Abfragen des aktuellen Konfigurationsstatus von AWS -Ressourcen

Inventarverwaltung; zum Beispiel, um eine Liste von EC2 Amazon-Instances einer bestimmten Größe abzurufen.

Sicherheits- und Betriebsinformationen, um beispielsweise eine Liste mit Ressourcen abzufragen, bei denen eine bestimmte Konfigurationseigenschaft aktiviert bzw. deaktiviert ist.

Kostenoptimierung, z. B. um eine Liste von EBS Amazon-Volumes zu identifizieren, die keiner EC2 Instance zugeordnet sind.

Compliance-Daten, z. B. um eine Liste all Ihrer Conformance Packs und deren Compliance-Status abzurufen.

Keine Unterstützung für die Schlüsselwörter ALL, AS, DISTINCT, FROM, HAVING, JOIN und UNION in einer Abfrage. Abfragen von NULL-Werten werden nicht unterstützt.

Keine Unterstützung für Abfragen von Ressourcen von Drittanbietern. Bei Ressourcen von Drittanbietern, die mit erweiterten Abfragen abgerufen wurden, ist das Konfigurationsfeld auf NULL festgelegt.

Verschachtelte Strukturen (wie Tags), die mit Abfragen entpackt werden, werden nicht unterstützt. SQL

CIDRDie Notation wird für die Suche in IP-Bereiche umgewandelt. Das bedeutet, dass mit "=" und "BETWEEN" nach allen Bereichen gesucht wird, die die angegebene IP enthalten, nicht nach einem bestimmten Bereich. Um nach einem exakten IP-Bereich zu suchen, müssen Sie zusätzliche Bedingungen für den Ausschluss IPs außerhalb des Bereichs hinzufügen. Um beispielsweise nach 10.0.0.0/24 und nur nach diesem IP-Block zu suchen, können Sie Folgendes verwenden:

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
    

Nach 192.168.0.2/32 können Sie auf ähnliche Weise suchen:

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
    

Bei der Abfrage nach mehreren Eigenschaften innerhalb eines Arrays von Objekten werden Übereinstimmungen mit allen Array-Elementen berechnet. Für eine Ressource R mit den Regeln A und B ist die Ressource beispielsweise konform mit Regel A, aber nicht konform mit Regel B. Die Ressource R wird wie folgt gespeichert:

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

R wird von dieser Abfrage zurückgegeben:

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

Die erste Bedingung configuration.configRuleList.complianceType = 'non_compliant' wird auf ALL Elemente in R configRuleList angewendet. Da R eine Regel (Regel B) mit complianceType = 'non_compliant' hat, wird die Bedingung als wahr bewertet. Die zweite Bedingung configuration.configRuleList.configRuleName wird auf ALL Elemente in R angewendetconfigRuleList, da R eine Regel (Regel A) mit configRuleName = 'A' hat, die Bedingung wird als wahr bewertet. Da beide Bedingungen „true“ sind, wird R zurückgegeben.

Die Kurznotation „SELECT alle Spalten“ (d. h. SELECT *) wählt ausschließlich die obersten, skalaren Eigenschaften eines CI aus. Die zurückgegebenen skalaren Eigenschaften lauten accountId, awsRegion, arn, availabilityZone, configurationItemCaptureTime, resourceCreationTime, resourceId, resourceName, resourceType und version.

Platzhalterbeschränkungen:

Aggregationsbeschränkungen:

Einschränkungen bei nicht übereinstimmenden Bezeichnern:

Nicht übereinstimmende Bezeichner sind Eigenschaften, die dieselbe Schreibweise, aber unterschiedliche Groß- und Kleinschreibung aufweisen. Die erweiterte Abfrage unterstützt nicht die Verarbeitung von Abfragen, die nicht übereinstimmende Bezeichner enthalten. Beispielsweise: