检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
支持云审计的关键操作 操作场景 平台提供了云审计服务。通过云审计服务，您可以记录与配置审计服务相关的操作事件，便于后续的查询、审计和回溯。 前提条件 已开通云审计服务。 支持审计的关键操作列表 表1 云审计服务支持的Config操作列表 操作名称 资源类型 事件名称 创建合规规则
云审计服务 CTS CTS追踪器通过KMS进行加密 CTS追踪器启用事件分析 CTS追踪器追踪指定的OBS桶 CTS追踪器打开事件文件校验 创建并启用CTS追踪器 在指定区域创建并启用CTS追踪器 CTS追踪器符合安全最佳实践 父主题： 系统内置预设策略
tion IAM用户创建时设置AccessKey iam 对于从Console侧访问的IAM用户，其创建时设置访问密钥，视为“不合规” iam-user-group-membership-check IAM用户归属指定用户组 iam IAM用户不属于指定IAM用户组，视为“不合规”
''' 合规规则评估逻辑: 返回“Compliant” 或 “NonCompliant” 本示例中, 当资源类型为ecs.cloudservers, 且该ecs的vpcId字段不是合规规则参数所指定的vpcId时, 会返回不合规, 否则返回合规。 ''' def evaluat
DCS Redis实例不存在弹性公网IP 规则详情 表1 规则详情 参数 说明 规则名称 dcs-redis-no-public-ip 规则展示名 DCS Redis实例不存在弹性公网IP 规则描述 DCS Redis资源存在弹性公网IP时，视为“不合规”。 标签 dcs 规则触发方式
列举资源记录器收集的全部资源 功能介绍 查询当前用户资源记录器收集的全部资源，需要当前用户有rms:resources:list权限。 调用方法 请参见如何调用API。 URI GET /v1/resource-manager/domains/{domain_id}/tracked-resources
ResourceQL支持lambda表达式。某些函数的参数可能是另一个函数，此时用lambda表达式就很方便。 例如，查询与所有ECS关联的EVS，可以使用如下的语句： SELECT ECS.id AS ecs_id, EVS.id AS evs_id FROM (SELECT id, transform(properties
ctionGraph计费说明。 如果您为合规规则创建了修正配置，修正配置通过关联RFS服务的私有模板或FunctionGraph服务的函数实例来对不合规资源执行修正，因此可能会产生相应的费用，具体请参见FunctionGraph计费说明。使用RFS服务本身不收取费用，但通过RFS
"resource_id": "special-ecs1-with-public-ip-with-tag", "resource_name": "ecs1-with-public-ip-with-tag", "resource_provider": "ecs", "resource_type":
配置变更 规则评估的资源类型 ges.graphs 规则参数 无 应用场景 建议您创建跨AZ高可用部署的图实例，以提供不同可用区之间的故障转移能力和高可用性。 修复项指导 在创建图实例时，您应当开启跨AZ高可用，详见自定义创建图。 检测逻辑 GES图不支持跨AZ高可用，视为“不合规”。
服务、资源类型、所属企业项目。 查看单个资源详情 查看当前账号下某个具体资源的资源详情。包含资源的名称、创建时间、规格等。 筛选资源 通过设置筛选条件（资源名称、资源ID、标签、企业项目）快速筛选出所需要的资源。 导出资源列表 导出所需资源列表的Excel格式文档。 查看资源合规
资源合规事件监控 事件监控提供事件类型数据上报、查询和告警的功能。方便您将资源的合规性事件收集到云监控服务，并在事件发生时进行告警。 事件监控默认开通，您可以在事件监控中查看系统事件的监控详情，事件监控的相关操作请参见：查看事件监控数据和创建事件监控的告警通知。 当前Config
Explorer的代码示例页签，可生成自动对应的SDK代码示例。 状态码 状态码 描述 200 操作成功。 400 输入参数不合法。 403 用户认证失败或没有操作权限。 404 合规规则未找到。 500 服务器内部错误。 错误码 请参见错误码。 父主题： 合规性
缺省值：200 earlier_time 否 Long 指定查询范围的起始时间点，如果不设置此参数，默认为最早的时间。 later_time 否 Long 指定查询范围的结束时间点，如果不设置此参数，默认为当前时间。 chronological_order 否 String 指定返回数据的时间顺序，默认为倒序。
Explorer的代码示例页签，可生成自动对应的SDK代码示例。 状态码 状态码 描述 200 操作成功。 400 输入参数不合法。 403 用户认证失败或无操作权限。 500 服务器内部错误。 错误码 请参见错误码。 父主题： 合规性
由于可能存在敏感数据，应当确保图引擎服务（GES）已通过KMS进行加密。加密可帮助您保护数据的机密性，从而降低未经授权的用户访问数据的风险。 修复项指导 在创建图实例时，您应当使用KMS对图实例进行加密，详见自定义创建图。 检测逻辑 GES图未通过KMS进行加密，视为“不合规”。 GES图通过KMS进行加密，视为“合规”。
动对应的SDK代码示例。 状态码 状态码 描述 200 操作成功。 400 输入参数不合法。 403 用户认证失败，或没有操作权限。 404 未找到资源记录器。 500 服务器内部错误。 错误码 请参见错误码。 父主题： 资源记录器
修正配置示例 本章节提供基于RFS私有模板和FunctionGraph函数执行修正的配置示例，帮助您快速了解合规规则修正配置功能的整体流程，以及如何使用此功能修正不合规资源，包含如下内容： 基于RFS私有模板执行修正 基于FunctionGraph函数执行修正 基于RFS私有模板执行修正
自动投递到云监控服务（CES）。您可以在云监控服务中查询告警记录，还可以基于云监控服务发送消息通知。 应用场景 您在配置审计控制台通过预设策略“IAM用户的AccessKey在指定时间内轮换”创建一条合规规则。配置审计自动评估当前账号下所有IAM用户，其中部分IAM用户的合规结果为不合规，如下图所示。
独立的IAM用户，您可以跳过本章节，不影响您使用Config的其它功能。 策略是以JSON格式描述权限集的语言。默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予策略，才能使用户组中的用户获得策略定义的权限，这一过程称为授权。授权后，用户就可以基于策略对云服务进行操作。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
