Cloud Config:Verifique a conformidade de recursos em várias contas

Pré-requisitos

• O Resource Directory está ativado e duas contas de membro foram criadas nele. Para mais informações, consulte Enable a resource directory e Create a member.

• O Object Storage Service (OSS) está ativado e há buckets criados para as duas contas de membro. Para mais informações, consulte Get started by using the OSS console.

• O Cloud Config está ativado. Activate Cloud Config.

• O Simple Log Service está ativado. Activate Simple Log Service.

  Importante

  A ativação do Simple Log Service é gratuita. Há cobrança quando o Cloud Config envia dados de recursos ao Simple Log Service e quando você consulta e analisa logs. Para mais informações, consulte Billing overview.

Informações de contexto

A conta de gerenciamento pode usar o Cloud Config para visualize as listas de recursos, os históricos de alterações de configuração e o status de conformidade de todas as contas de membro. Ela também pode monitorar a conformidade de configuração desses recursos. Uma conta de membro pode visualize seu próprio grupo de contas, bem como as regras, os pacotes de conformidade e as entregas criadas para ela pela conta de gerenciamento. As contas de membro também podem verificar independentemente a conformidade de seus próprios recursos e configure entregas na aba Current Account.

Etapa 1: Crie um grupo de contas

Após crie as contas de membro no Resource Directory, crie um grupo de contas no Cloud Config e adicione as contas de membro a esse grupo. Use o grupo de contas para gerencie centralmente os recursos e a conformidade de todas as contas de membro pertencentes a ele.

1. Faça logon no console do Cloud Config.

2. No painel de navegação à esquerda, clique em Account Group.

3. Na página Account Group, clique em Create Aggregator.

Na página Create Account Group, insira um Account Group Name e uma Description. Em Account Group Type, selecione Custom. Na lista de membros, selecione as contas de membro de destino, como a management account, e clique em Submit.

Etapa 2: Visualize a lista de recursos

Visualize os recursos das duas contas de membro no grupo de contas em todas as regiões.

1. No canto superior esquerdo, selecione o grupo de contas que você deseja gerencie.

2. No painel de navegação à esquerda, escolha Account Group > Resources.

Na página Global Resources, filtre os recursos por Resource ID, Resource Type, Region ou Resource Status. A lista exibe o resultado de conformidade de cada recurso.

Etapa 3: Crie um pacote de conformidade

Use as regras padrão do modelo de pacote de conformidade Global Resources para verificar rapidamente a conformidade dos buckets nas contas de membro do grupo de contas atual.

1. No painel de navegação à esquerda, escolha BestPracticesForOSS > Compliance Package.

2. Na página Compliance Package, clique em Create Package no canto superior esquerdo.

3. Na página Select Template (Optional), clique no ícone no canto superior direito do cartão do modelo BestPracticesForOSS e, em seguida, clique em Next.

4. Na página Set Basic Properties, insira um nome para o pacote de conformidade. Mantenha os valores padrão para os outros parâmetros e clique em Next.

5. Na página Select rules, todas as regras do modelo BestPracticesForOSS são selecionadas por padrão. Clique em Next.

6. Na página Set Rule Parameters, configure os parâmetros necessários para as regras e clique em OK. Para o parâmetro allowReferers, insira a lista de permissões para proteção contra hotlink no campo de valor esperado. O valor esperado para o parâmetro allowEmptyReferer é true por padrão.

   Nota

   Para mais informações sobre como defina parâmetros para as regras, consulte a coluna Resource type em Alibaba Cloud services and resource types supported by Cloud Config.

Etapa 4: Visualize os resultados da avaliação de conformidade

Visualize os resultados da avaliação das regras do pacote de conformidade nos buckets de todas as contas de membro no grupo de contas e corrija as configurações não conformes.

1. No painel de navegação à esquerda, escolha Compliance & Audit > Compliance & Audit.

2. Na página Compliance Package, clique no ID do pacote de conformidade criado em Step 3. Na página de lista Compliance Package, visualize os detalhes da avaliação de cada pacote, como o Compliance Package Status, o número de Non-compliant Resources e o Risk Level.

3. Clique em Compliance Package no canto superior direito e, em seguida, clique em Download Report na caixa de diálogo OK. Após gerar o relatório, clique em Download Report novamente e clique em OK na caixa de diálogo de confirme para baixe o arquivo.

   Você receberá um pacote ZIP. Ao descompactá-lo, obterá dois relatórios de conformidade no formato Excel, nomeados com o ID e o nome da conta de membro.

4. Abra um dos relatórios do Excel. Na aba Download Compliance Report, filtre as regras não conformes pelo ID ou nome do bucket e aplique as correções sugeridas na coluna Non-compliant Resources.

Etapa 5: Envie eventos de não conformidade de recursos ao Simple Log Service

Configure o envio de eventos de não conformidade de recursos de todas as contas de membro no grupo de contas para um Logstore especificado do Simple Log Service, e consulte e analise os eventos.

1. Na página Remediation Suggestions, clique em Deliveries no canto superior esquerdo.

2. Na página Create Delivery, insira um Create Delivery. Para Delivery Name, selecione Channel Type. Para Log Service, selecione Content. Para Non-compliance Events, selecione Logstore Source. Em seguida, selecione uma Create a new log item in this account e insira um Project Region e um Project Name. Mantenha o valor padrão para o tipo de recurso. O padrão inclui todos os tipos de recursos.

3. Clique em Logstore Name.

4. Na caixa de diálogo Confirm, clique em Confirm Operation.

   A tarefa de entrega recém-criada entra em vigor apenas para as contas de membro no grupo de contas.

   O Cloud Config cria automaticamente um projeto e um Logstore no Simple Log Service e envia os eventos de não conformidade para o Logstore.

   Importante

   Há cobrança quando o Cloud Config envia dados de recursos ao Simple Log Service e quando você usa os recursos de consulta e análise. Para interromper as cobranças, exclua o projeto no console do Simple Log Service. Isso invalidará a entrega e impedirá o envio de novos dados. Para mais informações, consulte Manage projects.

5. Visualize, consulte e analise os eventos de não conformidade enviados.

   1. Na página OK, clique no ID da entrega que você criou.

   2. Na página de detalhes da entrega, localize Logstore Name na seção Deliveries e clique no nome do Logstore para abri-lo no console do Simple Log Service.

   3. Na caixa de diálogo Extended Information, clique em Error. O código de erro IndexConfigNotExist indica que a indexação não está ativada para o Logstore.

      Nota

      Os Logstores criados pelo Cloud Config não têm a indexação ativada por padrão.

   4. Ative a indexação para o Logstore.

      Create indexes.

   5. Consulte e analise os logs no Logstore.

      Query and analysis quick start.

      Nota

      Exemplo de formato JSON: Resource non-compliance event sample.