自定义 Lambda 规则（Amazon EC2 示例）

登录 Amazon Web Services Management Console 并打开 Amazon Lambda 控制台，网址为 https://console.aws.amazon.com/lambda/。

在 Amazon Web Services Management Console 菜单中，确认区域选择器设置为支持 Amazon Config 规则的区域。有关支持的区域的列表，请参阅《Amazon Web Services 一般参考》中的 Amazon Config 区域和终端节点。

在 Amazon Lambda 控制台中，选择创建 Lambda 函数。

选择使用蓝图。在搜索栏中，键入 config-rule-change-triggered。选择筛选结果中的蓝图，然后选择配置。

在 Configure triggers 页面上，选择 Next。

在基本信息页面上，完成以下步骤：

1. 对于函数名称，请键入 InstanceTypeCheck。

2. 对于执行角色，选择从 Amazon 策略模板创建新角色。

3. 对于 Runtime，请保留 Node.js。

4. 对于角色名称，键入名称。

5. 对于策略模板，选择 Amazon Config 规则权限。

6. 对于 Lambda 函数代码函数，保留预配置的代码。代码编辑器中带有用于您的函数的 Node.js 代码。在本程序中，您无需更改代码。

7. 验证详细信息，然后选择创建函数。 Amazon Lambda 控制台显示您的函数。

要验证您的函数是否设置正确，请通过以下步骤进行测试：

1. 从函数概述下方的菜单中选择测试，然后选择配置测试事件。

2. 对于模板，选择 Amazon Config 配置项更改通知。

3. 对于名称，键入名称。

4. 选择 “测试”。 Amazon Lambda 使用示例事件测试您的函数。如果您的函数按预期运行，Execution result 下会出现与下面类似的错误消息：

   {
     "errorType": "InvalidResultTokenException,"
     "errorMessage": "Result Token provided is invalid",
   . . .

   之所以InvalidResultTokenException是预料之中的，是因为您的函数只有在收到来自的结果令牌时才能成功运行 Amazon Config。结果令牌可以识别 Amazon Config 规则和引起评估的事件，并将评估与规则相关联。这一异常表示您的函数具备将结果发送至 Amazon Config所需的权限。否则，将出现这种错误消息：not authorized to perform: config:PutEvaluations。如果发生这一错误，请更新您分配给函数的角色以便支持 config:PutEvaluations 操作，然后再次测试您的函数。

打开 Amazon Config 控制台，网址为 https://console.aws.amazon.com/config/。

在 Amazon Web Services Management Console 菜单中，确认区域选择器设置为与您为自定义 Lambda 规则创建 Amazon Lambda 函数的区域相同。

在 Rules 页面，选择 Add rule。

在指定规则类型页面上，选择创建自定义规则。

在 Configure rule 页面，完成以下步骤：

1. 对于名称，键入 InstanceTypesAreT2micro。

2. 对于描述，键入 Evaluates whether EC2 instances are the t2.micro type。

3. 对于 Amazon Lambda 函数 ARN，指定 Amazon Lambda 分配给您的函数的 ARN。

   注意

   您在此步骤中指定的 ARN 不能包含 $LATEST 限定词。您可以指定不带版本限定符的 ARN，也可以使用其他任何限定符指定。$LATEST Amazon Lambda 支持函数版本控制，并且每个版本都分配了一个带有限定符的 ARN。 Amazon Lambda 使用最新版本的$LATEST限定符。

4. 对于触发器类型，选择在配置发生更改时。

5. 对于 Scope of changes，请选择 Resources。

6. 对于资源，从资源类型下拉列表中选择 Amazon EC2 实例。

7. 在参数部分，您必须指定 Amazon Lambda 函数评估的规则参数和所需的值。本程序中的函数会评估 desiredInstanceType 参数。

   对于 Key (键)，键入 desiredInstanceType。对于 Value，键入 t2.micro。

选择下一步。在审核并创建页面上，验证您的规则的详细信息，然后选择添加规则函数。您的新规则将显示在 Rules 页面中。

合规性将显示正在评估... 直到 Amazon Config 收到您的 Amazon Lambda 职能的评估结果。如果规则和函数按预期运行，关于结果的汇总将在几分钟后显示。例如，2 noncompliant resource(s) 结果表示您的实例中有两个不是 t2.micro 实例，Compliant 结果表示所有实例均为 t2.micro 实例。您可以使用刷新按钮更新结果。

如果规则或函数没有按预期运行，您可能会在 Compliance 中看到以下一项内容：