Activa un Guard Hook en tu cuenta

Inicia sesión en Consola de administración de AWS y abre la CloudFormation consola en https://console.aws.amazon.com/cloudformation.

En la barra de navegación de la parte superior de la pantalla, elige el Región de AWS lugar donde quieres crear el Hook In.

En el panel de navegación de la izquierda, selecciona Hooks.

En la página de ganchos, selecciona Crear un gancho y, a continuación, selecciona Con protección.

Si aún no ha creado ninguna regla de Guard, cree su regla de Guard, guárdela en Amazon S3 y, a continuación, vuelva a este procedimiento. Consulte las reglas de ejemplo de la Escribe reglas de Guard para evaluar los recursos de Guard Hooks página para empezar.

Si ya creaste tu regla de Guard y la almacenaste en S3, continúa con el siguiente paso.

Para el código fuente de Guard Hook, almacena tus reglas de Guard en S3 y haz lo siguiente:

(Opcional) Para el informe de salida de S3 bucket for Guard, especifica un bucket de S3 para almacenar el informe de salida de Guard. Este informe contiene los resultados de las validaciones de las reglas de Guard.

Para configurar el destino del informe de salida, elija una de las siguientes opciones:

(Opcional) Amplíe los parámetros de entrada de las reglas de Guard y, a continuación, proporcione la siguiente información en Almacene los parámetros de entrada de las reglas de Guard en S3:

Elija Siguiente.

Para el nombre del enlace, elige una de las siguientes opciones:

Para los objetivos de Hook, elige qué quieres evaluar:

En el caso de las Acciones, elige qué acciones (crear, actualizar, eliminar) invocarán tu Hook.

En el modo Hook, elige cómo responde el Hook cuando las reglas no se evalúan:

Para el rol de ejecución, elige el rol de IAM que asume el Hook para recuperar tus reglas de Guard de S3 y, si lo deseas, escribir un informe detallado sobre los resultados de Guard. Puedes CloudFormation permitir que se cree automáticamente un rol de ejecución para ti o puedes especificar un rol que hayas creado.

Elija Siguiente.

(Opcional) Para los filtros Hook, haz lo siguiente:

1. En el filtro de recursos, especifique qué tipos de recursos pueden invocar el Hook. Esto garantiza que el Hook solo se invoque para los recursos relevantes.

2. Para los criterios de filtrado, elija la lógica para aplicar los filtros de nombre de pila y rol de pila:

   • Todos los nombres y funciones de pila: el Hook solo se invocará cuando todos los filtros especificados coincidan.

   • Todos los nombres y funciones de pila: el Hook se invocará si al menos uno de los filtros especificados coincide.

   nota

   En el caso de las operaciones de la API de Cloud Control, se ignoran todos los filtros de nombres de pila y roles de pila.

3. En el caso de los nombres de pila, incluye o excluye pilas específicas de las invocaciones de Hook.

   • En Include, especifique los nombres de pila que desea incluir. Utilízalo cuando tengas un conjunto pequeño de pilas específicas a las que quieras dirigirte. Solo las pilas especificadas en esta lista invocarán el Hook.

   • Para Excluir, especifique los nombres de las pilas que desea excluir. Utilízalo cuando quieras invocar el Hook en la mayoría de las pilas, pero excluir algunas en concreto. Todas las pilas, excepto las que aparecen aquí, invocarán el Hook.

4. En el caso de las funciones de Stack, incluye o excluye pilas específicas de las invocaciones de Hook en función de sus funciones de IAM asociadas.

   • En Include, especifique uno o más ARN de roles de IAM para segmentar las pilas asociadas a estos roles. Solo las operaciones de pila iniciadas por estos roles invocarán el Hook.

   • En Exclude, especifique uno o más ARN de rol de IAM para las pilas que quiera excluir. El Hook se invocará en todas las pilas, excepto en las que hayan sido iniciadas por los roles especificados.

Elija Siguiente.

En la página Revisar y activar, revisa tus opciones. Para realizar cambios, elija Editar en la sección correspondiente.

Cuando estés listo para continuar, elige Activar Hook.

Para empezar a activar un Hook, usa el siguiente activate-type comando y reemplaza los marcadores de posición por tus valores específicos. Este comando autoriza al Hook a utilizar un rol de ejecución específico de su. Cuenta de AWS

aws cloudformation activate-type --type HOOK \
  --type-name AWS::Hooks::GuardHook \
  --publisher-id aws-hooks \
  --type-name-alias Private::Guard::MyTestHook \
  --execution-role-arn arn:aws:iam::123456789012:role/my-execution-role \
  --region us-west-2

Para terminar de activar el Hook, debes configurarlo mediante un archivo de configuración JSON.

Usa el cat comando para crear un archivo JSON con la siguiente estructura. Para obtener más información, consulte Referencia a la sintaxis del esquema de la configuración del enlace.

$ cat > config.json
{
  "CloudFormationConfiguration": {
    "HookConfiguration": {
      "HookInvocationStatus": "ENABLED",
      "TargetOperations": [
        "STACK",
        "RESOURCE",
        "CHANGE_SET"
      ],
      "FailureMode": "WARN",
      "Properties": {
        "ruleLocation": "s3://amzn-s3-demo-bucket/MyGuardRules.guard",
        "logBucket": "amzn-s3-demo-logging-bucket",
        "options": {
          "inputParams": "s3://amzn-s3-demo-bucket/MyInputParams.json"
        }
      },
      "TargetFilters": {
        "Actions": [
          "CREATE",
          "UPDATE",
          "DELETE"
        ]
      }
    }
  }
}

Usa el siguiente set-type-configuration comando, junto con el archivo JSON que creaste, para aplicar la configuración. Sustituya los marcadores de posición por sus valores específicos.

aws cloudformation set-type-configuration \
  --configuration file://config.json \
  --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyTestHook" \
  --region us-west-2