配置审计 CONFIG-华为云

配置审计 CONFIG-资源记录器常见问题:如何获取各对接云服务上报Config的资源属性？

如何获取各对接云服务上报Config的资源属性？获取各对接云服务上报Config的资源属性有如下两种方式：通过Config管理控制台的高级查询功能，进入查询编辑器即可在界面左侧获取，如下步骤仅为进入查询编辑器的其中一种方式。登录管理控制台。进入Config服务的高级查询界面。在“预设查询”列表中单击任一查询操作列的“使用查询”。图1 使用查询进入查询编辑器，界面左侧显示各对接云服务资源类型的详细属性，并支持输入资源类型名称进行搜索。图2 查看资源类型详细属性通过“列举高级查询Schema”接口获取，其中type字段为资源类型，schema字段为此资源类型上报Config的资源属性。

配置审计 CONFIG

配置审计 CONFIG-资源记录器常见问题:为什么开启并配置资源记录器后，将数据转储至当前账号或其他账号的OBS桶时报错？

为什么开启并配置资源记录器后，将数据转储至当前账号或其他账号的OBS桶时报错？如果界面出现“Failed to write the ConfigWritabilityCheckFile file to the OBS bucket because the OBS bucket or the IAM agency is invalid.”报错，则需要确认如下场景：资源记录器使用的IAM委托权限中，需要具有OBS服务的“obs:object:PutObject”权限；将数据存储至当前账号的OBS桶时，桶策略不能显式Deny掉来自IAM委托的PutObject操作（Action）；如果是跨账号存储场景，桶策略需要显式Allow来自IAM委托的PutObject操作（Action），具体请参见跨账号授权，关于桶策略的权限判断逻辑请参见桶策略参数说明；用于存储的OBS桶是否开启服务端加密。如果已开启服务端加密，则还需要配置KMS的权限，具体请参见资源变更消息和资源快照转储至OBS加密桶。

配置审计 CONFIG

配置审计 CONFIG-导出资源列表:操作步骤

操作步骤登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击列表左上方的“导出资源列表”按钮，导出列表中的资源信息。导出资源列表功能仅会导出资源列表中展示资源的相关信息：如未在“资源清单”页面进行任何筛选和搜索操作，由于资源列表默认展示Config支持且您拥有的全部资源，则将导出Config支持且您拥有的全部资源信息。在“资源清单”页面通过选择服务、资源类型和区域来筛选资源，或通过在页面中部的搜索框进行更精细的资源搜索，则仅会导出筛选和搜索出的资源信息。如何筛选资源请参见筛选资源。图1 导出资源列表导出的文件格式为Excel格式，文件中将包含您筛选出的全部资源上报Config特定资源属性。

配置审计 CONFIG 查看资源

配置审计 CONFIG-资源快照存储

资源快照存储您在开启资源记录器，并成功配置OBS桶后，资源记录器会定期（24小时）将资源快照文件存储到您配置的OBS桶中。无论是将资源快照文件存储至您账号的桶还是另一账号的桶，该文件在OBS桶内存放的路径均为：${bucket_name}/${bucket_prefix}/ RMS Logs/${account_id}/Snapshot/${year}/${month}/*。此路径中的每个字段在控制台上均表示一个文件夹层级的名称，在OBS控制台进入相关桶的“对象”页面，然后按照上述路径所示查找资源快照存储文件，其中*表示文件名称。资源快照存储文件的名称由账号ID、存储文件类型、OBS桶所在区域的ID、存储时间、随机生成的字符串、拆分文件的序号组成。每个文件最多存储2000个资源的信息，超出后将拆分为多个文件，此时文件名称中才会出现拆分文件的序号（例如part-1），“.json.gz”表示该文件的存储类型为JSON格式的压缩包。文件名称示例如下：0926901ef980f2150fbdc001fdd23e80_Snapshot_me-east-1_ResourceSnapshot_2024-07-22T221441Z_90decead-b69b-4522-a090-657d8c299d40_part-1.json.gz。关于OBS的详细使用说明请参见列举对象。当前用户的资源有保有中（Normal）和已删除（Deleted）两种状态，资源记录器仅会转储资源状态为保有中（Normal）的资源快照文件，不会转储状态为已删除（Deleted）的资源快照文件。如果您想了解关于资源快照存储的后台代码示例，请参见资源存储模型。父主题：资源记录器

配置审计 CONFIG

配置审计 CONFIG-配置资源记录器:资源变更消息和资源快照转储至OBS加密桶

资源变更消息和资源快照转储至OBS加密桶使用SSE-OBS方式加密的OBS桶如果您需要将资源变更消息和资源快照存储至使用SSE-OBS方式加密的OBS桶，无需其他操作，只需选择对应OBS桶进行存储即可。使用SSE-KMS默认密钥方式加密的OBS桶如果您需要将资源变更消息和资源快照存储至使用SSE-KMS默认密钥方式加密的OBS桶，则需要在对资源记录器的委托中新增KMS的管理员权限（KMS Administrator）。使用SSE-KMS自定义密钥方式加密的OBS桶如果您需要将资源变更消息和资源快照存储使用SSE-KMS自定义密钥方式加密的OBS桶，则需要在对资源记录器的委托中新增KMS的管理员权限（KMS Administrator）。另外，如果您选择将资源变更消息和资源快照存储至其他账号的使用SSE-KMS自定义密钥方式加密的OBS桶，则除了需要在对资源记录器的委托中新增KMS的管理员权限（KMS Administrator），还需要在被存储的OBS桶的密钥中设置密钥的跨账号权限。具体可参考以下步骤：用授权账号登录管理控制台，进入数据加密服务的“密钥管理”界面。单击目标自定义密钥的别名，进入密钥详细信息的授权页面。参考创建授权对待授权账号授予其使用相关自定义密钥的权限。 “被授权对象”选择“账号”，并输入待授权账号的账号ID。 “授权操作”勾选“创建数据密钥”、“查询密钥信息”和“解密数据密钥”。

配置审计 CONFIG 资源记录器

配置审计 CONFIG-配置资源记录器:开启并配置资源记录器

开启并配置资源记录器开启并配置资源记录器的资源转储和主题功能后，当对接服务上报Config的资源变更（被创建、修改、删除等）、资源关系变更时，您均可收到通知，同时还可对您的资源变更消息和资源快照进行定期存储。登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击左侧的“资源记录器”，进入“资源记录器”页面。打开资源记录器开关，在弹出的确认框中单击“是”，资源记录器开启成功。图1 开启资源记录器选择资源的监控范围。默认情况下，资源记录器的监控范围会覆盖当前Config支持的全部资源。您可以修改资源记录器的监控范围，选择指定的资源类型进行监控。资源记录器默认收集Config服务的所有资源数据。图2 选择监控范围配置资源转储。选择OBS桶，用于存储资源变更消息及资源快照。如果您先配置了 SMN 主题，则也可以不配置资源转储（OBS桶）。配置当前账号下OBS桶：选择“您账号的桶”，然后在下拉列表中选择您账号下的OBS桶，用于存储资源变更消息及资源快照。如果您需要将资源变更消息及资源快照存储在OBS桶内的某个文件夹下，则在选择OBS桶后，还需输入“桶前缀”，该前缀指OBS桶内某个文件夹的名称。如您的账号下无OBS桶，则需先创建OBS桶，详见创建桶。配置其他账号下OBS桶：选择“另一账号的桶”，并输入区域ID和桶名称，如果您需要将资源变更消息及资源快照存储在OBS桶内的某个文件夹下，则还需输入“桶前缀”，该前缀指OBS桶内某个文件夹的名称。需先使用其他账号对当前账号授予相关OBS桶的权限，具体操作请参见跨账号授权。开启资源记录器时，如果指定了当前账号或其他账号下的OBS桶，Config会向目标OBS桶中写入一个名为ConfigWritabilityCheckFile的空文件，此文件仅用于验证资源转储是否能够成功写入OBS桶。图3 配置资源转储配置数据保留周期。资源记录器收集到的资源配置信息数据默认保留7年（2557天），您可以将配置信息数据设置自定义保留周期，自定义数据保留周期的可设置范围为最短30天，最长7年（2557天）。虽然Config使用SMN和OBS发送资源变更消息通知和存储资源变更消息及资源快照，但Config自身也会保存资源的历史变更信息。此处配置的数据保留时间仅针对于Config，不会对SMN和OBS存储的数据产生影响。当您配置数据保留周期后，Config会在指定周期内保留您的资源历史数据，超出指定周期的数据将会被删除。图4 配置数据保留周期（可选）开启并配置消息通知（SMN）主题。打开主题开关，选择主题所在区域和主题名，用于接收资源变更时产生的消息通知。配置当前账号下消息通知主题：选择“您自己的主题”，并选择主题所在区域和主题名，用于接收资源变更时产生的消息通知。如无SMN主题，则需先创建SMN主题，详见创建主题。配置其他账号下消息通知主题：选择“另一账号的主题”，并输入主题URN，关于主题URN的详细信息请参见基本概念。需先使用其他账号对当前账号授予相关SMN主题的权限，具体操作请参见跨账号授权。创建SMN主题后，还需执行“添加订阅”和“请求订阅”操作，消息通知才会生效。图5 配置SMN主题进行授权，选择“快速授权”或“自定义授权”。快速授权：将为您快速创建一个名为“rms_tracker_agency”的委托权限，该权限是可以让资源记录器正常工作的权限，包含调用消息通知服务（SMN）发送通知的权限和对象存储服务（OBS）的写入权限（例如SMN Administrator和OBS OperateAccess权限）。由于快速授权的委托中并不包含KMS的相关权限，因此资源记录器无法将资源变更消息和资源快照存储到“使用KMS方式加密的OBS桶”中。如有需要，您可以在委托中添加对应权限（KMS Administrator）或使用自定义授权，具体请参见资源变更消息和资源快照转储至OBS加密桶。如何为委托添加权限请参见删除或修改委托。自定义授权：您可自行在统一身份认证服务（IAM）中创建委托权限，并进行自定义授权，授权对象为云服务RMS，但必须包含可以让资源记录器正常工作的权限（调用消息通知服务（SMN）发送通知的权限和对象存储服务（OBS）的写入权限至少包含一个）。如果需要将资源变更消息和资源快照存储到“使用KMS方式加密的OBS桶”中，还需要添加KMS的密钥管理员权限（KMS Administrator），具体请参见资源变更消息和资源快照转储至OBS加密桶。创建委托详见委托其他云服务管理资源。图6 授权配置完成后，单击“保存”。在弹出的确认框中单击“是”，资源记录器配置成功。

配置审计 CONFIG 资源记录器

配置审计 CONFIG-配置资源记录器:跨账号授权

跨账号授权跨账号授予SMN主题发送通知的权限用授权账号登录管理控制台，进入对应区域的SMN服务控制台。参考设置主题策略对待授权账号授予相关SMN主题的权限。跨账号授予OBS桶存储文件的权限用授权账号登录管理控制台，进入OBS管理控制台。参考自定义创建桶策略（JSON视图）对待授权账号授予相关OBS桶的权限。桶策略的示例如下，配置该桶策略，将允许被授权账号的资源记录器将转储文件存放至本OBS桶的指定路径内，以下参数需要您根据实际使用场景手动替换： ${account_id}：需要被授权的账号的domain_id； ${agency_name}：被授权的委托名称，如果您使用快速授权方式，则该值为“rms_tracker_agency”； ${bucket_name}：用于存储文件的OBS桶的桶名； ${bucket_prefix}：用于存储文件的OBS桶的桶前缀，此前缀表示OBS桶内文件夹的名称。如果您未设置OBS桶前缀，则需删除“/${bucket_prefix}”。 { "Statement": [ { "Sid": "org-bucket-policy", "Effect": "Allow", "Principal": { "ID": [ "domain/${account_id}:agency/${agency_name}" ] }, "Action": [ "PutObject" ], "Resource": [ "${bucket_name}/${bucket_prefix}/RMSLogs/*/Snapshot/*", "${bucket_name}/${bucket_prefix}/RMSLogs/*/Notification/*" ] } ] }

配置审计 CONFIG 资源记录器

配置审计 CONFIG-资源变更消息存储模型:资源变更消息存储示例

资源变更消息存储示例 { "notification_items": [ { "detail": { "resource": { "id": "ea05ef41-8bd6-4a9c-af39-244e1ec448eb", "name": "as-group-test", "provider": "as", "type": "scalingGroups", "checksum": "", "region_id": ""regionid1a", "project_id": "068d54ceca00d5302f70c00aaf6a471c", "project_name": "test", "ep_id": "0", "ep_name": "default" }, "resource_id": "ea05ef41-8bd6-4a9c-af39-244e1ec448eb", "resource_type": "as.scalingGroups", "event_type": "DELETE", "capture_time": "2020-12-08T09:30:27.158Z" }, "notification_type": "ResourceChanged", "notification_creation_time": "2020-12-08T09:30:27.272Z", "domain_id": "059b5c937100d3e40ff0c00a7675a0a0" } ] }

配置审计 CONFIG 存储模型

配置审计 CONFIG-资源变更消息存储模型:资源变更的消息通知模型

资源变更的消息通知模型表2 资源变更的消息通知模型参数参数类型描述 notification_type String 消息通知类型。此处的消息通知类型为“ResourceChanged”。 notification_creation_time String 消息发送时间。具有固定格式：遵循ISO8601格式，UTC时区（例如：2018-11-14T08:59:14Z）。 domain_id String 账号ID。 detail Object 消息详情。表3 detail参数参数参数类型描述 resource_id String 资源ID。 resource_type String 资源类型。 event_type Enum 事件类型（CREATE|UPDATE|DELETE）。 capture_time String 事件捕获时间。具有固定格式：遵循ISO8601格式，UTC时区（例如：2018-11-14T08:59:14Z）。 resource Object 资源详情。表4 resource 参数参数类型描述 id String 资源ID。 name String 资源名称。 provider String 云服务名称。 type String 云资源类型。 region_id String 资源所在区域ID。 project_id String IAM项目ID。 project_name String IAM项目名称。 ep_id String 企业项目ID。 ep_name String 企业项目名称。 checksum String 校验和。 created String 云资源初始创建时间。具有固定格式：遵循ISO8601格式，UTC时区（例如：2018-11-14T08:59:14Z）。 updated String 云资源最后更新时间。具有固定格式：遵循ISO8601格式，UTC时区（例如：2018-11-14T08:59:14Z）。 provisioning_state String 资源操作状态。 tags Map 租户为云资源做的标记。 properties Map 云资源的属性详情。

配置审计 CONFIG 存储模型

配置审计 CONFIG-支持云审计的关键操作:支持审计的关键操作列表

支持审计的关键操作列表表1 云审计服务支持的Config操作列表操作名称资源类型事件名称创建合规规则 policy createPolicyAssignments 删除合规规则 policy deletePolicyAssignment 更新合规规则 policy updatePolicyAssignment 触发规则评估 policy runEvaluation 停用合规规则 policy disablePolicyAssignment 启用合规规则 policy enablePolicyAssignment 创建或更新合规规则修正配置 policy createOrUpdateRemediationConfiguration 删除合规规则修正配置 policy deleteRemediationConfiguration 手动运行合规规则修正执行 policy runRemediationExecution 批量创建合规规则修正例外 policy batchCreateRemediationExceptions 批量删除合规规则修正例外 policy batchDeleteRemediationExceptions 更新合规评估结果 policyState updatePolicyState 创建或修改资源记录器配置 trackerConfig createOrUpdateTrackerConfig 删除资源记录器配置 trackerConfig deleteTrackerConfig 创建高级查询 storedQuery createStoredQuery 更新高级查询 storedQuery updateStoredQuery 删除高级查询 storedQuery deleteStoredQuery 创建组织合规规则 organizationPolicyAssignments createOrganizationPolicyAssignment 更新组织合规规则 organizationPolicyAssignments updateOrganizationPolicyAssignment 删除组织合规规则 organizationPolicyAssignments deleteOrganizationPolicyAssignment 创建资源聚合器授权 authorization createAggregationAuthorization 删除资源聚合器授权 authorization deleteAggregationAuthorization 创建资源聚合器 aggregator createConfigurationAggregator 删除资源聚合器 aggregator deleteConfigurationAggregator 更新资源聚合器 aggregator updateConfigurationAggregator 删除聚合器账号中挂起的授权请求 aggregationRequests deletePendingAggregationRequest 创建合规规则包 conformancePacks createConformancePack 删除合规规则包 conformancePacks deleteConformancePack 更新合规规则包 conformancePacks updateConformancePack 创建组织合规规则包 organizationConformancePacks createOrganizationConformancePack 删除组织合规规则包 organizationConformancePacks deleteOrganizationConformancePack 更新组织合规规则包 organizationConformancePacks updateOrganizationConformancePack 批量添加资源标签 policy tagResource 批量删除资源标签 policy unTagResource

配置审计 CONFIG 云审计-记录配置审计

配置审计 CONFIG-资源合规常见问题:添加合规规则时，规则参数指的是什么？

添加合规规则时，规则参数指的是什么？规则参数和合规策略是对应的，例如：您选择了“资源具有指定的标签”预设策略，则需要配置该预设策略对应的规则参数“key”和“value”的具体值。预设策略的规则参数无法增删，但是您可以根据需要为其设置不同的参数值，将合规策略重用于不同的方案。自定义策略的规则参数由您自行配置，您可以根据需要为自定义策略添加不同的规则参数，最多可添加10个。图1 规则参数赋值

配置审计 CONFIG

配置审计 CONFIG-资源合规常见问题:添加“iam-password-policy”、“iam-user-mfa-enabled”等合规规则后，为什么没有合规评估结果？

添加“iam-password-policy”、“iam-user-mfa-enabled”等合规规则后，为什么没有合规评估结果？资源合规的数据来源于Config服务在资源清单页面所收集到的全部资源。请检查相关资源在资源清单页面中是否正常展示，如未正常展示，可能是由于您没有开启资源记录器导致未收集到相应的资源数据。如果您需要使用这些合规规则，请开启资源记录器并收集相关的资源数据；如不需要使用这些规则，请停用未收集资源数据对应的合规规则，避免造成混淆或产生不必要的费用。

配置审计 CONFIG

配置审计 CONFIG-快速入门:查看规则评估结果

查看规则评估结果资源合规规则添加完成后，您可以在规则列表中查看所有已添加的合规规则，进入规则详情页可查看规则的评估结果、标签和规则详情配置等信息。登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击左侧的“资源合规”，进入“资源合规”页面。在“规则”页签下的列表中，可查看所有已添加的合规规则以及其运行状态、合规评估结果等信息。在规则列表中单击合规规则的规则名称，进入规则详情页。 “基本信息”页面左侧为此合规规则评估结果的详细信息，页面右侧为此合规规则的配置详情。在左侧评估结果列表上方，您可以通过资源名称或ID对评估结果进行检索，还支持导出全部评估结果数据。 “标签”页签展示此合规规则的标签信息，且支持编辑标签。图11 合规规则详情合规规则的运行状态分为：已启用：表示此合规规则可用。已停用：表示此合规规则已停用。评估中：表示正在使用此合规规则进行资源评估。提交中：表示自定义合规规则正在提交评估任务给FunctionGraph函数。当规则评估正在进行中时，规则的运行状态显示为“评估中”，当规则评估结束后，规则的运行状态变为“已启用”，此时可查看规则评估结果。

配置审计 CONFIG

配置审计 CONFIG-快速入门:高级查询概述

高级查询概述配置审计服务提供高级查询能力，通过使用ResourceQL自定义查询用户当前的单个或多个区域的资源配置状态。高级查询支持用户自定义浏览、筛选和查询华为云云服务资源，用户可以通过ResourceQL在查询编辑器中编辑和查询。 ResourceQL是结构化的查询语言 (SQL) SELECT 语法的一部分，它可以对当前资源数据执行基于属性的查询和聚合。查询的复杂程度不同，既可以是简单的标签或资源标识符匹配，也可以是更复杂的查询，例如查看指定具体OS版本的云服务器。您可以使用高级查询来实现：库存管理。例如检索特定规格的云服务器实例的列表。安全合规检查。例如检索已启用或禁用特定配置属性（公网IP，加密磁盘）的资源的列表。成本优化。例如查找未挂载到任何云服务器实例的云磁盘的列表。

配置审计 CONFIG

配置审计 CONFIG-快速入门:开启并配置资源记录器

开启并配置资源记录器开启并配置资源记录器的资源转储和主题功能后，当对接服务上报Config的资源变更（被创建、修改、删除等）、资源关系变更时，您均可收到通知，同时还可对您的资源变更消息和资源快照进行定期存储。登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击左侧的“资源记录器”，进入“资源记录器”页面。打开资源记录器开关，在弹出的确认框中单击“是”，资源记录器开启成功。图2 开启资源记录器选择资源的监控范围。默认情况下，资源记录器的监控范围会覆盖当前Config支持的全部资源。您可以修改资源记录器的监控范围，选择指定的资源类型进行监控。资源记录器默认收集Config服务的所有资源数据。图3 选择监控范围配置资源转储。选择OBS桶，用于存储资源变更消息及资源快照。如果您先配置了SMN主题，则也可以不配置资源转储（OBS桶）。配置当前账号下OBS桶：选择“您账号的桶”，然后在下拉列表中选择您账号下的OBS桶，用于存储资源变更消息及资源快照。如果您需要将资源变更消息及资源快照存储在OBS桶内的某个文件夹下，则在选择OBS桶后，还需输入“桶前缀”，该前缀指OBS桶内某个文件夹的名称。如您的账号下无OBS桶，则需先创建OBS桶，详见创建桶。配置其他账号下OBS桶：选择“另一账号的桶”，并输入区域ID和桶名称，如果您需要将资源变更消息及资源快照存储在OBS桶内的某个文件夹下，则还需输入“桶前缀”，该前缀指OBS桶内某个文件夹的名称。需先使用其他账号对当前账号授予相关OBS桶的权限，具体操作请参见跨账号授权。开启资源记录器时，如果指定了当前账号或其他账号下的OBS桶，Config会向目标OBS桶中写入一个名为ConfigWritabilityCheckFile的空文件，此文件仅用于验证资源转储是否能够成功写入OBS桶。图4 配置资源转储配置数据保留周期。资源记录器收集到的资源配置信息数据默认保留7年（2557天），您可以将配置信息数据设置自定义保留周期，自定义数据保留周期的可设置范围为最短30天，最长7年（2557天）。虽然Config使用SMN和OBS发送资源变更消息通知和存储资源变更消息及资源快照，但Config自身也会保存资源的历史变更信息。此处配置的数据保留时间仅针对于Config，不会对SMN和OBS存储的数据产生影响。当您配置数据保留周期后，Config会在指定周期内保留您的资源历史数据，超出指定周期的数据将会被删除。图5 配置数据保留周期（可选）开启并配置消息通知（SMN）主题。打开主题开关，选择主题所在区域和主题名，用于接收资源变更时产生的消息通知。配置当前账号下消息通知主题：选择“您自己的主题”，并选择主题所在区域和主题名，用于接收资源变更时产生的消息通知。如无SMN主题，则需先创建SMN主题，详见创建主题。配置其他账号下消息通知主题：选择“另一账号的主题”，并输入主题URN，关于主题URN的详细信息请参见基本概念。需先使用其他账号对当前账号授予相关SMN主题的权限，具体操作请参见跨账号授权。创建SMN主题后，还需执行“添加订阅”和“请求订阅”操作，消息通知才会生效。图6 配置SMN主题进行授权，选择“快速授权”或“自定义授权”。快速授权：将为您快速创建一个名为“rms_tracker_agency”的委托权限，该权限是可以让资源记录器正常工作的权限，包含调用消息通知服务（SMN）发送通知的权限和对象存储服务（OBS）的写入权限（例如SMN Administrator和OBS OperateAccess权限）。由于快速授权的委托中并不包含KMS的相关权限，因此资源记录器无法将资源变更消息和资源快照存储到“使用KMS方式加密的OBS桶”中。如有需要，您可以在委托中添加对应权限（KMS Administrator）或使用自定义授权，具体请参见资源变更消息和资源快照转储至OBS加密桶。如何为委托添加权限请参见删除或修改委托。自定义授权：您可自行在统一身份认证服务（IAM）中创建委托权限，并进行自定义授权，授权对象为云服务RMS，但必须包含可以让资源记录器正常工作的权限（调用消息通知服务（SMN）发送通知的权限和对象存储服务（OBS）的写入权限至少包含一个）。如果需要将资源变更消息和资源快照存储到“使用KMS方式加密的OBS桶”中，还需要添加KMS的密钥管理员权限（KMS Administrator），具体请参见资源变更消息和资源快照转储至OBS加密桶。创建委托详见委托其他云服务管理资源。图7 授权配置完成后，单击“保存”。在弹出的确认框中单击“是”，资源记录器配置成功。

配置审计 CONFIG

云服务器内容精选

配置审计 CONFIG

7*24

备案

专业服务

退订

建议反馈

售前咨询热线