CreateConfigRule - Cloud Config: Central de Documentação do Alibaba Cloud

Cria uma regra com base em um modelo de regra gerenciada ou em uma regra personalizada do Function Compute para verificar a conformidade dos recursos. Após a criação de uma regra, uma avaliação inicial é realizada automaticamente. As avaliações subsequentes são acionadas automaticamente pelo Cloud Config com base no mecanismo de acionamento da regra. Você também pode acionar avaliações manualmente.

Descrição da operação

Limites

Você pode criar até 200 regras para cada conta.

Informações de contexto

O Cloud Config permite que você crie regras usando os seguintes métodos:

Criar uma regra com base em um modelo de regra gerenciada

Um modelo de regra gerenciada é uma função de regra que o Cloud Config integrou ao Function Compute. Você pode usar modelos de regras gerenciadas para criar regras rapidamente. Para obter mais informações sobre regras, consulte Como as regras são definidas e executadas.
Criar uma regra com base no Function Compute

Uma regra personalizada do Function Compute é uma regra personalizada cujo código é hospedado por uma função no Function Compute. Quando os modelos de regras gerenciadas fornecidos pelo Cloud Config não atendem aos seus requisitos para verificar a conformidade dos recursos, você pode escrever o código da função para realizar verificações de conformidade em cenários complexos. Para obter mais informações sobre regras personalizadas do Function Compute, consulte Como as regras personalizadas do Function Compute são definidas e executadas.

Notas de uso

Este tópico fornece um exemplo de criação de uma regra usando o modelo de regra gerenciada "required-tags". A resposta indica que a regra foi criada e o ID da regra é cr-5772ba41209e007b****.

Experimente agora

Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

Testar

Autorização RAM

A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.
API: A API que você pode chamar para executar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

Ação

Nível de acesso

Tipo de recurso

Chave de condição

Ação dependente

config:CreateConfigRule

create

*Rule.

acs:config:*:{#accountId}:rule/*

Nenhuma

Parâmetros da solicitação

Parâmetro	Tipo	Obrigatório	Descrição	Exemplo
TagKeyScope `deprecated`	string	Não	Especifica se deve ser realizada apenas uma pré-verificação da solicitação. Valores válidos: true: pré-verifica os parâmetros da solicitação e a lógica de negócios sem executar a operação real. Se a pré-verificação for bem-sucedida, o código de erro DryRunOperation será retornado. Se a pré-verificação falhar, o código de erro correspondente será retornado. false: executa a operação real. Valor padrão.	false
TagValueScope `deprecated`	string	Não	[Obsoleto] Use o parâmetro TagsScope em seu lugar. A regra entra em vigor apenas nos recursos que estão vinculados à chave de tag especificada. Nota Este parâmetro se aplica apenas a regras gerenciadas. Você deve especificar tanto TagKeyScope quanto TagValueScope.	ECS
TagKeyLogicScope	string	Não	[Obsoleto] Use o parâmetro TagsScope em seu lugar. A regra entra em vigor apenas nos recursos que estão vinculados ao valor de tag especificado. Nota Este parâmetro se aplica apenas a modelos de regras gerenciadas. Você deve especificar tanto TagKeyScope quanto TagValueScope. Valores válidos: OR : O operador lógico OR. AND : O operador lógico AND.	test
TagsScope	array<object>	Não	A relação lógica quando o parâmetro TagsScope tem vários valores. Por exemplo, se o parâmetro TagsScope estiver definido como `"TagsScope.1.TagKey":"a","TagsScope.1.TagValue":"a","TagsScope.2.TagKey":"b","TagsScope.2.TagValue":"b"` e este parâmetro estiver definido como AND, a regra entrará em vigor apenas nos recursos que estiverem vinculados tanto às tags `a:a` quanto `b:b`. Se este parâmetro for deixado vazio, a relação lógica padrão OR será usada. Este parâmetro também pode ser usado para o parâmetro obsoleto TagKeyScope (não recomendado). Por exemplo, se o parâmetro TagKeyScope estiver definido como `ECS,OSS` e este parâmetro estiver definido como AND, a regra entrará em vigor apenas nos recursos que estiverem vinculados tanto às tags ECS quanto OSS. Valores válidos: AND: o AND lógico. OR: o OR lógico.	AND
	object	Não
TagKey	string	Não	A chave da tag.	key-1
TagValue	string	Não	O valor da tag.	value-1
ExcludeTagsScope	array<object>	Não	O escopo da tag.
	object	Não
TagKey	string	Não	A chave da tag.	key-1
TagValue	string	Não	O valor da tag.	value-1
Description	string	Não	O escopo de tag excluído.	Você pode definir até 6 grupos de tags. Se um recurso tiver todas as tags especificadas, o recurso será considerado "em conformidade"
SourceOwner	string	Sim	A descrição da regra. Valores válidos: CUSTOM_CONFIGURATION : regra de condição personalizada. ALIYUN : modelo de regra. CUSTOM_FC : regra personalizada do Function Compute.	You can define up to 6 tag groups. If a resource has all the specified tags, the resource is considered compliant
MaximumExecutionFrequency	string	Não	O tipo da regra a ser criada. Valores válidos: ALIYUN: modelo de regra gerenciada. CUSTOM_FC: regra personalizada do Function Compute. CUSTOM_CONFIGURATION: regra personalizada baseada em condição. Valores válidos: Twelve_Hours : 12 horas. Three_Hours : 3 horas. Six_Hours : 6 horas. One_Hour : 1 hora. TwentyFour_Hours : 24 horas.	ALIYUN
Conditions	string	Não	A frequência de execução da regra. Valores válidos: One_Hour: 1 hora. Three_Hours: 3 horas. Six_Hours: 6 horas. Twelve_Hours: 12 horas. TwentyFour_Hours: 24 horas. Valor padrão. Nota Você deve especificar este parâmetro quando ConfigRuleTriggerTypes estiver definido como ScheduledNotification.	One_Hour
RegionIdsScope	string	Não	As condições para a regra personalizada baseada em condição no formato JSON.	{"ComplianceConditions":"{\"operator\":\"and\",\"children\":[{\"operator\":\"StringEquals\",\"featurePath\":\"$.Status\",\"desired\":\"1\",\"featureSource\":\"CONFIGURATION\"}]}"}
ExcludeRegionIdsScope	string	Não	A regra entra em vigor apenas nos recursos nos IDs de região especificados. Separe vários IDs de região com vírgulas (,). Nota Este parâmetro se aplica apenas a modelos de regras gerenciadas.	cn-hangzhou
ResourceGroupIdsScope	string	Não	A regra não entra em vigor nos recursos nos IDs de região especificados, o que significa que as avaliações não são realizadas nos recursos nessas regiões. Separe vários IDs de região com vírgulas (,).	cn-shanghai
ExcludeResourceGroupIdsScope	string	Não	A regra entra em vigor apenas nos recursos nos IDs de grupo de recursos especificados. Separe vários IDs de grupo de recursos com vírgulas (,). Nota Este parâmetro se aplica apenas a modelos de regras gerenciadas.	rg-aekzc7r7rhx****
InputParameters	object	Não	A regra não entra em vigor nos recursos nos IDs de grupo de recursos especificados, o que significa que as avaliações não são realizadas nos recursos nesses grupos de recursos. Separe vários IDs de grupo de recursos com vírgulas (,).	rg-bnczc6r7rml****
ResourceIdsScope	string	Não	Os parâmetros de entrada para a regra. Você pode obter os parâmetros de entrada chamando a operação GetManagedRule. Verifique os parâmetros CompulsoryInputParameterDetails e OptionalInputParameterDetails para visualizar os parâmetros obrigatórios e opcionais. O formato dos parâmetros de entrada é `{"Nome do parâmetro 1":"Valor do parâmetro 1","Nome do parâmetro 2":"Valor do parâmetro 2"}`.	{"key1":"value1","key2":"value2"}
ExcludeResourceIdsScope	string	Não	A regra entra em vigor nos IDs de recurso especificados. Separe vários IDs de recurso com vírgulas (,).	lb-5cmbowstbkss9ta03****
SourceIdentifier	string	Sim	A regra não entra em vigor nos IDs de recurso especificados, o que significa que as avaliações não são realizadas nesses recursos. Separe vários IDs de recurso com vírgulas (,). Nota Este parâmetro se aplica apenas a modelos de regras gerenciadas.	lb-t4nbowvtbkss7t326****
ConfigRuleTriggerTypes	string	Sim	O identificador do modelo de regra. Se SourceOwner estiver definido como ALIYUN, insira o identificador do modelo de regra gerenciada, como `required-tags`. Nota Para obter mais informações sobre como consultar o identificador de um modelo de regra gerenciada, consulte Modelos de regras gerenciadas. Se SourceOwner estiver definido como CUSTOM_CONFIGURATION, defina este parâmetro como `acs-config-configuration`. Se SourceOwner estiver definido como CUSTOM_FC, insira o ARN da função do Function Compute. O formato do ARN é `acs:fc:region:account ID:services/service name.LATEST/functions/function name`, como `acs:fc:cn-hangzhou:120886317861**:services/service-test.LATEST/functions/config-test`. Nota** Para obter mais informações sobre como obter o ARN de uma função, consulte ListFunctions.	required-tags
ConfigRuleName	string	Sim	O mecanismo de acionamento da regra. Valores válidos: ConfigurationItemChangeNotification: alteração de configuração. ScheduledNotification: execução periódica. Nota Se a regra tiver ambos os mecanismos de acionamento, separe-os com uma vírgula (,).	ConfigurationItemChangeNotification
ClientToken	string	Não	O nome da regra.	All specified tags exist
ResourceTypesScope	array	Sim	O token de cliente usado para garantir a idempotência da solicitação. Você pode usar o cliente para gerar o token, mas deve garantir que o token seja exclusivo entre diferentes solicitações. O parâmetro ClientToken aceita apenas caracteres ASCII e não pode exceder 64 caracteres de comprimento.	1594295238-f9361358-5843-4294-8d30-b5183fac****
	string	Não	Os tipos de recurso a serem avaliados pela regra. Separe vários tipos de recurso com vírgulas (,).	ACS::ECS::Instance
RiskLevel	integer	Sim	Os tipos dos recursos a serem avaliados pela regra. O formato real do parâmetro é uma string simples separada por vírgulas (como ACS::ECS::Instance,ACS::RDS::DBInstance). Arrays JSON ou parâmetros indexados no formato ResourceTypesScope.1 não são suportados. Valores válidos: 1 : alto risco. 2 : médio risco. 3 : baixo risco.	ACS::ECS::Instance
ExtendContent	string	Não	O nível de risco da regra. Valores válidos: 1: alto risco. 2: risco médio. 3: baixo risco.	1
Tag	array<object>	Não	O conteúdo estendido. Atualmente, este parâmetro é usado apenas para definir o horário de acionamento para o acionamento periódico de 24 horas.	{"fixedHour":"13"}
	object	Não	As tags do recurso. Você pode adicionar até 20 tags.
Key	string	Não	A chave da tag do recurso. Você pode especificar até 20 chaves de tag.	key-1
Value	string	Não	O valor da tag do recurso. Você pode especificar até 20 valores de tag.	value-1
ResourceNameScope	string	Não	As tags da regra criada.	i-xxx

Para obter mais informações sobre parâmetros de solicitação comuns, consulte Parâmetros comuns.

Elementos de resposta

Elemento	Tipo	Descrição	Exemplo
	object	A resposta.
ConfigRuleId	string	O ID da regra.	cr-5772ba41209e007b****
RequestId	string	O ID da solicitação.	6EC7AED1-172F-42AE-9C12-295BC2ADB751

Exemplos

Resposta de sucesso

JSON formato

{
  "ConfigRuleId": "cr-5772ba41209e007b****",
  "RequestId": "6EC7AED1-172F-42AE-9C12-295BC2ADB751"
}

Códigos de erro

Código de status HTTP	Código de erro	Mensagem de erro
400	ExceedMaxRuleCount	The maximum number of rules is exceeded.
400	ConfigRuleNotExists	The ConfigRule does not exist.
400	ConfigRuleExists	The ConfigRule already exists.
400	DryRunOperation	Request validation has been passed with DryRun flag set.
404	AccountNotExisted	Your account does not exist.
503	ServiceUnavailable	The request has failed due to a temporary failure of the server.

Consulte Códigos de Erro para uma lista completa.

Notas de versão

Consulte Notas de Versão para uma lista completa.