使用 Amazon Config 规则评估资源 - Amazon Config
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

使用 Amazon Config 规则评估资源

Amazon Config 用于评估 Amazon 资源的配置设置。为此,您可以创建 Amazon Config 规则,这些规则代表您的理想配置设置。 Amazon Config 提供名为托管规则的可自定义预定义规则,以帮助您入门。

Amazon Config 规则如何运作

在 Amazon Config 持续跟踪您的资源中出现的配置更改时,它会检查这些更改是否不符合规则中的任何条件。如果资源不符合规则,则会将该资源和规则 Amazon Config 标记为不合规。以下是 Amazon Config 规则可能的评估结果:

  • COMPLIANT - 规则通过了合规性检查的条件。

  • NON_COMPLIANT - 规则未通过合规性检查的条件。

  • ERROR - 其中一个必选/可选参数无效,或者类型不正确,或者格式不正确。

  • NOT_APPLICABLE - 用于筛选出无法应用规则逻辑的资源。例如,alb-desync-mode-check 规则仅检查应用程序负载均衡器,而忽略网络负载均衡器和网关负载均衡器。

例如,创建 EC2 卷时, Amazon Config 可以根据要求加密卷的规则评估该卷。如果卷未加密,则会将该卷和规则 Amazon Config 标记为不合规。 Amazon Config 还可以检查您的所有资源以了解整个账户的需求。例如, Amazon Config 可以检查账户中的 EC2 卷数量是否保持在所需的总数之内,或者账户是否 Amazon CloudTrail 用于日志记录。

服务关联规则

服务相关规则是一种独特的托管规则,它支持其他 Amazon 服务在您的账户中创建 Amazon Config 规则。这些规则是预定义的,包括代表您调用其他 Amazon 服务所需的所有权限。这些规则与 Amazon 服务在您的合规性验证中推荐 Amazon Web Services 账户 的标准类似。有关更多信息,请参阅 服务相关规则 Amazon Config

自定义规则

您还可以创建自定义规则来评估尚未 Amazon Config 记录的其他资源。有关更多信息,请参阅 Amazon Config 自定义规则评估其他资源类型

查看合规性

Amazon Config 控制台显示您的规则和资源的合规性状态。您可以查看您的 Amazon 资源总体上如何符合所需的配置,并了解哪些特定资源不合规。您还可以使用 Amazon CLI、 Amazon Config API 和 Amazon 软件开发工具包向 Amazon Config 服务请求合规性信息。

通过使用 Amazon Config 来评估您的资源配置,您可以评估您的资源配置在多大程度上符合内部实践、行业准则和法规。

限制

有关每个地区每个账户的最大 Amazon Config 规则数和其他服务限制,请参阅Amazon Config 服务限制

与成本相关的注意事项

有关资源记录相关费用的详细信息,请参阅Amazon Config 定价

建议:删除规则之前停止记录资源合规性

强烈建议您在删除账户中的规则之前,停止记录该AWS::Config::ResourceCompliance资源类型。删除规则会为配置记录器创建配置项目 (CI),AWS::Config::ResourceCompliance并可能影响您的 Amazon Config 配置记录器成本。如果您要删除评估大量资源类型的规则,则可能会导致记录的 CI 数量激增。

最佳实践:

  1. 停止录制 AWS::Config::ResourceCompliance

  2. 删除规则

  3. 开启录制 AWS::Config::ResourceCompliance

建议:添加逻辑以处理自定义 lambda 规则对已删除资源的评估

在创建 Amazon Config 自定义 lambda 规则时,强烈建议您添加逻辑来处理已删除资源的评估。

当评估结果被标记为 NOT_APPLICABLE 时,这些资源将被标记为已删除并被清理。如果未将其标记为NOT_APPLICABLE,则在删除规则之前,评估结果将保持不变,这可能会导致规则删除AWS::Config::ResourceCompliance后创建的 CI 出现意外激增。

有关如何设置 Amazon Config 自定义 lambda 规则以返回NOT_APPLICABLE已删除资源的信息,请参阅使用 Amazon Config 自定义 lambda 规则管理已删除的资源

建议:为自定义 lambda 规则提供范围内的资源

Amazon Config 如果自定义 Lambda 规则的范围不限于一种或多种资源类型,则该规则可能会导致大量的 Lambda 函数调用。为避免与您的账户相关的活动增加,强烈建议您在自定义 Lambda 规则的范围内提供资源。如果未选择任何资源类型,该规则将为账户中的所有资源调用 Lambda 函数。

区域支持

目前,以下 Amazon 区域支持 Amazon Config 规则功能。有关哪些区域支持哪些单独 Amazon Config 规则的列表,请参阅按区域可用性列出的 Amazon Config 托管规则列表。

区域名称 区域 端点 协议
美国东部(俄亥俄州) us-east-2

config.us-east-2.amazonaws.com

config-fips.us-east-2.amazonaws.com

HTTPS

HTTPS

美国东部(弗吉尼亚州北部) us-east-1

config.us-east-1.amazonaws.com

config-fips.us-east-1.amazonaws.com

HTTPS

HTTPS

美国西部(加利福尼亚北部) us-west-1

config.us-west-1.amazonaws.com

config-fips.us-west-1.amazonaws.com

HTTPS

HTTPS

美国西部(俄勒冈州) us-west-2

config.us-west-2.amazonaws.com

config-fips.us-west-2.amazonaws.com

HTTPS

HTTPS

非洲(开普敦) af-south-1 config.af-south-1.amazonaws.com HTTPS
亚太地区(香港) ap-east-1 config.ap-east-1.amazonaws.com HTTPS
亚太地区(海得拉巴) ap-south-2 config.ap-south-2.amazonaws.com HTTPS
亚太地区(雅加达) ap-southeast-3 config.ap-southeast-3.amazonaws.com HTTPS
亚太地区(墨尔本) ap-southeast-4 config.ap-southeast-4.amazonaws.com HTTPS
亚太地区(孟买) ap-south-1 config.ap-south-1.amazonaws.com HTTPS
亚太地区(大阪) ap-northeast-3 config.ap-northeast-3.amazonaws.com HTTPS
亚太地区(首尔) ap-northeast-2 config.ap-northeast-2.amazonaws.com HTTPS
亚太地区(新加坡) ap-southeast-1 config.ap-southeast-1.amazonaws.com HTTPS
亚太地区(悉尼) ap-southeast-2 config.ap-southeast-2.amazonaws.com HTTPS
亚太地区(东京) ap-northeast-1 config.ap-northeast-1.amazonaws.com HTTPS
加拿大(中部) ca-central-1 config.ca-central-1.amazonaws.com HTTPS
加拿大西部(卡尔加里) ca-west-1 config.ca-west-1.amazonaws.com HTTPS
中国(北京) cn-north-1 config.cn-north-1.amazonaws.com.cn HTTPS
中国(宁夏) cn-northwest-1 config.cn-northwest-1.amazonaws.com.cn HTTPS
欧洲地区(法兰克福) eu-central-1 config.eu-central-1.amazonaws.com HTTPS
欧洲地区(爱尔兰) eu-west-1 config.eu-west-1.amazonaws.com HTTPS
欧洲地区(伦敦) eu-west-2 config.eu-west-2.amazonaws.com HTTPS
欧洲地区(米兰) eu-south-1 config.eu-south-1.amazonaws.com HTTPS
欧洲地区(巴黎) eu-west-3 config.eu-west-3.amazonaws.com HTTPS
欧洲(西班牙) eu-south-2 config.eu-south-2.amazonaws.com HTTPS
欧洲地区(斯德哥尔摩) eu-north-1 config.eu-north-1.amazonaws.com HTTPS
欧洲(苏黎世) eu-central-2 config.eu-central-2.amazonaws.com HTTPS
以色列(特拉维夫) il-central-1 config.il-central-1.amazonaws.com HTTPS
中东(巴林) me-south-1 config.me-south-1.amazonaws.com HTTPS
中东(阿联酋) me-central-1 config.me-central-1.amazonaws.com HTTPS
南美洲(圣保罗) sa-east-1 config.sa-east-1.amazonaws.com HTTPS

以下区域支持跨 Amazon 组织成员账户部署 Amazon Config 规则。

区域名称 区域 端点 协议
美国东部(俄亥俄州) us-east-2 config.us-east-2.amazonaws.com HTTPS
美国东部(弗吉尼亚州北部) us-east-1 config.us-east-1.amazonaws.com HTTPS
美国西部(加利福尼亚北部) us-west-1 config.us-west-1.amazonaws.com HTTPS
美国西部(俄勒冈州) us-west-2 config.us-west-2.amazonaws.com HTTPS
亚太地区(雅加达) ap-southeast-3 config.ap-southeast-3.amazonaws.com HTTPS
亚太地区(墨尔本) ap-southeast-4 config.ap-southeast-4.amazonaws.com HTTPS
亚太地区(孟买) ap-south-1 config.ap-south-1.amazonaws.com HTTPS
亚太地区(首尔) ap-northeast-2 config.ap-northeast-2.amazonaws.com HTTPS
亚太地区(新加坡) ap-southeast-1 config.ap-southeast-1.amazonaws.com HTTPS
亚太地区(悉尼) ap-southeast-2 config.ap-southeast-2.amazonaws.com HTTPS
亚太地区(东京) ap-northeast-1 config.ap-northeast-1.amazonaws.com HTTPS
加拿大(中部) ca-central-1 config.ca-central-1.amazonaws.com HTTPS
欧洲地区(法兰克福) eu-central-1 config.eu-central-1.amazonaws.com HTTPS
欧洲地区(爱尔兰) eu-west-1 config.eu-west-1.amazonaws.com HTTPS
欧洲地区(伦敦) eu-west-2 config.eu-west-2.amazonaws.com HTTPS
欧洲地区(巴黎) eu-west-3 config.eu-west-3.amazonaws.com HTTPS
欧洲地区(斯德哥尔摩) eu-north-1 config.eu-north-1.amazonaws.com HTTPS
南美洲(圣保罗) sa-east-1 config.sa-east-1.amazonaws.com HTTPS

故障排除

如果您无法删除 Amazon Config 规则或收到类似于以下内容的错误,请检查以下问题进行故障排除:“出现错误” Amazon Config。

Amazon Identity and Access Management (IAM) 实体拥有 DeleteConfigRule 该 API 的权限

  1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

  2. 在导航窗格中,选择用户角色

  3. 选择您用来删除 Amazon Config 规则的用户或角色,然后展开权限策略

  4. 在 “权限” 选项卡中,选择 JSON

  5. 在 JSON 预览窗格中,确认 IAM 策略是否允许使用DeleteConfig规则 API 的权限。

IAM 实体权限边界允许 DeleteConfigRule API

如果 IAM 实体有权限边界,请确保它允许 DeleteConfigRule API 的权限。

  1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

  2. 在导航窗格中,选择用户角色

  3. 选择您用来删除 Amazon Config 规则的用户或角色,展开权限边界,然后选择 JSON

  4. 在 JSON 预览窗格中,确认 IAM 策略是否允许使用DeleteConfig规则 API 的权限。

警告

IAM 用户拥有长期证书,这会带来安全风险。为帮助减轻这种风险,我们建议仅向这些用户提供执行任务所需的权限,并在不再需要这些用户时将其移除。

服务控制策略 (SCP) 允许 API DeleteConfigRule

  1. 使用组织的管理账户打开 Amazon Organizations 控制台,网址为 https://console.aws.amazon.com/organizations/。

  2. 在账户名中,选择 Amazon Web Services 账户。

  3. 策略中,展开服务控制策略并记下附加的 SCP 策略。

  4. 在页面顶部,选择策略

  5. 选择策略,然后选择 “查看详细信息”。

  6. 在 JSON 预览窗格中,确认策略允许使用DeleteConfig规则 API。

该规则不是服务相关规则

启用安全标准后, Amazon Security Hub 会为您创建与服务相关的规则。您无法使用删除这些与服务相关的规则 Amazon Config,并且删除按钮显示为灰色。要删除服务相关规则,请参阅 Securit y Hub 用户指南中的禁用安全标准

未进行任何补救措施

您无法删除正在执行修正操作的 Amazon Config 规则。按照步骤删除与该规则关联的修正操作。然后,再次尝试删除该规则。

重要

仅删除处于失成功状态的修复操作。