概述

什么是规则模版

规则模版是配置审计服务的核心组件，用于定义资源配置的合规判断逻辑，是沉淀和复用合规规则的基础能力。

其本质是一段基于 OPA（Open Policy Agent）语法构建的规则函数，通过结构化的格式，定义了资源的合规性条件以及违规时应触发的效果（Effect）。规则模版是对企业自主监管要求的抽象定义，它本身不直接绑定具体的账号、账号组或资源实体，而是在被引用创建为具体“规则”时，才会被实例化并应用到指定的资源范围内执行。

核心能力

灵活的策略编写：支持通过可视化编辑器或 OPA 脚本两种方式编写规则策略，兼顾业务人员的易用性与开发人员的灵活性。

参数化设计：支持将经常变化的判断条件抽象为独立参数。用户只需修改参数值，即可在不同规则中复用同一套核心逻辑，大幅降低维护成本。

自动化触发评估：

事件触发：在资源配置发生变更时，系统可基于模版定义的触发机制，自动实时执行合规评估。

周期触发：支持设定周期性任务，对资源进行持续的定时合规巡检。

产品特点

结构化描述：以标准的 OPA 语法和结构化格式描述复杂的合规判断逻辑。

高复用性：通过参数化定义与抽象设计，一次编写即可被多次引用、创建为不同的具体规则。

解耦设计：模版仅关注“如何判断合规”，不绑定具体的执行目标（资源实体），实现逻辑与应用对象的完全解耦。

组成内容

一个完整的规则模版通常包含以下核心要素：

核心要素	描述
基本信息（MetaData）	定义该规则模版的名称（TemplateName ）、ID（TemplateId）、合规性描述（Description）、风险等级（RiskLevel）
触发机制（Triggers）	定义何时执行该规则，分为以下两种触发机制：配置变更触发：当资源配置发生变更时，配置审计会根据变更内容自动触发相关规则，实时判断本次变更是否合规。周期触发：系统按照设定频率定期执行规则评估，适合持续巡检场景。
适用范围（Scope.ResourceTypes）	定义该规则模版生效的云资源类型
参数定义（Parameters）	定义该规则所需的可变参数及其数据类型。
规则策略（PolicyRule）	定义具体的合规检查逻辑与违规效果（Effect），用REGO脚本表达

规则模版采用结构化定义，典型结构示例如下：

PolicyRule详情示例值：

规则模版类型

规则模版分为以下两类：

分类	描述
系统规则模版	系统规则模版由配置审计平台提供并在管理端统一维护，适合沉淀通用合规场景，例如：对公网暴露风险进行审计检查资源是否开启关键安全配置检查资源命名或标签是否符合规范
自定义规则模版	自定义规则模版由租户用户根据实际业务需求创建，适合企业个性化合规场景，例如：禁止创建特定资源类型限制某类资源只能部署在指定地域要求某些字段必须符合企业内部基线

规则模版与规则的关系

一个规则模版可以被多次创建为规则，并分配到不同范围中执行。不同规则之间可以复用同一套判断逻辑，但拥有独立的作用域和参数配置。

维度	规则模版	规则
本质	合规判断逻辑定义	规则模版的实例化应用
是否绑定范围	否	是
是否可复用	是，可被多次引用	否，是针对特定范围的单次实例化任务
内容	资源类型、触发方式、参数、规则策略	参数值、作用域、排除项等
主要作用	沉淀合规能力	执行合规评估