检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
合规策略 合规策略是一个可以用于评估资源是否合规的逻辑表达式。将合规策略应用到资源上时，可以评估出这个资源是否满足合规策略中的要求。 合规策略本身只是一个静态的逻辑，如果想要让其生效，必须将合规策略指定到一个具体的范围（例如通过设置过滤器来指定具体的资源范围）上，即生成一个具体的合规规则。
表，数组类型，默认值为（20，21，3306，3389）。 20：文件传输协议-数据端口。 21：文件传输协议-控制端口。 3306：mysql端口。 3389：远程桌面协定端口。 检测逻辑 当安全组的入站流量未放通参数指定端口的所有IPv4地址(0.0.0.0/0)和所有IPv6地址(::/0)，视为“合规”。
合规” elb-http-to-https-redirection-check 监听器资源HTTPS重定向检查 elb 检查HTTP监听器是否配置了向HTTPS监听器的重定向，如果未配置，视为“不合规” elb-tls-https-listeners-only ELB监听器配置HTTPS监听协议
建议您配置独立OBS桶并配置KMS加密存储专门用于归档审计事件，详见开启云审计服务配置OBS桶。 检测逻辑 无论是否为启用状态，CTS追踪器未配置KMS加密，视为“不合规”。 无论是否为启用状态，CTS追踪器配置KMS加密，视为“合规”。 使用约束 组织追踪器的场景下，在成员账号上使用该
资源状态等信息。 资源清单中的资源数据依赖于资源记录器所收集的资源数据，如果相关资源无法在资源清单页面查询到，请确认资源记录器是否开启，或该资源类型是否被资源记录器收集资源数据，或Config暂不支持该服务或资源类型。 资源数据同步到Config存在延迟，因此资源发生变化时不会实
需要显式Allow来自IAM委托的PutObject操作（Action），具体请参见跨账号授权，关于桶策略的权限判断逻辑请参见桶策略参数说明； 用于存储的OBS桶是否开启服务端加密。如果已开启服务端加密，则还需要配置KMS的权限，具体请参见资源变更消息和资源快照转储至OBS加密桶。
tag_key：字符串类型，最多128个字符。 tag_value：字符串类型，最多256个字符。 说明： 资源类型（resource_provider）是判断过滤器类型（指定资源/所有资源）的依据，如果policy_filter中资源类型存在，则过滤器类型为“指定资源”；如果policy_fil
updated DESC 模糊查询 string LIKE pattern [ESCAPE escape_characters] 'LIKE'用来判断字符串是否符合某种pattern。如果pattern里想表达'%'或者'_'这两种字符的字面量，可以在'ESCAPE'后指定转义符（如'#'），
y-states/compliance-details 表1 路径参数 参数 是否必选 参数类型 描述 domain_id 是 String 账号ID。 最大长度：36 表2 Query参数 参数 是否必选 参数类型 描述 limit 否 Integer 最大的返回数量。 最小值：1
function(T, boolean)) → boolean 询问每个函数是否都满足给定函数。 any_match(array(T), function(T, boolean)) → boolean 询问是否存在元素满足给定函数。 array_average(a) → double
适用于空闲资产管理的最佳实践 业务背景 适用于空闲资产管理的最佳实践用于检测常见的云资源在购买后是否被闲置，涉及弹性公网IP、弹性云服务器、云硬盘等云产品。资源购买后未使用会导致企业成本的浪费，建议及时发现并治理。 默认规则 该示例模板中对应的合规规则的说明如下表所示： 表1 合规包示例模板说明
OBS桶策略允许未SSL加密的请求，视为“不合规”。 根据SecureTransport或g:SecureTransport条件是否限制了桶策略所有授权的请求，来判定OBS桶策略是否禁止未SSL加密的请求。 父主题： 对象存储服务 OBS
查看资源合规 操作场景 资源合规特性用于评估您的资源是否满足合规要求，当您的资源在某一合规规则的评估范围内，您可以在资源概览页查看该资源的合规性信息。 操作步骤 登录管理控制台。 单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。
pca-certificate-authority-expiration-check 检查私有CA是否过期 pca 私有CA在指定时间内过期，视为“不合规” 12.2 pca-certificate-expiration-check 检查私有证书是否过期 pca 私有证书没有标记在指定时间内到期，视为“不合规” 12
pca-certificate-authority-expiration-check 检查私有CA是否过期 pca 私有CA在指定时间内过期，视为“不合规” pca-certificate-expiration-check 检查私有证书是否过期 pca 私有证书在指定时间内到期，视为“不合规” elb-htt
例如：第一步预设策略选择“资源具有指定的标签”，指定一个标签，不具有此标签的资源，视为“不合规”，则这里的规则参数就需要指定具体的标签键和值作为判断是否合规的依据。 有的“预设策略”需要添加规则参数，有的“预设策略”不需要添加规则参数。例如：已挂载的云硬盘开启加密（volumes-encrypted-check）。
内校正资源数据。 资源清单中的资源数据依赖于资源记录器所收集的资源数据，如果相关资源无法在资源清单页面查询到，请确认资源记录器是否开启，或该资源类型是否被资源记录器收集资源数据，或Config暂不支持该服务或资源类型。如何配置资源记录器请参见配置资源记录器。 如您未开启资源记录器
FOUNDATION.G_2.R_5 启用 VPC 流量日志功能 vpc-flow-logs-enabled VPC启用流日志 vpc 检查是否为VPC启用了流日志，如果该VPC未启用流日志，视为“不合规” C.CS.FOUNDATION.G_2.R_11 启用 FuctionGraph
规审计、资源跟踪和问题定位等常见应用场景。需要满足安全最佳实践以避免日志文件丢失、被篡改或泄露。 文件校验: 可以检验转储至OBS桶的数据是否被篡改，保障事件文件的完整性。 加密事件文件: 云审计支持对事件文件加密存储。 转储到LTS: 当“转储到LTS”开关打开时，表示操作事件将转储到日志流中。
修正配置概述 概述 配置审计服务的资源合规特性用于评估您的资源是否满足合规要求，针对合规规则评估出的不合规资源，合规修正功能可以帮助您设置基于合规规则的修正配置，通过关联RFS服务的私有模板或FunctionGraph服务的函数实例，按照您自定义的修正逻辑对不合规资源进行快速修正，确保您的云上资源持续合规。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
