的评估模式和触发器类型 Amazon Config 规则

使用主动评估在资源部署之前对其进行评估。这使您可以评估是否使用一组资源属性来定义 Amazon COMPLIANT考虑到您所在地区的账户中有一组主动规则，资源将是COMPLIANT或 NON _。

资源类型架构说明了资源的属性。您可以在 “” 中找到资源类型架构 Amazon 内部的公共扩展” Amazon CloudFormation 注册表或使用以下CLI命令：

aws cloudformation describe-type --type-name "AWS::S3::Bucket" --type RESOURCE

有关更多信息，请参阅通过管理扩展程序 Amazon CloudFormation 注册表和 Amazon 资源和属性类型参考 Amazon CloudFormation 用户指南。

主动评估的托管规则列表

有关支持主动评估的托管规则列表，请参阅列表 Amazon Config 按评估模式管理规则。

支持主动评估的资源类型列表

以下是支持主动评估的资源类型列表：

主动评估的规则示例

开启主动评估后，您可以使用StartResourceEvaluationAPI和GetResourceEvaluationSummaryAPI来检查您的账户中尚未部署到生产环境的存储桶是否未启用日志记录。这允许您在部署之前测试资源配置，并重新评估是否要将资源部署到生产环境。

例如，从：开始 StartResourceEvaluation API：

aws configservice start-resource-evaluation --evaluation-mode PROACTIVE
                --resource-details '{"ResourceId":"MY_RESOURCE_ID",
                                     "ResourceType":"AWS::S3::Bucket",
                                     "ResourceConfiguration": "{\"BucketName\": \"amzn-s3-demo-bucket1\", \"LoggingConfiguration\": {\"DestinationBucketName\": \"amzn-s3-demo-bucket2\",\"LogFilePrefix\":\"my-log\"}}",
                                     "ResourceConfigurationSchemaType":"CFN_RESOURCE_SCHEMA"}'
                    

您应该会在输出中收到 ResourceEvaluationId：

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID"
}

然后，与ResourceEvaluationId一起使用 GetResourceEvaluationSummary API来检查评估结果：

aws configservice get-resource-evaluation-summary
    --resource-evaluation-id MY_RESOURCE_EVALUATION_ID

您应收到类似以下内容的输出：

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID",
    "EvaluationMode": "PROACTIVE",
    "EvaluationStatus": {
        "Status": "SUCCEEDED"
    },
    "EvaluationStartTimestamp": "2022-11-15T19:13:46.029000+00:00",
    "Compliance": "COMPLIANT",
    "ResourceDetails": {
        "ResourceId": "MY_RESOURCE_ID",
        "ResourceType": "AWS::RESOURCE::TYPE",
        "ResourceConfiguration": "{\"BucketName\": \"amzn-s3-demo-bucket\", \"LoggingConfiguration\": {\"DestinationBucketName\": \"amzn-s3-demo-destination-bucket1\",\"LogFilePrefix\":\"my-log\"}}",

    }
}

要查看有关评估结果的其他信息，例如哪条规则将资源标记为 NON _COMPLIANT，请使用。GetComplianceDetailsByResourceAPI

使用侦查评估来评估已部署的资源。这允许您评估现有资源的配置设置。

侦查评估的规则示例