查询的当前配置状态 Amazon 资源与 Amazon Config

您可以使用 Amazon Config 根据单个账户和区域的配置属性或跨多个账户和区域查询 Amazon 资源的当前配置状态。您可以对支持的资源列表中的当前 Amazon 资源状态元数据执行基于属性的查询。 Amazon Config 有关支持的资源类型列表的更多信息，请参阅支持的资源类型。

高级查询提供了单一查询终端节点和查询语言以获得当前资源状态元数据，而无需执行特定于服务的描述 API 调用。您可以使用配置聚合器从一个中央账户跨多个账户和 Amazon 地区运行相同的查询。

功能

Amazon Config 使用结构化查询语言 (SQL) SELECT 语法的子集对当前配置项 (CI) 数据执行基于属性的查询和聚合。查询的复杂程度各不相同，从与标签 and/or 资源标识符的匹配到更复杂的查询，例如查看所有禁用版本控制的 Amazon S3 存储桶。这使您可以准确查询所需的当前资源状态，而无需执行 Amazon 特定于服务的 API 调用。

它支持聚合函数，例如、AVGCOUNT、MAX、MIN 和 SUM。

您可以使用高级查询来实现：

有关如何使用 Amazon SQL 查询语言的信息，请参阅什么是 SQL（结构化查询语言）？ 。

限制

作为 SQL SELECT 的一个子集，查询语法有以下限制：

高级查询的 CIDR notation/IP 范围行为

CIDR 表示法将转换为 IP 范围以供搜索。

这意味着，"=" 和 "BETWEEN" 会搜索任何包含所提供的 IP 的范围，而不是精确的范围。

要搜索精确的 IP 范围，您需要添加其他条件以排除该范围之外的 IP。

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
            

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
            

数组中的多个属性在高级查询中的表现

当针对对象数组内的多个属性执行查询时，将针对所有数组元素计算匹配项。

例如，对于具有规则 A 和 B 的资源 R，该资源符合规则 A 但不符合规则 B。资源 R 存储为：

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

此查询将返回 R：

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

第一个条件configuration.configRuleList.complianceType = 'non_compliant'适用于中的所有元素 R.configRuleList，因为 R 有一条 complianceType = 'non_complitive' 的规则（规则 B），因此该条件被评估为真。

第二个条件configuration.configRuleList.configRuleName适用于中的所有元素 R.configRuleList，因为 R 有一条配置RuleName为 'A' 的规则（规则 A），因此该条件被评估为真。由于两个条件均为 True，因此将返回 R。

支持的资源类型

并非所有 Amazon Config 支持的资源类型都可以在高级查询中查询。此外，配置项目中的某些字段不可搜索。无法搜索的字段可能会在结果中返回并用于查询的SELECT部分，但不能用于查询的其他部分，例如WHEREGROUP BY、或。ORDER BY

有关可搜索字段和资源类型的完整列表，请参阅高级查询支持的资源类型。

区域支持

以下区域支持高级查询：