本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 使用录制 Amazon 资源 Amazon Config
Amazon Config 持续检测何时创建、更改或删除支持的资源类型。 Amazon Config 将这些事件记录为配置项目 (CIs)。
您可以自定义 Amazon Config 以记录所有支持的资源类型的配置更改，或者仅记录与您相关的受支持资源类型的配置更改。有关 Amazon Config 可以记录的支持资源类型的列表，请参阅[支持的资源类型 Amazon Config](resource-config-reference.md)。
**Topics**
+ [注意事项](#select-resources-considerations)
+ [区域性资源和全局资源](#select-resources-all)
+ [Amazon Config 规则和全局资源类型](#select-resources-rules-and-global)
+ [记录频率](#select-resources-recording-frequency)
+ [未记录的资源](#select-resources-non-recorded)
+ [记录资源（控制台）](select-resources-console.md)
+ [录制资源 (Amazon CLI)](select-resources-cli.md)
+ [排除资源](select-resources-excluding.md)
+ [停止记录](select-resources-stopping-recording.md)
## 注意事项
** Amazon Config 评估次数多**
与随后的几个月相比，您可能会注意到，在使用 Amazon Config 记录的第一个月份中，您的账户活动有所增加。在初始引导过程中， Amazon Config 会对您账户中您选择 Amazon Config 要记录的所有资源进行评估。
如果您运行的是临时工作负载，则可能会看到活动增加， Amazon Config 因为它记录了与创建和删除这些临时资源相关的配置更改。*临时工作负载* 是临时使用在需要时加载和运行的计算资源。示例包括 Amazon Elastic Compute Cloud（Amazon EC2）竞价型实例、Amazon EMR 任务和 Amazon Auto Scaling。
如果您想避免因运行临时工作负载而增加活动，则可以设置客户托管的配置记录器，将这些资源类型排除在记录之外，或者在 Amazon Config 关闭的情况下在单独的账户中运行这些类型的工作负载，以避免增加配置记录和规则评估。
**区域可用性**
在指定 Amazon Config 要跟踪的资源类型之前，请检查[按区域划分的资源覆盖率](https://docs.amazonaws.cn/config/latest/developerguide/what-is-resource-config-coverage.html)，以查看您设置的 Amazon 区域是否支持该资源类型 Amazon Config。
如果至少有一个区域支持某种资源类型，则即使您设置的区域不支持指定的资源类型 Amazon Config，您也可以在支持的所有 Amazon 区域中启用该资源类型的记录 Amazon Config。 Amazon Config
## 区域性资源和全局资源有什么区别？
**区域性资源**
*区域性资源*与某个区域相关联，且仅可在该区域中使用。你在指定的区域中创建它们 Amazon Web Services 区域，然后它们就存在于该区域中。要查看这些资源或与之交互，您必须将操作定向到该区域。例如，要使用创建 Amazon EC2 实例 Amazon Web Services 区域，[请选择](https://docs.amazonaws.cn/awsconsolehelpdocs/latest/gsg/select-region.html)要在中创建实例的。 Amazon Web Services 管理控制台如果您使用 Amazon Command Line Interface (Amazon CLI) 创建实例，则需要包含`--region`参数。它们 Amazon SDKs 都有自己的等效机制来指定操作使用的区域。
使用区域性资源有几个原因。原因之一是要确保资源以及您用来访问资源的服务终端节点尽可能靠近客户。这通过最大限度减少延迟来提高性能。另一个原因是为了提供隔离边界。这样，您可以在多个区域中创建独立的资源副本，以分配负载并提高可扩展性。同时，它可以将资源相互隔离，以提高可用性。
如果您在控制台或 Amazon CLI 命令 Amazon Web Services 区域 中指定其他内容，则无法再查看在前一个区域中可以看到的资源或与之交互。
当您查看区域资源的 [Amazon 资源名称（ARN）](https://docs.amazonaws.cn/general/latest/gr/aws-arns-and-namespaces.html)时，包含该资源的区域被指定为 ARN 中的第四个字段。例如，Amazon EC2 实例是一种区域性资源。以下是面向 `us-east-1` 区域中 Amazon EC2 实例的 ARN 示例。
```
arn:aws:ec2:us-east-1:123456789012:instance/i-0a6f30921424d3eee
```
**全局资源**
有些 Amazon 服务资源是*全球资源*，这意味着您可以从***任何地方***使用该资源。您无需在全局服务的控制台中指定。 Amazon Web Services 区域 要访问全局资源，在使用服务 Amazon CLI 和 Amazon SDK 操作时无需指定`--region`参数。
全局资源支持在关键时刻某一特定资源只能存在一个实例的情况。在这些情况下，在不同区域的副本之间进行复制或同步是不够的。为了确保资源使用者能即时看到任何变化，访问单一全局终端节点被认为是可以接受的，虽然可能会增加延迟。
例如，Amazon Aurora 全局集群（`AWS::RDS::GlobalCluster`）是全局资源，因此与区域无关。这意味着您无需依赖区域终端节点即可创建全局集群。好处是，虽然 Amazon Relational Database Service（Amazon RDS）本身是按区域组织的，但全局集群所源自的特定区域不会影响全局集群。它以单个连续的全局集群形式出现在所有区域。
全局资源的 [Amazon 资源名称（ARN）](https://docs.amazonaws.cn/general/latest/gr/aws-arns-and-namespaces.html)不包括区域。第四个字段为空，例如以下全局集群的 ARN 示例。
```
arn:aws:rds::123456789012:global-cluster:test-global-cluster
```
2022 年 2 月 Amazon Config 之后加入的全球资源类型将仅记录在服务主区域（商业分区）和分区 Amazon GovCloud （美国西部）中。 GovCloud 您只能在其所在地区和（美国西部CIs）查看这些新的全球资源类型的配置项目 Amazon GovCloud ()。
2022 年 2 月之前载入的全局资源类型（`AWS::IAM::Group`、`AWS::IAM::Policy`、`AWS::IAM::Role` 和 `AWS::IAM::User`）保持不变。您可以在 2022 年 2 月之前支持的所有区域启用这些全球 IAM 资源的记录。 Amazon Config 2022 年 2 月 Amazon Config 之后，这些全球 IAM 资源无法记录在支持的区域中。
**全局资源类型 \| IAM 资源**
以下 IAM 资源类型是全局资源：IAM 用户、组、角色和客户管理型策略。这些资源类型可以在 2022 Amazon Config 年 2 月之前可用的区域 Amazon Config 中进行记录。无法记录全局 IAM 资源类型的区域列表中包含以下区域：亚太地区（海得拉巴）、亚太地区（马来西亚）、亚太地区（墨尔本）、亚太地区（泰国）、加拿大西部（卡尔加里）、欧洲（西班牙）、欧洲（苏黎世）、以色列（特拉维夫）、墨西哥（中部）和中东（阿联酋）。
为防止配置项目重复 (CIs)，您应考虑仅在其中一个支持的区域中记录一次全球 IAM 资源类型。这还可以帮助您避免不必要的评估和 API 节流。
**全局资源类型 \| 仅限主区域**
以下服务的全球资源仅按 Amazon Config 全球资源类型的主区域记录：亚马逊弹性容器注册表公共区域、 Amazon Global Accelerator Amazon Route 53 CloudFront、Amazon 和 Amazon WAF。对于这些全球资源，可以在多个 Amazon 区域中使用同一资源类型的实例，但是配置项目 (CIs) 仅记录在商业分区的起始区域，或者分区的 Amazon GovCloud （美国西部）。 Amazon GovCloud (US)
**全局资源类型的主区域**
[See the AWS documentation website for more details](http://docs.amazonaws.cn/config/latest/developerguide/select-resources.html)
**全局资源类型 \| Aurora 全局集群**
`AWS::RDS::GlobalCluster`是一种全球资源，记录在启用了客户管理的配置记录器的所有受支持 Amazon Config 区域。这种全球资源类型的独特之处在于，如果您在一个区域启用此资源的记录，则 Amazon Config 将在所有已启用的区域中记录该资源类型的配置项目 (CIs)。
如果您不想在所有已启用的区域中记录，`AWS::RDS::GlobalCluster`请使用以下适用于 Amazon Config 控制台的记录策略之一：
+ **使用可自定义的替代项录制所有资源类型**，选择 GlobalCluster “Amazon RDS”，然后选择替代 “从录制中排除”
+ **记录特定的资源类型**（）。
如果您不想在所有已启用的区域中记录，`AWS::RDS::GlobalCluster`请使用以下适用于 API/CLI 的记录策略之一：
+ **记录所有当前和未来的资源类型，排除项除外**（`EXCLUSION_BY_RESOURCE_TYPES`）
+ **记录特定的资源类型**（`INCLUSION_BY_RESOURCE_TYPES`）。
## Amazon Config 规则和全局资源类型
2022 年 2 月之前加入的全球 IAM 资源类型（`AWS::IAM::Group``AWS::IAM::Policy`、`AWS::IAM::Role`、和`AWS::IAM::User`）只能在 2022 年 2 月之前可用的 Amazon Config 区域 Amazon Config 中进行记录。2022 年 2 月 Amazon Config 之后，这些全球 IAM 资源类型无法记录在支持的区域中。有关这些区域的列表，请参阅[记录 Amazon 资源 \| 全球资源](https://docs.amazonaws.cn/config/latest/developerguide/select-resources.html#select-resources-all)。
如果您至少在一个区域记录全局 IAM 资源类型，则报告全局 IAM 资源类型合规性的定期规则将在添加定期规则的所有区域运行评估，即使您尚未在已添加定期规则的区域启用全局 IAM 资源类型的记录，也是如此。
**在 2022 年 2 月之前报告载入的全局资源的最佳实践**
为避免不必要的评估，您只应将包含这些全球资源的 Amazon Config 规则和一致性包部署到支持的区域之一。有关哪些区域支持哪些托管规则的列表，请参阅[按区域可用性列出的 Amazon Config 托管规则列表](https://docs.amazonaws.cn/config/latest/developerguide/managing-rules-by-region-availability.html)。这适用于 Amazon Config 规则、组织 Amazon Config 规则以及由其他 Amazon 服务（例如 Amazon Security Hub CSPM 和）创建的规则 Amazon Control Tower。
如果您没有记录 2022 年 2 月之前载入的全局资源类型，建议您不要启用以下定期规则，以避免不必要的评估：
+ [access-keys-rotated](https://docs.amazonaws.cn/config/latest/developerguide/access-keys-rotated.html)
+ [account-part-of-organizations](https://docs.amazonaws.cn/config/latest/developerguide/account-part-of-organizations.html)
+ [iam-password-policy](https://docs.amazonaws.cn/config/latest/developerguide/iam-password-policy.html)
+ [iam-policy-in-use](https://docs.amazonaws.cn/config/latest/developerguide/iam-policy-in-use.html)
+ [iam-root-access-key-检查](https://docs.amazonaws.cn/config/latest/developerguide/iam-root-access-key-check.html)
+ [iam-user-mfa-enabled](https://docs.amazonaws.cn/config/latest/developerguide/iam-user-mfa-enabled.html)
+ [iam-user-unused-credentials-检查](https://docs.amazonaws.cn/config/latest/developerguide/iam-user-unused-credentials-check.html)
+ [mfa-enabled-for-iam-控制台访问权限](https://docs.amazonaws.cn/config/latest/developerguide/mfa-enabled-for-iam-console-access.html)
+ [root-account-hardware-mfa-已启用](https://docs.amazonaws.cn/config/latest/developerguide/root-account-hardware-mfa-enabled.html)
+ [root-account-mfa-enabled](https://docs.amazonaws.cn/config/latest/developerguide/root-account-mfa-enabled.html)
**在 2022 年 2 月之后报告载入的全局资源的最佳实践**
2022 年 2 月之后加入 Amazon Config 录制的全球资源类型将仅记录在服务主区域（商业分区）和分区 Amazon GovCloud （美国西部）中。 Amazon GovCloud (US) 您应该将这些全球资源范围内的 Amazon Config 规则和一致性包部署到资源类型的起始区域。有关更多信息，请参阅[全局资源类型的主区域](https://docs.amazonaws.cn/config/latest/developerguide/select-resources.html#select-resources-all)。
## 的录制频率 Amazon Config
Amazon Config 支持*连续录制*和*每日录制*。连续记录可让您在每次发生配置更改时连续记录更改。使用每日记录，您将收到代表过去 24 小时内资源的最新状态的配置项（CI），前提是它与之前记录的 CI 不同。有关如何更改录制频率的步骤，请参阅[更改录制频率](https://docs.amazonaws.cn/config/latest/developerguide/managing-recorder_console-change-recording-frequency.html)。
**连续记录**
连续记录的部分优势包括：
+ **实时监控**：连续记录可以立即检测未经授权的更改或意外改动，从而提升您的安全性和合规性。
+ **详细分析**：连续记录可以让您在资源配置更改发生时对其进行深入分析，确定当下的模式和趋势。
**每日记录**
每日记录的部分优势包括：
+ **最大限度减少干扰**：每日记录可以为您提供更易于管理的信息流，从而减少通知频率和警报疲劳。
+ **成本效益**：每日记录可以让您灵活地以较低的频率记录资源更改，从而降低与记录的配置更改数量相关的成本。
**注意**
Amazon Firewall Manager 依赖于持续录制来监控您的资源。如果您使用的是 Firewall Manager，建议您将记录频率设置为“持续”。
## 未记录的资源
如果未记录资源，则仅 Amazon Config 捕获该资源的创建和删除情况，不记录其他详细信息，而不会向您收取任何费用。创建或删除未录制的资源时， Amazon Config 会发送通知，并在资源详细信息页面上显示该事件。在未记录资源的详细信息页面上，大多数配置详细信息的值为 null，且不会显示关于关系和配置更改的信息。
由于缺少未记录资源的数据， Amazon Config 提供已记录资源的关系信息不受限制。如果某个已记录资源与未记录资源相关联，则已记录资源的详细信息页面会提供相应的关系信息。
**IAM 资源类型注意事项**
仅当资源被选为或以前被选为要在客户管理的配置记录器中记录的资源时，`AWS::IAM::User`、`AWS::IAM::Policy`、` AWS::IAM::Group`、`AWS::IAM::Role` 资源类型才会捕获创建（`ResourceNotRecorded`）和删除（`ResourceDeletedNotRecorded`）状态。
**未记录资源的 CI 记录时间表**
`ResourceNotRecorded`和的配置项目 (CIs) `ResourceDeletedNotRecorded` 不遵循资源类型的典型录制时间。这些资源类型仅在客户管理的配置记录器的定期基准化过程中进行记录，与其他资源类型相比，该过程的频率较低。这意味着创建和删除通知不是在创建或删除时发送的，而是在基准化过程中发送的。
**CI 交付和服务相关记录器范围**
对于与服务相关的配置记录器，录制范围决定了您是否在交付渠道中接收配置项目 (CIs)。记录范围由关联到配置记录器的服务设置。如果录制范围是内部的，则您不会在配送渠道 CIs 中接收。