Amazon Config 规则的评估模式和触发器类型

使用主动评估在资源部署之前对其进行评估。这使您可以评估一组资源属性（如果用于定义 Amazon 资源）是合规还是不合规，因为您所在地区的账户中有一组主动规则。

资源类型架构说明了资源的属性。您可以在 Amazon CloudFormation 注册表的 “Amazon 公共扩展” 中找到资源类型架构，也可以使用以下 CLI 命令找到：

aws cloudformation describe-type --type-name "AWS::S3::Bucket" --type RESOURCE

有关更多信息，请参阅《 Amazon CloudFormation 用户指南》中参考的通过 Amazon CloudFormation 注册表管理扩展以及Amazon 资源和属性类型。

主动评估的托管规则列表

有关支持主动评估的托管规则列表，请参阅按评估模式列出的 Amazon Config 托管规则列表。

支持主动评估的资源类型列表

以下是支持主动评估的资源类型列表：

主动评估的规则示例

开启主动评估后，您可以使用 StartResourceEvaluationAPI 和 GetResourceEvaluationSummaryAPI 来检查您的账户中尚未部署到生产环境的存储桶是否未启用日志记录。这允许您在部署之前测试资源配置，并重新评估是否要将资源部署到生产环境。

例如，从 StartResourceEvaluation API 开始：

aws configservice start-resource-evaluation --evaluation-mode PROACTIVE
                --resource-details '{"ResourceId":"MY_RESOURCE_ID",
                                     "ResourceType":"AWS::S3::Bucket",
                                     "ResourceConfiguration": "{\"BucketName\": \"my-bucket\", \"LoggingConfiguration\": {\"DestinationBucketName\": \"my-log-bucket\",\"LogFilePrefix\":\"my-log\"}}",
                                     "ResourceConfigurationSchemaType":"CFN_RESOURCE_SCHEMA"}'
                    

您应该会在输出中收到 ResourceEvaluationId：

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID"
}

然后，使用ResourceEvaluationId带有 GetResourceEvaluationSummary API 的来检查评估结果：

aws configservice get-resource-evaluation-summary
    --resource-evaluation-id MY_RESOURCE_EVALUATION_ID

您应收到类似以下内容的输出：

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID",
    "EvaluationMode": "PROACTIVE",
    "EvaluationStatus": {
        "Status": "SUCCEEDED"
    },
    "EvaluationStartTimestamp": "2022-11-15T19:13:46.029000+00:00",
    "Compliance": "COMPLIANT",
    "ResourceDetails": {
        "ResourceId": "MY_RESOURCE_ID",
        "ResourceType": "AWS::RESOURCE::TYPE",
        "ResourceConfiguration": "{\"BucketName\": \"my-bucket\", \"LoggingConfiguration\": {\"DestinationBucketName\": \"my-log-bucket\",\"LogFilePrefix\":\"my-log\"}}",

    }
}

要查看有关评估结果的更多信息，例如哪条规则将资源标记为 “不合规”，请使用 API。GetComplianceDetailsByResource

使用侦查评估来评估已部署的资源。这允许您评估现有资源的配置设置。

侦查评估的规则示例