合规规则修正配置-华为云

配置审计 CONFIG-创建修正配置:创建修正配置

创建修正配置当前仅用户自行创建的预定义或自定义合规规则支持修正配置，通过组织合规规则或合规规则包创建的托管合规规则不支持修正配置。登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击左侧的“资源合规”，进入“资源合规”页面。在“规则”页签下的合规规则列表中，单击合规规则的规则名称，进入规则详情页。图2 进入规则详情页在左上方选择“修正管理”页签。单击界面中部或右上方的“修正配置”按钮，进入修正配置信息页面。图3 创建修正配置选择修正方法。自动修正：当合规规则评估出不合规资源后，将自动对不合规资源执行修正操作。手动修正：由用户手动选择执行不合规资源的修正操作。具体请参见手动执行修正。由于自动修正会根据您的预设参数自动修改不合规资源的配置信息，可能会影响业务的连续性，因此推荐您使用手动修正方式。当您确保本次修正不会对业务造成影响时，可以选择修正方法为自动修正，当合规规则检测到不合规资源时，会自动执行修正。配置修正执行的重试时间和重试次数。当不合规资源在执行修正后仍不合规时，“自动修正”方式会循环执行修正，或您自行多次手动执行修正，这将可能产生不必要的费用和影响业务连续性。为避免循环执行修正产生的影响，您必须设置修正执行的重试时间和重试次数，Config会检测单个资源在该重试时间内执行的修正次数，若达到设置的重试次数，该资源会自动被设置为修正例外，后续执行规则修正时将不会再对此资源进行修正。重试时间默认为3600秒，输入值需在60到43200之间。重试次数默认为5次，输入值需在1到25之间。选择修正模板。 RFS 模板：选择资源编排服务（RFS）的私有模板作为修正操作的模板，模板中定义不合规资源的具体修正逻辑。 RFS修正模板目前仅默认支持使用北京四（cn-north-4）区域的私有模板。 IAM 权限委托：当选择RFS模板且修正方法为“自动修正”时需指定IAM权限委托，该委托为云服务委托，用于授予RFS服务部署资源栈执行资源配置修改时所需的权限，授权的云服务为RFS，委托权限为RFS模板中调用其他服务所需的权限，如何创建委托请参见委托其他云服务管理资源。若委托的权限不足或配置错误，会导致修正失败，您可以自行创建资源栈验证委托可用性，具体请参见创建资源栈。 FGS模板：选择函数工作流（FunctionGraph）的函数实例作为修正操作的模板，函数中定义不合规资源的具体修正逻辑。图4 修正配置信息配置资源ID参数。资源ID参数：指定不合规资源ID的变量名，需要与修正模板中定义的获取资源ID的变量名一致。执行修正时Config会将该变量赋值为要修正的不合规资源的具体ID值，并将其传递给修正模板获取资源ID。例如在FGS函数中使用resource_id=event.get("noncompliant_resource_id", {})语句获取不合规资源ID，则此处的资源ID参数也需配置为“noncompliant_resource_id”，执行修正时不合规资源的ID将通过变量“noncompliant_resource_id”传递给FSG函数，每个不合规资源均会传递一次资源ID用于修正模板执行修正。参数：指定您期望由Config传递给修正模板的静态参数，最多可以添加50个参数。该参数为不合规资源修正的具体规则参数值，例如执行修正为不合规的VPC资源创建流日志时，在FGS函数中使用log_group_id=event.get("log_group_id", {})语句获取日志组ID，则此处参数配置日志组的ID（键：log_group_id；值：具体日志组ID值），执行修正时为不合规的VPC资源创建的流日志均将在此日志组内。图5 资源ID参数配置完成后，单击页面右下角的“保存”。当合规规则的修正方式选择“自动修正”时，您必须重新触发规则评估以更新评估结果，然后才会自动对不合规资源执行修正。

配置审计 CONFIG 合规规则修正配置

配置审计 CONFIG-创建修正配置:操作场景

操作场景当您通过系统预设策略或自定义策略创建合规规则后，您可以为合规规则创建修正配置，按照您自定义的修正逻辑对规则检测出的不合规资源进行快速修正。合规规则的修正配置功能基于RFS服务的私有模板或FunctionGraph的函数进行资源修正，因此您需要预先创建RFS服务的私有模板或FunctionGraph的函数。本章节包含如下内容：创建RFS私有模板创建FunctionGraph函数创建修正配置

配置审计 CONFIG 合规规则修正配置

配置审计 CONFIG-修正配置概述:约束与限制

约束与限制当前仅用户自行创建的预定义或自定义合规规则支持修正配置，通过组织合规规则或合规规则包创建的托管合规规则不支持修正配置。基于RFS服务私有模板执行修正的场景下，Config当前仅默认支持使用北京四（cn-north-4）区域的私有模板创建资源栈，且对应区域的资源栈应至少预留5个配额，否则执行修正可能会因配额不足导致失败。一个合规规则上只能创建一个修正配置。当合规规则存在修正配置，则必须删除修正配置并且停用规则后，才可删除此合规规则。单个合规规则的修正配置最多支持用户手动添加100个修正例外资源，基于设置的修正重试规则被自动添加至修正例外的资源没有配额限制。由于资源变更数据同步到Config存在延迟，因此通过合规修正功能将不合规资源修正后，立即重新触发规则评估，不合规资源的的合规评估结果可能依然为不合规。对于已开启资源记录器且在监控范围内的资源，Config会在24小时内校正资源数据，也就是说最多24小时后触发规则评估，才会将已修正资源的合规评估结果更新为合规。当合规规则执行修正后，不合规资源的修正状态为“修正成功”，则表示此资源已经成功触发RFS服务私有模板或FunctionGraph函数的修正执行，您可以前往该资源对应服务的控制台，查看资源是否已按照预期修正成功。

配置审计 CONFIG 合规规则修正配置

配置审计 CONFIG-删除修正配置:操作步骤

操作步骤登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击左侧的“资源合规”，进入“资源合规”页面。在“规则”页签下的合规规则列表中，单击已创建修正配置的合规规则的规则名称，进入规则详情页。在左上方选择“修正管理”页签。在页面右上方单击“删除”。在弹出的确认框中，单击“确定”，修正配置删除成功。图1 删除修正配置

配置审计 CONFIG 合规规则修正配置

云服务器内容精选

合规规则修正配置

7*24

备案

专业服务

退订

建议反馈

售前咨询热线