adalah Edisi Kluster atau Edisi Kluster Multi-master. Jika ya, hasil evaluasi adalah Sesuai. Lanjutkan dengan hati-hati saat menggunakan database mandiri. Database ini menyediakan failover yang lambat. | |
Memeriksa apakah periode pemeliharaan setiap kluster PolarDB sesuai dengan salah satu rentang waktu yang ditentukan. Jika ya, hasil evaluasi adalah Sesuai. Jika jam sibuk bisnis Anda bertepatan dengan periode pemeliharaan, bisnis Anda mungkin terpengaruh. | |
Memeriksa apakah 0.0.0.0/0 ditambahkan ke daftar putih IP setiap instance PolarDB. Jika tidak, hasil evaluasi adalah Sesuai. | |
Memeriksa entri SNAT dan DNAT setiap gateway NAT menggunakan elastic IP addresses (EIPs) yang berbeda. Jika ya, hasil evaluasi adalah Sesuai. Untuk gateway NAT VPC, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah beberapa EIP yang terkait dengan setiap entri SNAT dari gateway NAT ditambahkan ke rencana bandwidth EIP, atau bandwidth maksimum yang ditentukan dari EIP ini sama. Jika ya, hasil evaluasi adalah Sesuai. Untuk gateway NAT VPC, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah pemeriksaan kesehatan diaktifkan untuk semua pendengar setiap instance Server Load Balancer (SLB). Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah pemeriksaan kesehatan dikonfigurasikan untuk semua pendengar dan aturan pengalihan setiap instance Application Load Balancer (ALB). Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah jumlah server backend yang ditambahkan ke aturan pengalihan default yang terkait dengan pendengar setiap instance ALB kurang dari jumlah yang ditentukan. Jika tidak, hasil evaluasi adalah Sesuai. Nilai default: 1. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa dan tanggal pemeriksaan setiap sumber daya berlangganan lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Jika Anda menggunakan sumber daya berlangganan, Anda harus memperpanjang sumber daya sebelum kedaluwarsa. Ini mencegah instance Anda dihentikan karena sumber daya yang kedaluwarsa. Jika perpanjangan otomatis diaktifkan untuk instance, hasil evaluasi juga Sesuai. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah fitur perlindungan penghapusan diaktifkan untuk setiap instance ALB. Jika ya, hasil evaluasi adalah Sesuai. Fitur ini mencegah instance dilepaskan karena kesalahan operasi. | |
Memeriksa apakah fitur perlindungan pelepasan diaktifkan untuk setiap instance SLB. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah jenis instance setiap instance SLB ada dalam daftar spesifikasi yang ditentukan. Jika ya, hasil evaluasi adalah Sesuai. Kami merekomendasikan agar Anda menggunakan instance SLB yang dapat memenuhi persyaratan kinerja Anda. Jika Anda menggunakan instance SLB sumber daya bersama, persyaratan kinerja Anda mungkin tidak terpenuhi. Lanjutkan dengan hati-hati. | |
Memeriksa apakah bandwidth yang dialokasikan untuk koneksi antar wilayah setiap instance Cloud Enterprise Network (CEN) lebih besar dari nilai tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 1 Mbit/s. | |
Memeriksa apakah fitur pemeriksaan kesehatan diaktifkan untuk router batas virtual (VBR) yang dilampirkan ke setiap instance CEN. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah alamat IP setiap vSwitch di wilayah tersebut unik. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance ECS berada dalam keadaan Dihentikan. Jika tidak, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa dan tanggal pemeriksaan setiap sumber daya berlangganan lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Jika Anda menggunakan sumber daya berlangganan, Anda harus memperpanjang sumber daya sebelum kedaluwarsa. Ini mencegah instance Anda dihentikan karena sumber daya yang kedaluwarsa. Jika perpanjangan otomatis diaktifkan untuk instance, hasil evaluasi juga Sesuai. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah waktu pembuatan snapshot yang Anda tentukan untuk setiap kebijakan snapshot otomatis jatuh dalam rentang waktu tertentu. Jika ya, hasil evaluasi adalah Sesuai. Saat snapshot sedang dibuat untuk perangkat Penyimpanan Blok Elastis (EBS), kinerja I/O perangkat tersebut menurun hingga 10%. Hal ini dapat mengakibatkan penurunan kecepatan I/O secara sementara. Kami merekomendasikan agar Anda membuat snapshot otomatis selama jam-jam sepi. | |
Memeriksa apakah 0.0.0.0/0 ditambahkan ke daftar putih alamat IP setiap grup keamanan dan port berisiko tinggi dinonaktifkan. Jika ya, hasil evaluasi adalah Sesuai. Jika 0.0.0.0/0 tidak ditambahkan ke daftar putih alamat IP grup keamanan, hasil evaluasi adalah Sesuai terlepas dari apakah port berisiko tinggi dinonaktifkan. Jika port berisiko tinggi ditolak oleh kebijakan otorisasi dengan prioritas lebih tinggi, hasil evaluasi adalah Sesuai. Jika grup keamanan digunakan oleh layanan cloud atau operator jaringan virtual, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah cache CDN dan waktu kedaluwarsa ditentukan untuk setiap nama domain. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah server asal setiap nama domain yang dipercepat oleh Alibaba Cloud CDN diatur ke nama domain OSS dan jenis server asal diatur ke OSS. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah daftar putih IP publik setiap instance Kafka mengizinkan akses dari semua alamat IP. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah akses Internet diaktifkan dan akses Internet apa pun diizinkan untuk setiap kluster Elasticsearch. Jika ya, hasil evaluasi adalah Tidak Sesuai. | |
Memeriksa apakah setiap instance Elasticsearch menolak akses dari jaringan publik untuk Kibana dan tidak mengizinkan akses dari semua alamat IP. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah versioning diaktifkan untuk setiap Bucket OSS. Jika ya, hasil evaluasi adalah Sesuai. Jika versioning dinonaktifkan, data tidak dapat dipulihkan saat tertimpa atau dihapus. | |
Memeriksa apakah kebijakan ACL setiap Bucket OSS menolak akses baca dan tulis dari Internet. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah keluarga instance setiap instance ECS berbeda dari nilai-nilai yang ditentukan. Jika ya, hasil evaluasi adalah Sesuai. Nilai default parameter instanceTypeFamily adalah keluarga instance yang sudah tidak digunakan atau keluarga instance bersama. | |
Memeriksa apakah jenis instance setiap kluster Elasticsearch berbeda dari nilai-nilai yang ditentukan. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah edisi setiap instance RDS sesuai dengan nilai tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default parameter categories menunjukkan Edisi Kluster atau Edisi Ketersediaan Tinggi. | |
Memeriksa apakah setiap kluster Kubernetes adalah kluster ACK edge Pro. Jika ya, hasil evaluasi adalah Sesuai. Untuk kluster Kubernetes yang tidak dikelola, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah edisi setiap instance ApsaraDB for Redis adalah Enhanced Edition (Tair). Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance ApsaraDB for MongoDB menggunakan arsitektur multi-zona. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah edisi setiap instance ApsaraMQ for RocketMQ adalah Enterprise Platinum Edition. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah nama sistem operasi setiap instance ECS muncul dalam daftar putih tertentu atau tidak muncul dalam daftar hitam tertentu. Jika ya, hasil evaluasi adalah Sesuai. Perusahaan dapat menstandarisasi versi sistem operasi dalam perusahaan, dan meningkatkan sistem operasi yang tidak lagi dipelihara tepat waktu untuk mencegah kerentanan keamanan. | |
Memeriksa apakah versi setiap kluster Elasticsearch direkomendasikan. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah versi minor setiap database PolarDB adalah | |
Memeriksa apakah setiap kluster ACK ditingkatkan ke versi terbaru. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance Redis ditingkatkan ke versi minor terbaru. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur perlindungan pelepasan diaktifkan untuk setiap instance ECS. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur perlindungan penghapusan diaktifkan untuk setiap EIP. Jika ya, hasil evaluasi adalah Sesuai. Untuk EIP yang dibuat dengan akun layanan dan EIP berlangganan, hasil evaluasi adalah Tidak Berlaku. EIP ini tidak mendukung fitur perlindungan penghapusan. | |
Memeriksa apakah fitur perlindungan penghapusan diaktifkan untuk setiap kluster PolarDB. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur perlindungan penghapusan diaktifkan untuk setiap kluster ACK. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur perlindungan pelepasan diaktifkan untuk setiap instance ApsaraDB for Redis. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur perlindungan pelepasan diaktifkan untuk setiap instance ApsaraDB for MongoDB. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah periode pemeliharaan setiap kluster AnalyticDB jatuh dalam rentang waktu tertentu. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah volume data dipasang pada setiap grup kontainer. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur pencadangan otomatis diaktifkan untuk setiap kluster Elasticsearch. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur pencadangan log diaktifkan untuk setiap kluster AnalyticDB. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah periode retensi cadangan level-2 setiap kluster PolarDB lebih lama dari atau sama dengan jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Jika cadangan level-2 tidak diaktifkan atau periode retensi cadangan kurang dari jumlah hari tertentu, hasil evaluasi adalah Tidak Sesuai. | |
Memeriksa apakah pencadangan tambahan diaktifkan untuk setiap instance ApsaraDB for Redis. Jika ya, hasil evaluasi adalah Sesuai. Untuk instance non-Tair, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah kebijakan snapshot otomatis ditentukan untuk setiap disk ECS. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance Elasticsearch menggunakan arsitektur multi-zona. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance SLB menggunakan arsitektur multi-zona dan sumber daya dari beberapa zona ditambahkan ke grup server yang digunakan oleh semua pendengar instance SLB tersebut. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance SLB menggunakan arsitektur multi-zona. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur kluster cadangan panas diaktifkan untuk setiap kluster PolarDB dan data didistribusikan di beberapa zona. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah setiap instance ApsaraDB for Redis menggunakan arsitektur multi-zona. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah fitur penyimpanan redundan zona (ZRS) diaktifkan untuk setiap Bucket OSS. Jika ya, hasil evaluasi adalah Sesuai. Jika fitur ZRS dinonaktifkan, OSS tidak dapat menyediakan layanan yang konsisten dan memastikan pemulihan data saat pusat data menjadi tidak tersedia. | |
Memeriksa apakah setiap instance ApsaraDB for MongoDB menggunakan arsitektur multi-zona. Jika ya, hasil evaluasi adalah Sesuai. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap rencana bandwidth EIP dan tanggal saat ini lebih besar dari periode waktu tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa dan tanggal pemeriksaan setiap sumber daya berlangganan lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Jika Anda menggunakan sumber daya berlangganan, Anda harus memperpanjang sumber daya sebelum kedaluwarsa. Ini mencegah instance Anda dihentikan karena sumber daya yang kedaluwarsa. Nilai default: 30. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap bastion host dan tanggal saat ini lebih besar dari periode waktu tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap EIP dan tanggal saat ini lebih besar dari periode waktu tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap kluster AnalyticDB for MySQL (Edisi Gudang Data) dan tanggal saat ini lebih besar dari periode waktu tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Jika perpanjangan otomatis diaktifkan untuk instance, hasil evaluasi juga Sesuai. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap rencana bandwidth CEN dan tanggal saat ini lebih besar dari periode waktu tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap instance PolarDB for Xscale 1.0 dan tanggal saat ini lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap instance PolarDB for Xscale 2.0 dan tanggal saat ini lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. Untuk sumber daya bayar sesuai pemakaian, hasil evaluasi adalah Tidak Berlaku. | |
Memeriksa apakah durasi antara tanggal kedaluwarsa setiap instance Anti-DDoS dan tanggal saat ini lebih besar dari jumlah hari tertentu. Jika ya, hasil evaluasi adalah Sesuai. Nilai default: 30. |