AWS - Config Enum
AWS Config
AWS Config 捕获资源更改，因此可以记录对 Config 支持的任何资源的任何更改，这将记录更改内容以及其他有用的元数据，所有这些都保存在称为配置项（CI）的文件中。此服务是区域特定的。
配置项或称为 CI，是 AWS Config 的关键组件。它由一个 JSON 文件组成，包含配置信息、关系信息和其他元数据，作为支持资源的时间点快照视图。AWS Config 可以记录的所有资源信息都包含在 CI 中。每次对支持的资源进行配置更改时，都会创建一个 CI。除了记录受影响资源的详细信息外，AWS Config 还会记录任何直接相关资源的 CI，以确保更改不会影响这些资源。
元数据：包含有关配置项本身的详细信息。一个版本 ID 和一个配置 ID，唯一标识 CI。其他信息可以包括一个 MD5Hash，允许您比较已经记录的其他 CI。
属性：这包含实际资源的常见属性信息。在此部分中，我们还有一个唯一的资源 ID，以及与资源关联的任何键值标签。还列出了资源类型。例如，如果这是一个 EC2 实例的 CI，列出的资源类型可能是网络接口或该 EC2 实例的弹性 IP 地址。
关系：这包含资源可能具有的任何连接关系的信息。因此在此部分中，它将显示该资源与其他资源的任何关系的清晰描述。例如，如果 CI 是一个 EC2 实例，关系部分可能会显示与 VPC 的连接以及 EC2 实例所在的子网。
当前配置：这将显示与通过 AWS CLI 执行描述或列出 API 调用生成的信息相同的信息。AWS Config 使用相同的 API 调用获取相同的信息。
相关事件：这与 AWS CloudTrail 相关。这将显示与触发此 CI 创建的更改相关的 AWS CloudTrail 事件 ID。每次对资源进行更改时，都会创建一个新的 CI。因此，将创建不同的 CloudTrail 事件 ID。
配置历史：可以通过配置项获取资源的配置历史。每 6 小时交付一次配置历史，包含特定资源类型的所有 CI。
配置流：配置项被发送到 SNS 主题以便分析数据。
配置快照：配置项用于创建所有支持资源的时间点快照。
S3 用于存储配置历史文件和任何配置快照的数据在单个桶中，这在配置记录器中定义。如果您有多个 AWS 账户，您可能希望将配置历史文件汇总到主账户的同一个 S3 桶中。但是，您需要为此服务主体 config.amazonaws.com 和您的次要账户授予对主账户 S3 桶的写访问权限。
功能
当进行更改时，例如对安全组或桶访问控制列表的更改 —> 作为事件被 AWS Config 捕获
将所有内容存储在 S3 桶中
根据设置，一旦发生更改，它可能会触发一个 lambda 函数或安排 lambda 函数定期查看 AWS Config 设置
Lambda 反馈给 Config
如果规则被破坏，Config 会启动一个 SNS
Config 规则
Config 规则是帮助您在资源中实施特定合规检查和控制的好方法，并允许您为每种资源类型采用理想的部署规范。每个规则本质上是一个 lambda 函数，在调用时评估资源并执行一些简单的逻辑以确定规则的合规结果。每次对支持的资源进行更改时，AWS Config 将检查您设置的任何 config 规则的合规性。 AWS 有许多预定义规则，属于安全范畴，可以直接使用。例如，Rds-storage-encrypted。它检查您的 RDS 数据库实例是否激活了存储加密。Encrypted-volumes。它检查是否有任何附加状态的 EBS 卷被加密。
AWS 管理规则：一组预定义规则，涵盖了许多最佳实践，因此在设置自己的规则之前，浏览这些规则总是值得的，因为可能已经存在该规则。
自定义规则：您可以创建自己的规则以检查特定的自定义配置。
每个区域的 config 规则限制为 50 个，超过需要联系 AWS 以增加限制。 不合规结果不会被删除。
Last updated
