配置審計（Config）變配報警設置

前言

配置審計（Config）將您分散在各地域的資源整合為全局資源列表，可便捷地搜索全局資源，並通過規則對資源配置進行評估，過濾出不符合業務要求的資源變配操作。

本文為您介紹如何通過配置審計（Config）的自定義規則和日誌服務（SLS）報警配合，對指定的負載均衡（SLB）變配進行報警，幫助企業快速感知變配內容並及時做出相應對策。

背景

雲上賬號主要有阿里雲主賬號、RAM子賬號、RAM角色，阿里雲主賬號對所有資源都有完整的控制能力，一些被賦予高級權限的RAM子賬號、RAM角色等也同樣可以控制資源。如何在變更操作之前阻斷該行為，是服務控制策略（SCP）的範疇（該服務限制只能是企業認證賬戶，並且開通了資源目錄（Resource Directory）才可實施），本文暫不討論。如何在變配後快速感知到變化也非常重要。公司A的運維同學向我們提了一個問題：公司的核心業務部署在阿里雲上，採用的架構是彈性計算ECS+負載均衡（SLB）+關係型數據庫RDS，每天都擔心核心服務異常變配導致業務中斷，希望變配後及時收到消息通知，想問問有沒有什麼方案。

我們為他們推薦了配置審計（Config）結合日誌服務（SLS）的報警。那這個產品組合是如何實現以上目標的呢？

流程圖

整個方案的流程圖如上所示。員工A修改了企業某核心業務負載均衡（SLB）的配置。資源變配數據會被配置審計（Config）感知並存儲，同時會觸發監聽該類資源變動的規則進行評估。規則引擎接收的入參包含了資源變動的 Diff 數據，如果該規則為自定義規則，規則引擎會執行配置好的函數計算（FC）的函數。函數過濾出目標資源的變更，並將變更數據寫入日誌服務（SLS）中。日誌服務通過配置告警策略，觸發告警並通知管理員。

另外兩條實線表示管理員可以前往配置審計（Config）查看資源時間線以及通過日誌服務（SLS）查看資源具體的配置變更信息。

新建一個日誌庫（logstore）

新建日誌庫（logstore），用於存儲目標資源的變配數據，同時我們可以基於這個日誌庫（logstore）配置告警策略；具體如何創建日誌項目（project）及日誌庫（logstore），這裡我就不再贅述，您可參考日誌服務的文檔進行操作。

本案例對應的日誌項目為: aliyun-fc-cn-hangzhou-26064c43-65dc-5734-8175-3c0fdfc784df ，日誌庫為: specific-config-alert 。

新建函數計算（FC）的函數

配置審計（Config）的自定義規則是基於函數計算（FC）實現的。函數所屬的地域是不受限制的。本案例選擇地域為華東1（杭州）。

我是基於 alimebot-nodejs 模板創建的函數。

我們在 ConfigService 這個服務下面新建一個名為 specific-config-change-alert 的函數。

函數的內部的業務邏輯，我們進行如下設計：

支持用戶額外指定一個參數 arn ，方便我們對某一個特定的資源進行報警；如果不指定 arn，則表示對該類型的資源變更都進行告警；
調用日誌服務（SLS）的SDK，將日誌存入日誌庫（logstore）；

代碼邏輯如下

const ALY = require('aliyun-sdk'); // 日誌服務Nodejs SDK

exports.handler = function (event, context, callback) {
    const sls = new ALY.SLS({
        "accessKeyId": context.credentials.accessKeyId,            //阿里雲訪問密鑰AccessKey ID。更多信息，請參見訪問密鑰。阿里雲主賬號AccessKey擁有所有API的訪問權限，風險很高。強烈建議您創建並使用RAM賬號進行API訪問或日常運維。 
        "secretAccessKey": context.credentials.accessKeySecret,    //阿里雲訪問密鑰AccessKey Secret。 
        "securityToken": context.credentials.securityToken,        //RAM角色額外輸入的securityToken
        endpoint: 'http://cn-hangzhou.log.aliyuncs.com',           //日誌服務的域名。更多信息，請參見服務入口。此處以杭州為例，其它地域請根據實際情況填寫。
        apiVersion: '2015-06-01'                                   //SDK版本號，固定值。
    });

    // -------------------------------
    // put logs
    // -------------------------------
    const projectName = "aliyun-fc-cn-hangzhou-26064c43-65dc-5734-8175-3c0fdfc784df";       //剛剛創建的日誌項目
    const logStoreName = "specific-config-alert";                                           //剛剛創建的日誌庫
    const parsed = JSON.parse(event);                                                       //將入參轉化為js對象      
    if (!parsed || !parsed.invokingEvent) {                                                 //配置審計調用時傳入的參包含: invokingEvent(變更數據), ruleParameters(函數規則額外傳入的用戶自定義參數), resultToken
        callback(null, event); 
        return;
    }

    const specificArn = parsed.ruleParameters && parsed.ruleParameters.arn;                 //函數規則允許用戶傳入的自定義的資源arn

    const transformData = Object.keys(parsed.invokingEvent).map(function(k) { return { key: k, value: JSON.stringify(parsed.invokingEvent[k])}});

    // 日誌服務需要的格式
    const logGroup = {
        logs : [{
            time:  Math.floor(new Date().getTime()/1000),
            contents: transformData
        }],
        topic: 'special-config-change'
    };

    const resourceArn = parsed.invokingEvent && parsed.invokingEvent.configurationItem && parsed.invokingEvent.configurationItem.arn;
    if (!specificArn || specificArn === resourceArn) {   // 如果規則中未指定具體資源arn，則默認所有過濾到的資源類型都寫到日誌服務（SLS）
        sls.putLogs({
            projectName: projectName,
            logStoreName: logStoreName,
            logGroup: logGroup
        }, function (err, data) {
            if (err) {
                callback(err);
                return;
            }
            callback(null, data);
        });
    } else {
        callback(null);
    }
}

函數是以指定的RAM角色來執行的，所以需要給指定的RAM角色進行授權，本案例需要給RAM角色授權能夠寫指定日誌庫的權限。

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "log:PostLogStoreLogs",
                "log:PutLogs"
            ],
            "Resource": "acs:log:*:*:project/aliyun-fc-cn-hangzhou-26064c43-65dc-5734-8175-3c0fdfc784df/logstore/*", // 具體可根據自己函數的實際業務邏輯進行授權
            "Effect": "Allow"
        }
    ]
}