配置审计记录资源的每一次配置变更和资源关系变更，并整理为配置变更历史。您授权配置审计服务后，配置审计开始记录资源的配置变更和资源关系变更历史，并默认保存10年。背景信息 配置变更历史是资源的一组配置变更和资源关系变更记录，...
SOC 2 可信服务标准与安全、可用及机密性相关的原则标准的第三方独立审计，阿里云的用户可以通过该报告了解阿里云系统及内控描述，以及阿里云在该12个月审计期间内对 AICPA 可信服务标准中安全性、可用性和机密性原则要求的符合性。...
本文以通过合规包模板 ECS合规管理最佳实践 快速检测ECS实例的合规性，并将资源不合规事件投递到日志服务SLS为例，为您介绍通过配置审计检测单账号的资源合规性的具体操作流程。前提条件 请确保您是未被管理账号加入资源目录的独立的阿里云...
您可以在配置审计中设置将资源配置变更历史和资源不合规事件投递到轻量消息队列（原 MNS）的指定主题，您还可以根据所需设置该主题的推送方式和内容。前提条件 请确保您已开通轻量消息队列（原 MNS）。具体操作，请参见 开通轻量消息队列...
当您需要将资源的配置变更历史、不合规事件、合规快照和资源定时快照投递到日志服务SLS的指定日志库时，需要设置日志项目（Project）和日志库（Logstore）。资源数据投递到指定日志库后，您可以查询和分析日志。前提条件 请确保您已开通...
当配置审计预置的规则模板不能满足需求时，您可以通过可视化设置条件规则的三要素（资源特征、操作符和预期值），快速创建自定义规则，对目标资源进行审计。背景信息 关于自定义条件规则的概念、应用场景和核心特性，请参见 自定义条件规则...
跟踪是一种重要的配置机制，您可以使用跟踪功能，将云服务中发生的事件保存到指定的OSS存储空间或SLS Logstore中，以便后期分析和长期存储。操作审计仅默认为每个阿里云账号记录最近90天的事件，您必须创建跟踪才能记录更长时间的事件，...
背景信息 管理账号可以在配置审计中查看所有成员的资源列表、资源配置变更历史和资源合规状态，并监控资源配置合规性。成员可以查看自己归属的账号组，以及管理账号为自己新建的规则、合规包和投递任务，还可以在 当前账号 页签，独立检测...
关于配置审计支持的资源类型，请参见 配置审计支持的资源类型和资源关系。每日投递时间 资源定时快照的每日投递时间。说明 如果您不设置该参数，则默认每天00:00:00和12:00:00投递资源数据。单击 确认。（可选）在 确认操作 对话框，单击 ...
由于GetBucket（ListObjects）事件流量很大，且峰值波动频繁，当它与其他管控事件放在一起时，将影响操作审计对事件的追踪和分发性能，重要的写事件流量占比将会很少。因此，操作审计决定暂停支持GetBucket（ListObjects）事件，后续上线...
合规包是配置审计根据合规场景定制的一组规则的集合。新建合规包时，您可以选择合规包模板中的默认规则，也可以选择规则模板和已有规则列表中的规则。新建合规包后，您可以从规则、资源和成员（仅用于多账号模式）维度查看检测结果。背景...
关于支持配置审计的资源类型，请参见 配置审计支持的资源类型和资源关系。tags 资源标签。relationship 相关资源的详细信息最多展示100条，包括相关资源所在地域ID、资源关系、资源ID和资源类型。根据资源是否有相关资源，该参数显示如下：...
查询配置审计服务支持的云产品和资源类型列表。接口说明 本文将提供一个示例，查询配置审计支持的云产品和资源类型列表。调试 您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成...
云数据库 Tair（兼容 Redis）已与操作审计服务集成，您可以在操作审计中查询用户操作云数据库 Tair（兼容 Redis）产生的管控事件。操作审计支持将管控事件投递到日志服务SLS的LogStore或对象存储OSS的存储空间中，满足实时审计、问题回溯...
场景四：低成本分析和永久存储事件 使用操作审计创建跟踪时，如果选择了 创建新的日志项目，则默认创建以 actiontrail_trail_name 开头的Logstore，永久保存事件。为了节省成本，推荐您手动修改SLS事件存储时长（例如：180天），再定时将...
配置审计（Cloud Config）是一项资源审计服务，为您提供面向资源的配置历史追踪、配置合规审计等能力。面对大量资源，帮您轻松实现基础设施的自主监管，确保持续性合规。产品架构 配置审计的实现原理如下图所示。功能特性 功能 描述 管理...
应用场景 当配置审计预置的规则模板和条件规则均不能满足检测资源合规性的需求时，您可以通过编写函数代码，完成复杂场景的合规检测。更多场景和代码示例，请参见 自定义函数规则示例库。运行原理 基于函数计算创建自定义规则的运行原理...
为了确保CDN域名的安全性、稳定性和低成本等，客户需要使用配置审计的CDN相关合规包。这个合规包由客户自定义的CDN相关规则和CDN合规管理最佳实践合规包模板中的规则组成，可以用来检测和管理CDN配置的合规性。假设公司A已成功配置并达到了...
操作审计（ActionTrail）联合日志服务推出平台操作审计（Inner-ActionTrail）功能，提供平台操作事件的实时采集、分析、加工、消费等一站式服务，满足您平台操作审计相关的分析与审计需求。本文介绍平台操作审计相关的资产详情、费用说明及...
本文为您介绍操作审计 SDK 版本说明、主流语言 SDK 下载和使用。SDK 版本说明 OpenAPI门户 为您提供操作审计 V1.0 SDK 和 V2.0 SDK。V2.0 SDK 不涉及接口功能变更，主要是为了提升 SDK 的健壮性及使用体验。操作审计 V1.0 SDK 已不再维护，...
同时，操作审计新增支持事件内容解析和事件聚合查询功能。此次变更仅会影响您在操作审计控制台查询事件的操作。变更说明 更新了控制台事件查询方式。操作审计控制台原本支持通过读写类型、用户名、服务名称、资源类型、资源名称、...
您可以通过操作审计控制台按需查询AccessKey的基本信息、访问的云服务及相关IP地址和资源。前提条件 请提前获取待查询的AccessKey ID。具体操作，请参见 获取AccessKey。操作步骤 登录 操作审计控制台。在左侧导航栏，单击 AccessKey审计。...
DescribeInstDbSlsInfo 查询SQL审计时使用的SLS Project和LogStore的名称。DescribePreCheckResult 查看预检结果。DescribeRdsCommodity 查看RDS售卖数据。DescribeRdsList 查询数据库的所有RDS列表。DescribeRDSPerformance 查询存储层RDS...
为配置审计的规则、账号组和合规包绑定标签。调试 您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成SDK代码示例。调试 授权信息 下表是API对应的授权信息，可以在RAM权限策略...
配置审计是一项面向资源的审计服务。在面对大量资源时，配置审计可以帮助您实现持续的基础设施的合规监管。
配置审计服务关联角色 授权配置审计服务时，自动新建配置审计服务关联角色。如果成员未新建配置审计服务关联角色，则在管理账号新建账号组时，自动为账号组内的成员新建配置审计服务关联角色。授权配置审计服务时，自动新建配置审计服务...
本文为您介绍操作事件投递的系统权限策略（AliyunActionTrailDeliveryPolicy）的应用场景和权限说明。应用场景 访问日志服务SLS（Log Service）当您创建跟踪并设置了SLS Project地址用于接收操作事件时，操作审计需要向您指定的SLS Project...
操作审计（ActionTrail）是阿里云提供的云账号资源操作记录的查询和投递服务，可用于安全分析、资源变更追踪以及合规性审计等场景。
应用场景 SQL审计可以实时记录数据库DML和DDL操作信息，通过SQL审计日志，您可以对数据库进行故障分析、行为分析、安全审计等，提高云原生数据仓库AnalyticDB MySQL版的安全性。风险等级 默认风险等级：中风险。当您使用该规则时，可以按照...
数据库和应用迁移服务已与操作审计服务集成，您可以在操作审计中查询用户操作数据库和应用迁移服务产生的管控事件。操作审计支持将管控事件投递到日志服务SLS的LogStore或对象存储OSS的存储空间中，满足实时审计、问题回溯分析等需求。操作...
本文介绍配置审计使用自定义权限策略的场景和策略示例。什么是自定义权限策略 在基于RAM的访问控制体系中，自定义权限策略是指在系统权限策略之外，您可以自主创建、更新和删除的权限策略。自定义权限策略的版本更新需由您来维护。创建...
当您需要查询和分析各类资源在整个生命周期中的关键状态变更和操作行为，可以通过操作审计的事件高级查询功能中的系统模板快速查询，系统模板包括：Web应用防火墙的创建和删除实例事件、密钥管理服务的删除证书事件、访问控制的创建和删除...
操作文档 创建自定义权限策略 修改自定义权限策略内容和备注 删除自定义权限策略 管理权限策略授权 管理自定义权限策略版本 常见自定义权限策略场景及示例 示例1：授予RAM用户操作审计的所有权限，以及获取OSS Bucket列表和SLS Project列表...
操作审计自身也是一款云服务，和其他云服务一样，您对操作审计服务所做的管控操作也可以在操作审计中查看对应的记录。操作审计支持将管控事件投递到日志服务SLS的日志库（Logstore）或对象存储OSS的存储空间中，满足实时审计、问题回溯分析...
推荐的做法是使用RAM身份（即RAM用户和RAM角色）来访问配置审计。RAM用户 RAM用户需要由阿里云账号（即主账号）或拥有管理员权限的RAM用户、RAM角色来创建，且必须在获得授权后才能登录控制台或使用API访问阿里云账号下的资源。对于RAM用户...
本文为您介绍 配置审计 为 RAM 权限策略定义的操作（Action）、资源（Resource）和条件（Condition）。配置审计 的 RAM 代码（RamCode）为 config，支持的授权粒度为 操作级。权限策略通用结构 权限策略支持 JSON 格式，其通用结构如下：{...
开启操作审计全量日志跟踪 7.1.3.5 7.1.4.3 7.1.3.5 b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。7.1.4.3 b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计...
如果规则的触发机制设置为 配置变更，其触发原理如下：当处于窗口期头和尾的两个资源配置快照呈现出不同时，配置审计首先对比出详细的差异，再针对这个对比结果进行审计。如果资源配置的变更和修复恰好处于窗口期，则配置审计无法感知变更...
当您在操作审计控制台的 详细事件查询 和 事件聚合搜索 页面查询历史事件时，若您指定 读写类型 为 写类型，将不会看到上述事件的记录。当您通过操作审计控制台创建跟踪，将 事件类型 选择为 写事件 时，上述事件不会投递到您指定的存储...
配置审计记录资源的每一次配置变更和资源关系变更，并整理为配置变更历史。您开通配置审计服务后，配置审计开始记录资源的配置变更和资源关系变更历史，并默认保存10年。接口说明 配置审计为您提供每个监控范围内资源的配置变更历史，具体...