本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Amazon Config 托管规则
Amazon Config 提供Amazon 托管规则，这些规则是预定义的可自定义规则， Amazon Config 用于评估您的 Amazon 资源是否符合常见的最佳实践。例如，您可以使用托管规则快速开始评估您的 对您的资源应用了特定标签。 Amazon Config 控制台将引导您完成配置和激活托管规则的过程。您也可以使用 Amazon Command Line Interface 或 Amazon Config API传递用于定义托管规则配置的JSON代码。
您可以自定义托管规则的行为以满足您的需求。例如，您可以定义规则的范围以限制哪些资源触发规则的评估，例如EC2实例或卷。您可以自定义规则的参数，以便定义您的资源为符合规则而必须具备的属性。例如，您可以自定义一个参数，以指定您的安全组应阻止传输到特定端口号的传入流量。
注意事项
托管规则的默认值
只有在使用 Amazon 控制台时，才会预先填充为托管规则指定的默认值。未提供APICLI、或的默认值SDK。
配置项目记录延迟
Amazon Config 通常会在检测到更改后立即或按您指定的频率记录对资源的配置更改。但是，这需要尽最大努力，有时可能需要更长的时间。一些已知延迟的资源类型包括：AWS::SecretsManager::Secret和AWS::SQS::Queue。这些资源类型仅为示例，此列表并非详尽无遗。
政策与合规结果
IAM在中管理的@@ 策略和其他策略 Amazon Organizations可能会影响是否 Amazon Config 有权记录资源的配置更改。此外，规则会直接评估资源的配置，而规则在运行评估时不考虑这些策略。确保现行政策与您打算使用的方式保持一致 Amazon Config。
不支持目录存储桶
在评估亚马逊简单存储服务 (Amazon S3) 资源时，托管规则仅支持通用存储桶。 Amazon Config 不记录目录存储桶的配置更改。有关通用存储桶和目录存储桶的更多信息，请参阅 Amazon S3 用户指南中的存储桶概述和目录存储桶。
托管规则和全局IAM资源类型
2022 年 2 月之前加入的全球IAM资源类型（AWS::IAM::Group、AWS::IAM::PolicyAWS::IAM::Role、和AWS::IAM::User）只能在 2022 年 2 月之前可用的 Amazon Amazon Config 区域 Amazon Config 中进行记录。2022 年 2 月 Amazon Config 之后将无法在支持的区域中记录这些资源类型。有关这些区域的列表，请参阅录制 Amazon 资源 | 全球资源。
如果您在至少一个区域记录了全球IAM资源类型，则报告该全局IAM资源类型合规性的定期规则将在添加定期规则的所有区域进行评估，即使您尚未在添加定期规则的区域中启用全局IAM资源类型的记录。
为避免不必要的评估，您只应向其中一个支持的区域部署定期报告全球IAM资源类型合规性的规则。有关哪些区域支持哪些托管规则的列表，请参阅按区域可用性列出的 Amazon Config 托管规则列表。
触发器类型
向账户添加规则后， Amazon Config 将您的资源与规则的条件进行比较。在这次初始评估之后，每次触发评估时都会 Amazon Config 继续运行评估。规则中会定义评估触发器，可以包括以下类型。
| 触发器类型 | 描述 |
|---|---|
| 配置更改 | Amazon Config 当存在与规则范围匹配的资源并且资源的配置发生变化时，会对规则进行评估。评估将在 Amazon Config 发送配置项目更改通知后运行。 通过定义规则的范围来选择哪些资源启动评估。范围可以包括：
Amazon Config 当它检测到与规则范围相匹配的资源发生变化时运行评估。您可以使用范围来定义哪些资源启动评估。 |
| 定期 | Amazon Config 按您选择的频率对规则进行评估；例如，每 24 小时运行一次。 |
| 混合 | 有些规则既有配置更改也有定期触发器。对于这些规则，它 Amazon Config 会在检测到配置更改时以及按照您指定的频率评估您的资源。 |
评估模式
Amazon Config 规则有两种评估模式。
| 评估模式 | 描述 |
|---|---|
| 主动 | 使用主动评估在资源部署之前对其进行评估。这使您可以评估一组资源属性（如果用于定义 Amazon 资源）是否是COMPLIANT或 NON _，COMPLIANT因为您所在地区的账户中有一组主动规则。 有关更多信息，请参阅评估模式。有关支持主动评估的托管规则列表，请参阅按评估模式列出的 Amazon Config 托管规则列表。 |
| 侦查 | 使用侦查评估来评估已部署的资源。这允许您评估现有资源的配置设置。 |
注意
主动规则不会修复标记为 NON _ COMPLIANT 的资源，也不会阻止其部署。