應用場景

某企業的管理賬號通過一個成員（日志賬號A）查看其他成員（業務賬號B和業務賬號C）中資源的配置變更事件，本文以查看前綴為sg-的RAM角色的配置變更事件為例進行介紹。

前提條件

• 資源目錄的管理賬號已將日志賬號A、業務賬號B和業務賬號C加入資源目錄。具體操作，請參見創建成員或邀請阿里云賬號加入資源目錄。

• 請確保您已開通函數計算服務。具體操作，請參見快速創建函數。

• 請確保您已開通事件總線EventBridge服務。具體操作，請參見開通事件總線EventBridge并授權。

數據規劃

操作流程

步驟一：日志賬號創建RAM角色

日志賬號A通過事件總線EventBridge提供的跨賬號事件路由的能力，將業務賬號B和業務賬號C的事件投遞到日志賬號A的事件總線EventBridge中，日志賬號A可以集中查看業務賬號B和業務賬號C的資源配置變更事件。

首先日志賬號A需要完成跨賬號投遞事件的角色授權，即創建RAM角色（account-eb-role），并授權事件總線EventBridge向業務賬號A投遞事件的權限。

1. 創建RAM角色并授權事件總線EventBridge。

   1. 登錄RAM控制臺。

   2. 在左側導航欄，選擇身份管理 > 角色。

   3. 在角色頁面，單擊創建角色。

   4. 在選擇類型頁面，選擇可信實體類型為阿里云賬號，然后單擊下一步。

   5. 在配置角色頁面，輸入角色名稱為account-eb-role，信任的云賬號保持默認（即當前云賬號），單擊完成。

      說明

      先選擇默認信任云賬號，再在步驟 2中設置準確的信任策略。

   6. 在創建完成頁面，單擊為角色授權。

   7. 單擊新增授權，在新增授權面板的權限策略頁簽中搜索選中AliyunEventBridgePutEventsPolicy，其他參數保持默認值，單擊 確認新增授權。

2. 修改信任策略。

   1. 在角色頁面，單擊目標RAM角色名稱。

   2. 單擊信任策略頁簽，然后單擊編輯信任策略。

   3. 修改信任策略內容。

      業務賬號B和業務賬號C授信于日志賬號A后，日志賬號A的事件總線EventBridge可以扮演該RAM角色。信任策略示例如下：

      {
          "Statement":[
              {
                  "Action":"sts:AssumeRole",
                  "Effect":"Allow",
                  "Principal":{
                      "Service":[
                          "<業務賬號B的ID>@eventbridge.aliyuncs.com",
                          "<業務賬號C的ID>@eventbridge.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version":"1"
      }

   4. 單擊保存信任策略。

步驟二：業務賬號配置事件總線

業務賬號B創建事件總線規則b-eb-filter-ram-role，業務賬號C創建事件總線規則c-eb-filter-ram-role。業務賬號B和業務賬號C中的資源變更事件通過角色account-eb-role路由到日志賬號A的事件總線EventBridge中。

1. 登錄事件總線EventBridge控制臺。

2. 在左側導航欄，單擊事件總線。

3. 在頂部菜單欄，選擇地域，例如：華東2（上海）。

4. 在事件總線頁面，單擊云服務專用事件總線區域的創建規則。

5. 在創建規則頁面，設置事件總線規則的相關參數。

   1. 在配置基本信息頁面，輸入事件總線名稱，單擊下一步。

   2. 在配置事件模式頁面，事件源類型選擇阿里云官方事件源、事件源選擇acs.ram訪問控制、事件類型選擇ram:Config:ConfigurationItemChangeNotification（訪問控制配置變更通知）、模式內容輸入以下信息，然后單擊下一步。

      僅當訪問控制中前綴為sg-的資源（RAM角色或RAM用戶）的配置變更時，事件總線EventBridge才會記錄事件。事件模式內容如下：

      {
          "source": [
              "acs.ram"
          ],
          "data": {
              "resourceName": [
                  {
                      "prefix": "sg-"
                  }
              ]
          },
          "type": [
              "ram:Config:ConfigurationItemChangeNotification"
          ]
      }

   3. 在配置事件目標頁面，服務類型選擇EventBridge事件總線、目標類型選擇跨賬號總線、選擇地域、賬號ID輸入日志賬號A的ID、總線名稱輸入default、角色配置輸入account-eb-role、事件為完整事件，然后單擊創建。

步驟三：日志賬號配置函數計算

日志賬號A在函數計算中創建函數，并通過觸發器將資源的配置變更事件投遞到函數計算中。

1. 新建服務。

   1. 登錄函數計算控制臺。

   2. 在左側導航欄，單擊服務及函數。

   3. 在頂部菜單欄，選擇地域，例如：華東2（上海）。

   4. 在服務列表頁面，單擊創建服務。

   5. 在創建服務面板，名稱輸入eb_event_action。

   6. 單擊確定。

2. 創建函數。

   1. 在服務eb_event_action的函數管理頁面，單擊創建函數。

   2. 在創建函數頁面，設置函數的基本信息和觸發器。

      • 在基本信息區域：函數名稱輸入eb_event_trigger，運行環境選擇Python 3.6，其他參數保持默認值。

      • 在配置觸發器區域：觸發器類型選擇云產品事件觸發器下的訪問控制，名稱輸入ConfigurationItemChangeTrigger，事件類型選擇選中全部事件類型。事件模式內容如下：

        {
            "source": [
                "acs.ram"
            ],
            "type": [
                "ram:ActionTrail:AliyunServiceEvent",
                "ram:ActionTrail:ApiCall",
                "ram:ActionTrail:ConsoleOperation",
                "ram:Config:ConfigurationItemChangeNotification",
                "ram:Config:NonCompliantNotification"
            ]
        }

      • 其他參數保持默認值。

      說明

      如果函數計算初次訪問事件總線EventBridge，則需要根據提示授權，允許事件總線EventBridge訪問函數計算。

   3. 單擊創建。

3. 顯示函數調用日志。

   1. 在函數eb_event_trigger的函數代碼頁簽，將文件index.py中的logger.info('hello world')修改為logger.info(event)。

   2. 單擊左上角的部署代碼。

步驟四：業務賬號變更資源

業務賬號B創建一個RAM角色sg-01，業務賬號C創建一個RAM角色sg-02。具體操作，請參見創建可信實體為阿里云賬號的RAM角色。

步驟五：日志賬號查看資源的配置變更事件