管理传递通道 - Amazon Config
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

管理传递通道

由于 Amazon Config 会持续记录您的 Amazon 资源发生的更改,因此,它会通过传递通道 发送通知和更新后的配置状态。您可以管理传递通道,从而控制 Amazon Config 在哪里发送配置更新。

每个 Amazon 账户每个区域只能有一个传递通道,且使用 Amazon Config 时必须使用传递通道。

当 Amazon Config 检测到资源的配置更改且通知超过 Amazon SNS 允许的最大大小时,通知会包含配置项的简短摘要。您可以在 s3BucketLocation 字段中指定的 Amazon S3 存储桶位置查看完整通知。有关更多信息,请参阅过大配置项更改通知示例

注意

Amazon Config 支持对 Amazon Config 使用的 Amazon S3 存储桶进行 Amazon KMS 加密

您可以提供 Amazon Key Management Service (Amazon KMS) 密钥或别名 Amazon 资源名称 (ARN),来加密传递到您的 Amazon Simple Storage Service (Amazon S3) 存储桶的数据。默认情况下,Amazon Config 将配置历史记录和快照文件传递到您的 Amazon S3 存储桶,并使用 S3 AES-256 服务器端加密 (SSE-S3) 对静态数据进行加密。但是,如果您向 Amazon Config 提供 KMS 密钥或别名 ARN,则 Amazon Config 将使用该 KMS 密钥而不是 AES-256 加密。

Amazon Config 不支持向已启用对象锁定和默认保留的 Amazon S3 存储桶的传递通道。有关更多信息,请参阅 S3 对象锁定的工作原理

更新传递通道

更新传递通道时,您可以设置以下选项:

  • Amazon Config 向其发送配置快照和配置历史记录文件的 Amazon S3 存储桶。

  • Amazon Config 将配置快照传输到 Amazon S3 存储桶的频率。

  • Amazon Config 向其发送有关配置更改的通知的 Amazon SNS 主题。

更新传递通道 (控制台)
  • 您可以使用 Amazon Config 控制台为您的传递通道设置 Amazon S3 存储桶和 Amazon SNS 主题。有关管理这些设置的步骤,请参阅 使用控制台设置 Amazon Config

    控制台不提供用于重命名传递通道、设置配置快照频率或删除传递通道的选项。要完成这些任务,您必须使用 Amazon CLI、Amazon Config API 或某个 Amazon 开发工具包。

更新传递通道 (Amazon CLI)
  1. 使用 put-delivery-channel 命令:

    $ aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

    deliveryChannel.json 文件指定了传递通道的属性:

    { "name": "default", "s3BucketName": "config-bucket-123456789012", "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" } }

    此示例设置了以下属性:

    • name – 传输通道的名称。默认情况下,Amazon Config 会向新的传递通道分配名称 default

      您无法使用 put-delivery-channel 命令更新传递通道的名称。有关更改名称的步骤,请参阅 重命名传递通道

    • s3BucketName – Amazon Config 向其传输配置快照和配置历史记录文件的 Amazon S3 存储桶的名称。

      如果您指定的存储桶属于其他 Amazon 账户,则该存储桶必须拥有向 Amazon Config 授予访问权限的策略。有关更多信息,请参阅Amazon S3 存储桶的 Amazon Config 传输通道权限

    • snsTopicARN – Amazon Config 向其发送有关配置更改的通知的 Amazon SNS 主题的 Amazon 资源名称 (ARN)。

      如果您从其他账户选择主题,则该主题必须拥有授予 Amazon Config 访问权限的策略。有关更多信息,请参阅Amazon SNS 主题的权限

    • configSnapshotDeliveryProperties – 包含 deliveryFrequency 属性,此属性可设置 Amazon Config 传输配置快照的频率。

  2. (可选) 您可以使用 describe-delivery-channels 命令验证传递通道设置是否已更新:

    $ aws configservice describe-delivery-channels { "DeliveryChannels": [ { "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" }, "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "name": "default", "s3BucketName": "config-bucket-123456789012" } ] }

重命名传递通道

要更改传递通道的名称,您必须删除该传递通道,然后使用所需名称创建一个新传递通道。在删除传递通道之前,您必须暂时停止配置记录器。

Amazon Config 控制台不提供用于删除传递通道的选项,因此,您必须使用 Amazon CLI、Amazon Config API 或某个 Amazon 开发工具包。

重命名传递通道 (Amazon CLI)
  1. 使用 stop-configuration-recorder 命令停止配置记录器:

    $ aws configservice stop-configuration-recorder --configuration-recorder-name configRecorderName
  2. 使用 describe-delivery-channels 命令,并记下您的传递通道属性:

    $ aws configservice describe-delivery-channels { "DeliveryChannels": [ { "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" }, "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "name": "default", "s3BucketName": "config-bucket-123456789012" } ] }
  3. 使用 delete-delivery-channel 命令删除传递通道:

    $ aws configservice delete-delivery-channel --delivery-channel-name default
  4. 使用 put-delivery-channel 命令以所需名称创建传递通道:

    $ aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

    deliveryChannel.json 文件指定了传递通道的属性:

    { "name": "myCustomDeliveryChannelName", "s3BucketName": "config-bucket-123456789012", "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" } }
  5. 使用 start-configuration-recorder 命令恢复记录:

    $ aws configservice start-configuration-recorder --configuration-recorder-name configRecorderName