为 Amazon Config 规则指定触发器 - Amazon Config
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

为 Amazon Config 规则指定触发器

在向账户中添加规则时,您可以指定希望 Amazon Config 何时运行此规则;这称作触发器。当触发器触发时,Amazon Config 对照规则评估您的资源配置。

触发器类型

触发器有两种类型:

配置更改

当创建、更改或删除特定类型的资源时,Amazon Config 会针对规则运行评估。

通过定义规则的范围来选择哪些资源触发评估。范围可以包括:

  • 一个或多个资源类型

  • 资源类型和资源 ID 的组合

  • 标签键和值的组合

  • 当创建、更新或删除任何记录的资源时

Amazon Config 在检测到与规则的范围匹配的资源发生更改时运行评估。您可以使用范围来限制哪些资源触发评估。否则,当任何已记录的资源出现更改时,都会触发评估。

定期

Amazon Config 按照您选择的频率运行规则的评估(例如,每 24 小时)。

如果您选择配置更改和定期,Amazon Config当您检测到配置更改时,以及按照您指定的频率进行。

具有触发器的规则示例

具有配置更改触发器的规则示例

  1. 你添加Amazon Config托管规则,S3_BUCKET_LOGGING_ENABLED以检查 Amazon S3 存储桶是否启用了日志记录。

  2. 规则的触发器类型是配置更改。Amazon Config当创建、更改或删除 Amazon S3 存储桶时,将针对规则运行评估。

  3. 当存储桶更新时,配置更改触发此规则,Amazon Config 评估存储桶是否符合此规则。

具有定期触发器的示例规则

  1. 向账户添加 Amazon Config 托管规则 IAM_PASSWORD_POLICY。此规则将检查您的 IAM 用户的密码策略是否符合您的账户策略,例如,要求最小长度或特定字符要求。

  2. 此规则的触发器类型为定期。Amazon Config 将按您指定的频率(如每 24 小时)针对规则运行评估。

  3. 每 24 小时都会触发该规则,Amazon Config评估您的 IAM 用户的密码是否符合规则。

具有配置更改和定期触发器的示例规则

  1. 您创建一条自定义规则以评估自己的账户是否启用了 CloudTrail 跟踪并针对所有区域开启了日志记录。

  2. 您希望每当有跟踪创建、更新或删除时 Amazon Config 都运行规则评估。您还希望 Amazon Config 每 12 小时运行一次规则。

  3. 对于触发器类型,选择配置更改和定期。

关闭配置记录器时的规则评估

如果您关闭配置记录器,Amazon Config 将停止记录对您资源配置的更改。这会在以下方面影响到您的规则评估:

  • 具有定期触发器的规则将按照指定的频率持续运行评估。

  • 具有配置更改触发器的规则不运行评估。

  • 具有两种触发器类型的规则仅按照指定的频率运行评估。规则不为配置更改运行评估。

  • 如果您针对具有配置更改触发器的规则运行按需评估,则规则将评估资源的最后已知状态,这是最后一个记录的配置项目。