使用 Amazon Config 查询 Amazon 资源的当前配置状态

您可以使用 Amazon Config 基于单个账户和区域的配置属性或跨多个账户和区域的配置属性来查询 Amazon 资源的当前配置状态。您可以针对 Amazon Config 支持的资源列表中的当前 Amazon 资源状态元数据执行基于属性的查询。有关支持的资源类型列表的更多信息，请参阅支持的高级查询资源类型。

高级查询提供了单一查询终端节点和查询语言以获得当前资源状态元数据，而无需执行特定于服务的描述 API 调用。您可以使用配置聚合器跨多个账户和 Amazon 区域从中央账户运行相同的查询。

特征

Amazon Config 使用结构化查询语言（SQL）SELECT 语法的一部分来对当前配置项（CI）数据执行基于属性的查询和聚合。查询的复杂程度不同，既可以是标签和/或资源标识符匹配，也可以是更复杂的查询，例如查看禁用了版本控制所有 Amazon S3 存储桶。这样，您就可以精确地查询您所需的当前资源状态，而无需执行特定于 Amazon 服务的 API 调用。

它支持聚合函数，例如、AVGCOUNT、MAX、MIN 和 SUM。

您可以使用高级查询来实现：

有关如何使用 Amazon SQL 查询语言的信息，请参阅什么是 SQL（结构化查询语言）？。

限制

作为 SQL SELECT 的一个子集，查询语法有以下限制：

高级查询的 CIDR 表示法/IP 范围行为

CIDR 表示法将转换为 IP 范围以供搜索。

这意味着，"=" 和 "BETWEEN" 会搜索任何包含所提供的 IP 的范围，而不是精确的范围。

要搜索精确的 IP 范围，您需要添加其他条件以排除该范围之外的 IP。

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
            

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
            

数组中的多个属性在高级查询中的表现

当针对对象数组内的多个属性执行查询时，将针对所有数组元素计算匹配项。

例如，对于具有规则 A 和 B 的资源 R，该资源符合规则 A 但不符合规则 B。资源 R 存储为：

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

此查询将返回 R：

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

第一个条件 configuration.configRuleList.complianceType = 'non_compliant' 适用于 R.configRuleList 中的所有元素，因为 R 有一条 complianceType = 'non_compliant' 的规则（规则 B），因此该条件被评估为 True。

第二个条件 configuration.configRuleList.configRuleName 适用于 R.configRuleList 中的所有元素，因为 R 有一条 configRuleName = 'A' 的规则（规则 A），因此该条件被评估为 True。由于两个条件均为 True，因此将返回 R。

区域支持

以下区域支持高级查询：