检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
通过Config实现资源的多维度合规审计 当企业进行云上资源合规落地时，通常会面临合规标准无法统一的问题，例如： 生产环境和测试环境的资源安全要求不同； 不同地区的法规不同，导致对资源的规范要求不同。 同时，企业内所有账号也需要配置统一的安全基准要求。配置审计通过丰富的托管规则，
合规包示例模板说明 合规规则 规则中文名称 涉及云服务 规则描述 vpc-default-sg-closed 默认安全组关闭出、入方向流量 vpc 虚拟私有云的默认安全组允许入方向或出方向流量，视为“不合规” vpc-sg-attached-ports 安全组连接到弹性网络接口 vpc 检查非默认
要素）。这些多重要素结合起来将为您的账户和资源提供更高的安全保护。 修复项指导 您需要在智能设备上安装一个虚拟MFA应用程序后（例如：华为云App、Google Authenticator或Microsoft Authenticator），才能绑定虚拟MFA设备。详见如何绑定虚拟MFA。
["*/*"], "Effect": "Allow", "Principal": {"ID": ["*"]}}]} 规则参数示例2：桶策略只授权华为云账号的身份，不授权联合身份用户或匿名用户。 {"Statement": [{"Action": ["*"], "Resource": ["*"]
规则参数 maxAccessKeyAge：访问密钥最大更换天数，默认值为90。 应用场景 企业用户通常都会使用访问密钥（AK/SK）的方式对云上的资源进行API访问，但是访问密钥需要做到定期的自动轮换，以降低密钥泄露等潜在的安全风险。 修复项指导 轮换访问密钥可以通过创建两个访问密
数据复制服务实时同步任务使用公网网络，视为“不合规” 3.3 ecs-instance-in-vpc ECS资源属于指定虚拟私有云ID ecs、vpc 指定虚拟私有云ID，不属于此VPC的ECS资源，视为“不合规” 3.3 ecs-instance-no-public-ip ECS资源不能公网访问
0/0或::/0，且开放TCP 22端口，视为“不合规” ecs-instance-in-vpc ECS资源属于指定虚拟私有云ID ecs, vpc 指定虚拟私有云ID，不属于此VPC的ECS资源，视为“不合规” kms-not-scheduled-for-deletion KMS密钥不处于“计划删除”状态
准备工作 如果您已有一个华为账号，请忽略此步骤。如果您还没有华为账号，请参考以下步骤创建。 打开华为云官网，单击“注册”。 根据提示信息完成注册，详细操作请参见“注册华为账号并开通华为云”。 注册成功后，系统会自动跳转至您的个人信息界面。 参考个人账号如何完成实名认证或企业账号如何完
号中。 修正配置 针对合规规则评估出的不合规资源，您可以基于合规规则创建修正配置，按照您自定义的修正逻辑对不合规资源进行快速修正，确保您的云上资源持续合规。 资源记录器 开启资源记录器 开启资源记录器后，才可以跟踪资源的变更情况。 配置资源记录器 配置资源监控范围、消息通知主题、
dws DWS集群未启用SSL加密连接，视为“不合规” ecs-instance-in-vpc ECS资源属于指定虚拟私有云ID ecs，vpc 指定虚拟私有云ID，不属于此VPC的ECS资源，视为“不合规” ecs-instance-no-public-ip ECS资源不能公网访问
到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 CTS新版事件列表不显示
修正配置，通过关联RFS服务的私有模板或FunctionGraph服务的函数实例，按照您自定义的修正逻辑对不合规资源进行快速修正，确保您的云上资源持续合规。 约束与限制 每个账号最多可以添加500个合规规则（包括由组织合规规则和合规规则包创建的托管规则）。 添加、修改、启用合规规
"display_name" : "虚拟私有云 VPC", "category_display_name" : "网络", "resource_types" : [ { "name" : "vpcs", "display_name" : "虚拟私有云", "global"
iam 根用户未开启MFA认证，视为“不合规” vpc-default-sg-closed 默认安全组关闭出、入方向流量 vpc 虚拟私有云的默认安全组允许入方向或出方向流量，视为“不合规” vpc-sg-ports-check 安全组端口检查 vpc 当安全组入方向源地址设置为0
单击“下一步”。 图2 规则参数 表2 合规规则参数说明 参数 说明 触发类型 用于触发资源合规规则。 触发类型有： 配置变更：在指定的云资源发生更改时触发规则评估。 周期执行：按照您设定的频率运行。 说明： 预设策略的触发类型不支持修改，不同预设策略支持的触发类型不同。 过滤器类型
单击“下一步”。 图2 规则参数 表2 合规规则参数说明 参数 说明 触发类型 用于触发资源合规规则。 触发类型有： 配置变更：在指定的云资源发生更改时触发规则评估。 周期执行：按照您设定的频率运行。 过滤器类型 用于指定资源类型参与规则评估。 过滤器类型分为： 指定资源：指定资源类型下的所有资源均参与规则评估。
请求body长度，单位为Byte。 否 3495 X-Project-Id project id，项目编号。请参考获取项目ID章节获取项目编号。 否 如果是专属云场景采用AK/SK认证方式的接口请求，或者多project场景采用AK/SK认证的接口请求，则该字段必选。 e9993fc787d94b6c886cbaa340f9c0f4
单击“下一步”。 图5 规则参数 表2 合规规则参数说明 参数 说明 触发类型 用于触发资源合规规则。 触发类型有： 配置变更：在指定的云资源发生更改时触发规则评估。 周期执行：按照您设定的频率运行。 过滤器类型 用于指定资源类型参与规则评估。 过滤器类型分为： 指定资源：指定资源类型下的所有资源均参与规则评估。
单击“下一步”。 图2 规则参数 表2 合规规则参数说明 参数 说明 触发类型 用于触发资源合规规则。 触发类型有： 配置变更：在指定的云资源发生更改时触发规则评估。 周期执行：按照您设定的频率运行。 过滤器类型 用于指定资源类型参与规则评估。 过滤器类型分为： 指定资源：指定资源类型下的所有资源均参与规则评估。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
