Config 配置审计服务助手

使用scripts中的脚本，通过Config服务，查询云上资源情况、资源配置、资源schema、云服务的预置合规规则。具体有如下能力：

• - 查询资源概览；
• 查询资源Schema；
• 按条件通过SQL查询资源；
• 资源合规性分析：包含但不限于从以下维度分析资源配置，为事件响应做好准备, 优化成本, 身份管理, 保护数据完整性, 保护配置, 加密传输中的数据, 加密静态数据, 建立日志记录和监控, 强制执行最低权限, 提高可用性, 提高韧性, 管理机密, 管理漏洞, 管理规格, 限制网络访问, 资源管理；

前置条件

环境变量配置

在使用此技能前，需要确保以下环境变量已正确配置。这些是访问华为云Config服务的必要凭证。

必需的环境变量：

• - HUAWEICLOUDAK - 访问密钥(Access Key)
• HUAWEICLOUDSK - 秘密密钥(Secret Access Key)

重要提示：

• - 这些环境变量包含敏感信息，检查配置时严禁在控制台打印
• 用户配置的AK仅需要Config ReadOnlyAccess的权限，用户无需过度授权

配置步骤：

1. 1. Windows PowerShell 配置：

1. 2. 或通过系统环境变量配置：

1. 3. 验证配置：

依赖安装

确保已安装以下Python依赖：

bash
pip install huaweicloudsdkconfig huaweicloudsdkcore

工作流程

资源查询

1. 查询资源概览

获取华为云上所有资源的汇总统计信息。

命令：

shell
python scripts/queryConfigresource_summary.py

参数说明：

• - --provider: 可选，表示只查询某个云服务的资源概览，示例：

• - --region_id: 可选，表示只查询某个区域的资源概览，示例：

输出格式：

• - JSON格式，包含各区域、各服务类型的资源数量统计
• 示例：

使用场景：

• - 快速了解云上资源分布
• 识别资源密集的区域和服务
• 为资源审计、成本优化、安全配置等场景提供基础数据

2. 查询资源Schema

获取指定资源类型的详细结构定义，包括所有可用字段及其类型。

命令：

shell
python scripts/queryConfigresourceschema.py --resourcetype=obs.buckets

参数说明：

• - --resource_type: 资源类型标识符，格式为 provider.type，示例：

输出格式：

• - JSON格式，包含资源的完整Schema定义
• 包含字段名称、类型、描述等信息

使用场景：

• - 了解资源结构和可用字段
• 编写SQL查询前确定查询字段
• 理解资源的配置属性

3. 按条件查询资源(高级SQL查询)

通过SQL语句进行复杂的资源查询，支持多条件筛选、聚合分析等。

支持的查询字段：

• - 基础字段: id, name, provider, type, regionid, projectid, created, updated, tag
• 扩展字段: properties (JSON对象，包含具体资源配置，每种资源类型的结构与资源schema保持一致)

SQL语法特点：

• - 只能查询 resources 表
• 支持标准SQL语法: SELECT, WHERE, GROUP BY, ORDER BY
• 支持数组操作: transform, filter, anymatch, contains
• 支持日期函数: datediff, date_parse
• 重要提示：

• - 使用前请先查询资源Schema了解可用字段
• 参考 scripts/sql-example.json 查看丰富的查询示例
• SQL语句需要用双引号包裹，内部字符串使用单引号
• 如果没有查询到资源，查询资源概览以确认云上资源分布

示例1: 查询特定区域的所有资源

首先确定查询需求，生成SQL语句：

sql
select id, name, provider, type, region_id, properties
from resources
where region_id = cn-north-4

执行查询：

shell
python scripts/queryConfigresourcebysql.py --sql=select id, name, provider, type, properties from resources where region_id = cn-north-4

示例2: 查询IAM用户的密码强度

步骤1: 查询iam.users的Schema了解可用字段

shell
python scripts/queryConfigresourceschema.py --resourcetype=iam.users

步骤2: 基于Schema发现密码相关字段为 pwdstatus 和 pwdstrength

步骤3: 编写SQL查询

sql
select id, name, provider, type, properties.pwdstatus, properties.pwdstrength
from resources
where provider = iam
and type = users

步骤4: 执行查询

shell
python scripts/queryConfigresourcebysql.py --sql=select id, name, provider, type, properties.pwdstatus, properties.pwdstrength from resources where provider = iam and type = users

更多SQL示例：

• - 查询运行中的ECS: SELECT FROM resources WHERE provider=ecs AND type=cloudservers AND properties.status=ACTIVE
• 查询未加密的EVS: SELECT FROM resources WHERE provider=evs AND type=volumes AND NOT properties.encrypted
• 按区域统计资源数: SELECT regionid, count(*) FROM resources GROUP BY regionid
• 更多案例: 请学习 scripts/sql-example.json 中的案例

输出格式：

• - JSON数组，每条记录代表一个匹配的资源
• 包含查询中指定的所有字段

合规规则查询

查询云服务的预置合规规则

获取华为云Config服务的预置合规规则列表，用于资源合规性检查。

命令：

查询特定云服务的合规规则：

shell
python scripts/queryConfigbuiltin_rule.py --keyword=obs

查询所有合规规则(限制返回数量)：

shell
python scripts/queryConfigbuiltin_rule.py --limit=10

参数说明：

• - --keyword: 过滤关键字，匹配规则名称或描述中包含该关键字的规则
• --limit: 限制返回结果数量，默认为10

输出格式：

• - JSON数组，每个元素包含规则ID、名称、描述等信息
• 示例：

使用场景：

• - 了解可用的合规规则
• 选择合适的规则进行合规性检查
• 制定资源合规策略

华为云场景知识

以下为华为云云服务的场景化知识，在分析资源的安全配置时，需要考虑以下信息：

VPC默认安全组

VPC默认安全组（名称为default）为系统内置资源，不可删除。为提升安全性，将所有出方向、入方向的安全组规则停用或改为Deny的操作权限。

AK/SK安全配置：

华为云的Access Key（AK）为20位随机字符串（例如HPUAA