管理传递通道 - Amazon Config
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

管理传递通道

由于 Amazon Config 会持续记录您的 Amazon 资源发生的更改,因此,它会通过传递通道 发送通知和更新后的配置状态。您可以管理传递通道,从而控制 Amazon Config 在哪里发送配置更新。

每个 Amazon 账户每个区域只能有一个传递通道,且使用 Amazon Config 时必须使用传递通道。

当Amazon Config检测资源配置更改,且通知超过 Amazon SNS 允许的最大大小时,通知包含配置项的简要摘要。您可以在指定的 Amazon S3 存储桶中查看完整的通知s3BucketLocation字段中返回的子位置类型。有关更多信息,请参阅示例:超大配置项目变更通知.

注意

Amazon Config支持Amazon KMS对使用的 Amazon S3 存储桶进行加密Amazon Config

你可以提供Amazon Key Management Service(Amazon KMS) 密钥或别名 Amazon 资源名称(ARN),用于加密传输至 Amazon Simple Storage (Amazon S3) 存储桶的数据。默认情况下,Amazon Config将配置历史记录和快照文件传输到您的 Amazon S3 存储桶,并使用 S3 AES-256 服务器端加密 SSE-S3 对静态数据进行加密。但是,如果你提供Amazon Config使用您的 KMS 密钥或别名 ARN,Amazon Config使用该 KMS 密钥而不是 AES-256 加密。

Amazon Config不支持启用对象锁定的 Amazon S3 存储桶的传输通道。有关更多信息,请参阅 S3 对象锁定的工作原理

更新传递通道

更新传递通道时,您可以设置以下选项:

  • 要存储的 Amazon S3 存储桶Amazon Config发送配置快照和配置历史文件。

  • 多久一次Amazon Config将配置快照传送至您的 Amazon S3 存储桶。

  • Amazon SNS 的主题是Amazon Config发送有关配置更改的通知。

更新传递通道 (控制台)

  • 您可以使用Amazon Config控制台可为您的传输通道设置 Amazon S3 存储桶和 Amazon SNS 主题。有关管理这些设置的步骤,请参阅 使用控制台设置 Amazon Config

    控制台不提供用于重命名传递通道、设置配置快照频率或删除传递通道的选项。要完成这些任务,您必须使用 Amazon CLI、Amazon Config API 或某个 Amazon 开发工具包。

更新传递通道 (Amazon CLI)

  1. 使用 put-delivery-channel 命令:

    $ aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

    deliveryChannel.json 文件指定了传递通道的属性:

    { "name": "default", "s3BucketName": "config-bucket-123456789012", "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" } }

    此示例设置了以下属性:

    • name— 传输渠道的名称。默认情况下,Amazon Config 会向新的传递通道分配名称 default

      您无法使用 put-delivery-channel 命令更新传递通道的名称。有关更改名称的步骤,请参阅 重命名传递通道

    • s3BucketName— 要存储的 Amazon S3 存储桶的名称Amazon Config提供配置快照和配置历史文件。

      如果您指定的存储桶属于其他 Amazon 账户,则该存储桶必须拥有向 Amazon Config 授予访问权限的策略。有关更多信息,请参阅 Amazon S3 存储桶的权限

    • snsTopicARN— SNS 主题的 Amazon 资源名称(ARN)Amazon Config发送有关配置更改的通知。

      如果您从其他账户选择主题,则该主题必须拥有授予 Amazon Config 访问权限的策略。有关更多信息,请参阅 Amazon SNS 主题的权限

    • configSnapshotDeliveryProperties— 包含deliveryFrequency属性,它设置频率Amazon Config提供配置快照。

  2. (可选) 您可以使用 describe-delivery-channels 命令验证传递通道设置是否已更新:

    $ aws configservice describe-delivery-channels { "DeliveryChannels": [ { "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" }, "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "name": "default", "s3BucketName": "config-bucket-123456789012" } ] }

重命名传递通道

要更改传递通道的名称,您必须删除该传递通道,然后使用所需名称创建一个新传递通道。在删除传递通道之前,您必须暂时停止配置记录器。

Amazon Config 控制台不提供用于删除传递通道的选项,因此,您必须使用 Amazon CLI、Amazon Config API 或某个 Amazon 开发工具包。

重命名传递通道 (Amazon CLI)

  1. 使用 stop-configuration-recorder 命令停止配置记录器:

    $ aws configservice stop-configuration-recorder --configuration-recorder-name configRecorderName
  2. 使用 describe-delivery-channels 命令,并记下您的传递通道属性:

    $ aws configservice describe-delivery-channels { "DeliveryChannels": [ { "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" }, "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "name": "default", "s3BucketName": "config-bucket-123456789012" } ] }
  3. 使用 delete-delivery-channel 命令删除传递通道:

    $ aws configservice delete-delivery-channel --delivery-channel-name default
  4. 使用 put-delivery-channel 命令以所需名称创建传递通道:

    $ aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

    deliveryChannel.json 文件指定了传递通道的属性:

    { "name": "myCustomDeliveryChannelName", "s3BucketName": "config-bucket-123456789012", "snsTopicARN": "arn:aws:sns:us-east-2:123456789012:config-topic", "configSnapshotDeliveryProperties": { "deliveryFrequency": "Twelve_Hours" } }
  5. 使用 start-configuration-recorder 命令恢复记录:

    $ aws configservice start-configuration-recorder --configuration-recorder-name configRecorderName