Conformidade como código significa codificar os requisitos de conformidade da sua empresa em regras que avaliam se as configurações de recursos atendem aos seus padrões. O Cloud Config executa essa lógica usando funções de regra implantadas no Function Compute. Cada regra especifica os recursos associados, o tipo de gatilho e os parâmetros de entrada que determinam como e quando a avaliação de conformidade ocorre.
Quando a configuração de um recurso muda, o Cloud Config invoca a função de regra para avaliar a conformidade. Várias regras podem monitorar simultaneamente todos os itens de configuração do mesmo recurso.
Definição de regra
Uma regra é uma lógica que determina se um item de configuração de um recurso está em conformidade. Cada regra possui três componentes:
Parâmetros de entrada: itens de configuração obtidos por meio de APIs de serviços em nuvem, como especificações do recurso, região, nome, status, porta HTTP ou porta de rede externa. A chave de cada parâmetro de entrada deve corresponder ao nome do item de configuração associado.
Função de regra: código que verifica se o valor de um parâmetro de entrada atende à condição de conformidade. Por exemplo, uma regra que exige um listener HTTPS em uma instância do Server Load Balancer (SLB) usa o status do listener HTTPS como parâmetro de entrada. Se o listener estiver desativado, a regra considera a instância do SLB não compatível.
Parâmetros de saída: resultado da avaliação de conformidade retornado pela função de regra.
Tipos de recursos associados a uma regra
Por padrão, uma função de regra criada no console do Function Compute não tem associação com nenhum tipo de recurso. Como diferentes tipos de recursos podem ter itens de configuração com nomes idênticos, o Cloud Config não consegue avaliar a conformidade com precisão baseando-se apenas nos nomes dos parâmetros de entrada.
Associe a função de regra a um tipo de recurso no Cloud Config. Quando a configuração de um recurso for alterada, o Cloud Config identifica todas as regras associadas a esse tipo de recurso e determina se deve acioná-las com base nas alterações específicas.
Acionamento de uma regra
O Cloud Config oferece suporte aos seguintes tipos de gatilho:
|
Tipo de gatilho |
Descrição |
|
Alterações de configuração |
O Cloud Config detecta o item de configuração alterado, utiliza seu valor como parâmetro de entrada e invoca as regras correspondentes para avaliação. As chaves dos parâmetros de entrada devem corresponder aos nomes dos itens de configuração do recurso. |
|
Periódico |
O Cloud Config invoca a regra com uma frequência definida para avaliar a conformidade do recurso conforme uma programação. |
Resultados da avaliação de conformidade
O Cloud Config envia o resultado da alteração de configuração obtida como parâmetro de entrada para a função de regra. Após a avaliação, a função de regra retorna um resultado de conformidade ao Cloud Config. Os resultados são exibidos e agregados no console do Cloud Config. Consulte Visualize os resultados da avaliação de conformidade.
Para criar uma lógica de conformidade personalizada, crie uma função de regra personalizada no Function Compute. Consulte Crie uma função de regra personalizada. Para usar uma regra de conformidade integrada, consulte Modelos de regras.