Alibaba Cloud Service Mesh:Configure alertas de auditoria para operações de recursos do mesh

Pré-requisitos

• Você ativou o Simple Log Service (SLS). Para mais informações sobre o faturamento do SLS, consulte Billing overview.

• An ASM instance is created.

Etapa 1: Ativar a auditoria de mesh

Após ativar a auditoria de mesh, o SLS coleta os logs de operação da KubeAPI da instância do ASM. Esses logs servem como source de dados para as configurações de alerta subsequentes.

1. Faça login no console do ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

2. Na página Mesh Management, clique em nome da instância do ASM. No painel de navegação à esquerda, escolha Mesh Security Center > KubeAPI Operation Audit.

3. Na página KubeAPI Operation Audit, selecione Enable Mesh Audit e clique em OK.

   A figura a seguir mostra a auditoria de mesh ativada.

   Depois que a auditoria de mesh é ativada, a página Mesh Audit exibe as abas API Access Overview e Detailed Resource Operation List. A aba Mesh API Access Overview contém o gráfico de pizza Access Source Distribution, as estatísticas de Invalid Accesses e a Public Access List (com colunas como Source Address, Accesses, Failure Rate, Invalid Accesses, High-Risk IP, Region e Carrier). No canto superior direito da página, use a opção Disable Mesh Audit.

Etapa 2: Adicionar um destinatário de alerta

Neste exemplo, os alertas são enviados ao grupo de usuários interno do Service Mesh no SLS. Adicione uma conta capaz de receber notificações a esse grupo de usuários.

1. Certifique-se de que a conta de usuário de teste do Resource Access Management (RAM) possua um número de telefone celular apto a receber mensagens de texto. Para mais informações, consulte Create a user.

2. Adicione o usuário RAM de teste ao grupo de usuários.

   1. Faça login no console do Simple Log Service.

   2. Na área Project List, clique em nome do projeto desejado. No painel de navegação à esquerda, clique em Alerts.

      • Caso tenha criado um novo projeto em vez de reutilizar um existente ao criar o mesh ou ativar o recurso de auditoria, o nome do projeto seguirá o formato mesh-log-<Mesh ID>.

      • Se você reutilizou um projeto existente, clique em nome desse projeto.

   3. Na página Alert Center, clique em Notification Recipient > User Group Management.

   4. Na aba User Group Management, localize o SLS Service Mesh Built-in User Group e clique em Modify na coluna Actions.

      O Identifier do SLS Service Mesh Built-in User Group é sls.app.asm.builtin.

   5. Na caixa de diálogo Modify User Group, adicione o usuário RAM de teste e clique em OK.

Etapa 3: Configurar alertas de auditoria

Configure um alerta para enviar uma notificação por mensagem de texto quando um recurso de serviço virtual for excluído.

1. Faça login no console do Simple Log Service.

2. Na área Project List, clique em nome do projeto desejado. No painel de navegação à esquerda, clique em Alerts.

3. Na página Alert Center, clique em aba Alert Rules e, em seguida, clique em Create Alert.

4. No painel Create Alert, configure os parâmetros e clique em OK.

   A tabela a seguir descreve alguns dos parâmetros. Para obter detalhes sobre todos os parâmetros, consulte Create an alert monitoring rule.

   Parâmetro	Descrição
   Rule Name	Defina como Delete Virtual Service.
   Check Frequency	Defina como 1 minute para verificar rapidamente o resultado neste exemplo.
   Query and Analyze	Clique em Add. Na aba Advanced Configuration da caixa de diálogo Query and Analyze, selecione um Logstore que comece com audit. Defina o Query Time Range com o mesmo valor da Check Frequency, 1 minute (relative), para evitar alarmes repetidos ou falsos negativos. Na caixa de texto Query, insira (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: virtualservices and objectRef.apiGroup: "networking.istio.io" and ( verb: delete ). Clique em Preview para confirmar a consulta e, em seguida, clique em OK.
   Trigger Condition	Configure para acionar um alerta com nível de severidade High quando dados forem encontrados.
   Add Annotation	Modifique o title e a desc conforme necessário para configurar o título e o conteúdo do alerta. Para mais informações, consulte Content template variables (New).
   Outputs	Selecione SLS Notification e ative a chave Enable. Para Action Policy, selecione SLS Service Mesh Built-in Action Policy (sls.app.asm.builtin).

   Para Group Evaluation, selecione No Grouping. Em Add Annotation, defina os valores de title e desc como ${alert_name} alert triggered. Para Outputs, selecione tanto Event Store quanto CloudMonitor Event Center. Em Alert Policy, selecione Standard Mode e defina o Repeat Interval como 1 minute.

Etapa 4: Verificar o alerta de auditoria

Exclua um recurso de serviço virtual para validar o alerta de auditoria configurado na Etapa 3.

1. Crie e exclua um serviço virtual.

   1. Faça login no console do ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique em nome da instância do ASM. No painel de navegação à esquerda, escolha Traffic Management Center > VirtualService. Na página exibida, clique em Create from YAML.

   3. Na página Create, defina o Namespace como default e o Scenario Template como Basic HTTP Routing. Em seguida, clique em Create.

   4. Na página Virtual Services, localize o serviço virtual reviews-route recém-criado e clique em Delete na coluna Actions. Na caixa de diálogo Confirm, clique em OK.

2. Verifique se o alerta de auditoria foi bem-sucedido.

   1. Faça login no console do Simple Log Service.

   2. Na área Project List, clique em nome do projeto desejado. No painel de navegação à esquerda, clique em Dashboard > Dashboard List.

   3. Na lista de Dashboard, clique em Alert History Statistics para visualizar o registro de execução de cada alerta e verificar se algum alerta foi acionado.

      A exclusão do serviço virtual na Etapa 1 aciona um alerta na área Alert History. Se o Execution Result e o Notification Status do registro de alerta alvo na tabela Alert History forem ambos Success, e Alert Triggered for true, a configuração de alerta de auditoria estará em vigor.

   4. No painel de navegação à esquerda, clique em Log Storage. Localize e clique em Logstore internal-alert-history e, em seguida, clique em Search & Analysis no lado direito da página.

      Visualize um log de alerta onde o AlertDisplayName seja Delete Virtual Service. O campo Fired deste log deve ser true.

   5. Verifique se o número de telefone celular associado à conta de teste recebeu uma notificação de alerta por mensagem de texto.

Informações relacionadas

Detalhes da política de ação interna do Service Mesh no SLS

Referência para consultas comuns de condições de alerta

• Criar, atualizar ou excluir um gateway do ASM (IstioGateway)

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: istiogateways and objectRef.apiGroup: "istio.alibabacloud.com" and ( verb: create or verb: delete or verb: update )

• Excluir uma regra de gateway (Gateway)

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: gateways and objectRef.apiGroup: "networking.istio.io" and ( verb: delete )

• Excluir um certificado (ASMCredential)

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: asmcredentials and objectRef.apiGroup: "istio.alibabacloud.com" and ( verb: delete )

• Excluir um serviço virtual (VirtualService)

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: virtualservices and objectRef.apiGroup: "networking.istio.io" and ( verb: delete )

• Excluir uma regra de destino (DestinationRule)

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: destinationrules and objectRef.apiGroup: "networking.istio.io" and ( verb: delete )

• Excluir Telemetria de Observabilidade

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: telemetries and objectRef.apiGroup: "telemetry.istio.io" and ( verb: delete )

• Excluir uma política de autorização (AuthorizationPolicies)

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: authorizationpolicies and objectRef.apiGroup: "security.istio.io" and ( verb: delete )

• Excluir um filtro Envoy (EnvoyFilter)

  (responseStatus.code: 200 or responseStatus.code: 201) and objectRef.resource: envoyfilters and objectRef.apiGroup: "networking.istio.io" and ( verb: delete )

Referências

• Para conceder permissões de somente leitura ou de gerenciamento de alertas do Simple Log Service a um usuário RAM, consulte Grant permissions to a RAM user to manage alerts.

• Configure identidade de carga de trabalho, autenticação de pares, autenticação de solicitação e políticas de autorização no mesh para gerenciar recursos com maior granularidade e melhorar a segurança. Para mais informações, consulte Zero trust security overview.