自定义 Lambda 规则(Amazon EC2 示例) - Amazon Config
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

自定义 Lambda 规则(Amazon EC2 示例)

此过程将指导您完成创建自定义 Lambda 规则的过程,该规则用于评估您的每个 EC2 实例是否为 t2.micro 类型。Amazon Config将为此规则运行基于事件的评估,这意味着它每次都会检查您的实例配置Amazon Config检测实例中的配置更改。Amazon Config会将 t2.micro 实例标记为合规,将所有其他实例标记为不合规。合规性状态将显示在 Amazon Config 控制台中。

为保证这一程序的最佳效果,您的 Amazon 账户应该拥有一个或多个 EC2 实例。您的实例中应包含至少一个 t2.micro 实例和其他类型的实例。

要创建此规则,请先通过在 Amazon Lambda 控制台中自定义一个蓝图来创建一个 Amazon Lambda 函数。然后,您将在中创建自定义 Lambda 规则Amazon Config,然后您将规则与函数关联起来。

为自定义 Config 规则创建 Amazon Lambda 函数

  1. 登录到 Amazon Web Services Management Console,然后通过以下网址打开 Amazon Lambda 控制台:https://console.aws.amazon.com/lambda/

  2. 在 Amazon Web Services Management Console菜单上,验证区域选择器是否设置为支持 Amazon Config 规则的区域。有关受支持的区域列表,请参阅Amazon Config区域和终端节点Amazon Web Services 一般参考.

  3. 在Amazon Lambda控制台,选择创建 Lambda 函数.

  4. 选择 Use a blueprint (使用蓝图)。在搜索栏中,键入config-rule-change-triggered. 在筛选结果中选择蓝图并选择配置.

  5. Configure triggers 页面上,选择 Next

  6. 基本信息页面上,完成以下步骤:

    1. 对于函数名称,请键入 InstanceTypeCheck

    2. 对于执行角色,选择从创建新角色AmazonPolicy templates.

    3. 对于 Runtime,请保留 Node.js

    4. 对于角色名称,键入名称。

    5. 对于Policy templates,选择Amazon Config规则权限.

    6. 对于Lambda 函数代码函数,保留预先配置的代码。代码编辑器中带有用于您的函数的 Node.js 代码。在本程序中,您无需更改代码。

    7. 验证详细信息并选择创建函数. Amazon Lambda 控制台会显示您的函数。

  7. 要验证您的函数是否设置正确,请通过以下步骤进行测试:

    1. 选择测试从下面的菜单中函数概述然后选择配置测试事件.

    2. 对于模板,选择Amazon Config配置项目变更通知.

    3. 对于 Name (名称),键入名称。

    4. 选择测试.Amazon Lambda使用示例事件测试您的函数。如果您的函数按预期运行,Execution result 下会出现与下面类似的错误消息:

      { "errorType": "InvalidResultTokenException," "errorMessage": "Result Token provided is invalid", . . .

      此处预期为 InvalidResultTokenException,因为仅当您的函数从 收到结果令牌Amazon Config 时,它才能成功运行。结果令牌可以识别 Amazon Config 规则和引起评估的事件,并将评估与规则相关联。这一异常表示您的函数具备将结果发送至 Amazon Config 所需的权限。否则,将显示以下错误消息:not authorized to perform: config:PutEvaluations. 如果出现此错误,请更新您分配给函数的角色以允许config:PutEvaluations操作,然后再次测试你的功能。

创建自定义 Lambda 规则来评估Amazon EC2 实例

  1. 通过以下网址打开 Amazon Config 控制台:https://console.aws.amazon.com/config/

  2. 在Amazon Web Services Management Console菜单,确认区域选择器设置为与您创建区域相同的区域Amazon Lambda您的自定义 Lambda 规则的函数。

  3. Rules 页面,选择 Add rule

  4. 指定规则类型页面,选择创建自定义规则.

  5. Configure rule 页面,完成以下步骤:

    1. 对于名称,键入 InstanceTypesAreT2micro

    2. 对于描述,键入 Evaluates whether EC2 instances are the t2.micro type

    3. 对于Amazon Lambda函数 ARN,请指定 ARNAmazon Lambda分配给你的函数。

      注意

      您在此步骤中指定的 ARN 不能包含 $LATEST 限定词。您指定的 ARN 可以不带有版本限定词,也可以带有除 $LATEST 之外的任何限定词。Amazon Lambda 支持函数版本控制功能,并为每个版本都分配一个带有限定词的 ARN。Amazon Lambda 对最新版本使用 $LATEST 限定词。

    4. 对于触发器类型,选择配置更改时.

    5. 对于 Scope of changes,请选择 Resources

    6. 对于资源,选择AmazonEC2 实例来自 的资源类型下拉列表。

    7. 参数部分,你必须指定你的规则参数Amazon Lambda函数求解并求解所需的值。本程序中的函数会评估 desiredInstanceType 参数。

      对于 Key (键),键入 desiredInstanceType。对于 Value,键入 t2.micro

  6. 选择 Next(下一步)。在审核和创建页面,验证有关您的规则的详细信息,然后选择添加规则函数. 您的新规则显示在Rule页面。

    合规性将显示评估...直到Amazon Config接收来自您的评估结果Amazon Lambda函数。如果规则和函数按预期运行,关于结果的汇总将在几分钟后显示。例如,2 noncompliant resource(s) 结果表示您的实例中有两个不是 t2.micro 实例,Compliant 结果表示所有实例均为 t2.micro 实例。您可以使用刷新按钮更新结果。

    如果规则或函数没有按预期运行,您可能会在 Compliance 中看到以下一项内容:

    • No results reported (未报告任何结果) - Amazon Config 针对规则评估了您的资源。规则不适用于其范围内的 Amazon 资源,指定的资源已删除,或者评估规则已删除。要获取评估结果,请更新规则、更改其范围或者选择 Re-evaluate

      验证范围是否包括AmazonEC2 实例为了资源,然后重试。

    • No resources in scope (范围中没有资源) - Amazon Config 无法对照规则来评估您记录的 Amazon 资源,因为您的任何资源都不在规则范围内。要获得评估结果,请编辑规则并更改其范围,或者添加资源Amazon Config使用以下命令进行录制设置页面。

      请检查确认 Amazon Config 是否在记录 EC2 实例。

    • Evaluations failed (评估失败) - 有关可帮助您确定问题的信息,请选择规则名称以打开其详细信息页面并查看错误消息。

如果您的规则正常运行并且 Amazon Config 提供了评估结果,您可以了解哪些条件影响了规则的合规性状态。您可以了解哪些资源不合规 (如果有) 及其原因。有关更多信息,请参阅查看配置合规性