Cloud Config:Aturan fungsi kustom

Aturan merupakan logika evaluasi yang disimpan dalam suatu fungsi. Cloud Config memanggil fungsi ini selama proses auditing. Kode fungsi terdiri dari dua bagian:

• handler

  handler adalah fungsi entri yang dipanggil saat aturan dipicu. Anda harus menentukan handler saat membuat fungsi di Konsol Function Compute. Handlers.

  Catatan

  Cloud Config hanya mendukung event handlers.

• put_evaluations

  Fungsi ini memanggil operasi API PutEvaluations untuk mengirimkan hasil evaluasi kepatuhan ke Cloud Config.

Kode berikut memberikan contoh dalam Python:

# #!/usr/bin/env python
# # -*- encoding: utf-8 -*-
import json
import logging

from aliyunsdkcore.client import AcsClient
from aliyunsdkcore.request import CommonRequest


logger = logging.getLogger()
# Jenis kepatuhan suatu resource.
COMPLIANCE_TYPE_COMPLIANT = 'COMPLIANT'
COMPLIANCE_TYPE_NON_COMPLIANT = 'NON_COMPLIANT'
COMPLIANCE_TYPE_NOT_APPLICABLE = 'NOT_APPLICABLE'
# Jenis pengiriman konfigurasi resource.
CONFIGURATION_TYPE_COMMON = 'COMMON'
CONFIGURATION_TYPE_OVERSIZE = 'OVERSIZE'
CONFIGURATION_TYPE_NONE = 'NONE'


# Fungsi entri yang mengoordinasikan dan memproses logika bisnis.
def handler(event, context):
    """
    Fungsi handler.
    :param event: Event.
    :param context: Konteks.
    :return: Hasil evaluasi.
    """
    # Validasi event. Anda dapat menyalin blok kode ini.
    evt = validate_event(event)
    if not evt:
        return None
    creds = context.credentials
    rule_parameters = evt.get('ruleParameters')
    result_token = evt.get('resultToken')
    invoking_event = evt.get('invokingEvent')
    ordering_timestamp = evt.get('orderingTimestamp')

    # Konfigurasi resource. Pemicu aturan harus diatur ke Configuration Change. Saat Anda membuat atau menjalankan aturan secara manual, Cloud Config memanggil fungsi untuk mengevaluasi semua resource satu per satu. Jika konfigurasi suatu resource berubah, Cloud Config secara otomatis memanggil fungsi untuk mengevaluasi resource tersebut berdasarkan informasi perubahan.
    configuration_item = invoking_event.get('configurationItem')
    account_id = configuration_item.get('accountId')
    resource_id = configuration_item.get('resourceId')
    resource_type = configuration_item.get('resourceType')
    region_id = configuration_item.get('regionId')

    # Periksa apakah ukuran konfigurasi resource yang dikirimkan lebih besar atau sama dengan 100 KB. Jika ya, Anda harus memanggil operasi GetDiscoveredResource untuk mengambil detail resource.
    configuration_type = invoking_event.get('configurationType')
    if configuration_type and configuration_type == CONFIGURATION_TYPE_OVERSIZE:
        resource_result = get_discovered_resource(creds, resource_id, resource_type, region_id)
        resource_json = json.loads(resource_result)
        configuration_item["configuration"] = resource_json["DiscoveredResourceDetail"]["Configuration"]

    # Evaluasi resource. Anda harus mengimplementasikan logika evaluasi sesuai kebutuhan bisnis Anda. Kode berikut hanya sebagai referensi.
    compliance_type, annotation = evaluate_configuration_item(
        rule_parameters, configuration_item)

    # Tetapkan hasil evaluasi. Formatnya harus sesuai contoh berikut.
    evaluations = [
        {
            'accountId': account_id,
            'complianceResourceId': resource_id,
            'complianceResourceType': resource_type,
            'complianceRegionId': region_id,
            'orderingTimestamp': ordering_timestamp,
            'complianceType': compliance_type,
            'annotation': annotation
        }
    ]

    # Kirim hasil evaluasi ke Cloud Config. Anda dapat menyalin blok kode ini.
    put_evaluations(creds, result_token, evaluations)
    return evaluations


# Evaluasi resource berdasarkan informasi aturan dan konfigurasi resource. Anda harus mengimplementasikan logika evaluasi sesuai kebutuhan bisnis Anda. Kode berikut hanya sebagai referensi.
def evaluate_configuration_item(rule_parameters, configuration_item):
    """
    Logika evaluasi.
    :param rule_parameters: Informasi aturan.
    :param configuration_item: Konfigurasi resource.
    :return: Jenis kepatuhan.
    """
    # Inisialisasi nilai kembali.
    compliance_type = COMPLIANCE_TYPE_NON_COMPLIANT
    annotation = None

    # Dapatkan konfigurasi resource lengkap.
    full_configuration = configuration_item['configuration']
    if not full_configuration:
        annotation = 'Konfigurasi kosong.'
        return compliance_type, annotation

    # Konversi konfigurasi ke format JSON.
    configuration = parse_json(full_configuration)
    if not configuration:
        annotation = 'Konfigurasi:{} tidak valid.'.format(full_configuration)
        return compliance_type, annotation
    return compliance_type, annotation


def validate_event(event):
    """
    Validasi event.
    :param event: Event.
    :return: Objek JSON.
    """
    if not event:
        logger.error('Event kosong.')
    evt = parse_json(event)
    logger.info('Memuat event: %s .' % evt)

    if 'resultToken' not in evt:
        logger.error('ResultToken kosong.')
        return None
    if 'ruleParameters' not in evt:
        logger.error('RuleParameters kosong.')
        return None
    if 'invokingEvent' not in evt:
        logger.error('InvokingEvent kosong.')
        return None
    return evt


def parse_json(content):
    """
    Konversi data ke format JSON.
    :param content: String JSON.
    :return: Objek JSON.
    """
    try:
        return json.loads(content)
    except Exception as e:
        logger.error('Gagal mengurai konten:{} ke JSON: {}.'.format(content, e))
        return None


# Kirim hasil evaluasi ke Cloud Config. Anda dapat menyalin blok kode ini.
def put_evaluations(creds, result_token, evaluations):
    """
    Panggil operasi API untuk mengembalikan dan menyimpan hasil evaluasi.
    :param creds: Kredensial fungsi.
    :param result_token: Token hasil.
    :param evaluations: Hasil evaluasi.
    :return: None
    """
    # Peran terkait layanan untuk Function Compute harus memiliki kebijakan AliyunConfigFullAccess.
    client = AcsClient(creds.access_key_id, creds.access_key_secret, region_id='ap-southeast-1')

    # Buat permintaan dan atur parameternya. Nama domain adalah config.ap-southeast-1.aliyuncs.com.
    request = CommonRequest()
    request.set_domain('config.ap-southeast-1.aliyuncs.com')
    request.set_version('2019-01-08')
    request.set_action_name('PutEvaluations')
    request.add_body_params('ResultToken', result_token)
    request.add_body_params('Evaluations', evaluations)
    request.add_body_params('SecurityToken', creds.security_token)
    request.set_method('POST')

    try:
        response = client.do_action_with_exception(request)
        logger.info('PutEvaluations dengan permintaan: {}, respons: {}.'.format(request, response))
    except Exception as e:
        logger.error('Kesalahan PutEvaluations: %s' % e)


# Ambil detail resource lengkap. Anda dapat menyalin blok kode ini.
def get_discovered_resource(creds, resource_id, resource_type, region_id):
    """
    Panggil operasi API untuk mendapatkan detail konfigurasi resource.
    :param creds: Kredensial fungsi.
    :param resource_id: ID resource.
    :param resource_type: Jenis resource.
    :param region_id: ID wilayah tempat resource berada.
    :return: Detail resource.
    """
    # Peran terkait layanan untuk Function Compute harus memiliki kebijakan AliyunConfigFullAccess.
    client = AcsClient(creds.access_key_id, creds.access_key_secret, region_id='ap-southeast-1')

    request = CommonRequest()
    request.set_domain('config.ap-southeast-1.aliyuncs.com')
    request.set_version('2020-09-07')
    request.set_action_name('GetDiscoveredResource')
    request.add_query_param('ResourceId', resource_id)
    request.add_query_param('ResourceType', resource_type)
    request.add_query_param('Region', region_id)
    request.add_query_param('SecurityToken', creds.security_token)
    request.set_method('GET')

    try:
        response = client.do_action_with_exception(request)
        resource_result = str(response, encoding='utf-8')
        return resource_result
    except Exception as e:
        logger.error('Kesalahan GetDiscoveredResource: %s' % e)