AWS Config ejemplos que utilizan AWS CLI

Para eliminar una regla de AWS Config

El siguiente comando elimina una regla de AWS Config denominadaMyConfigRule:

aws configservice delete-config-rule --config-rule-name MyConfigRule

Para eliminar un canal de entrega

El siguiente comando elimina el canal de entrega predeterminado:

aws configservice delete-delivery-channel --delivery-channel-name default

Para eliminar manualmente los resultados de la evaluación

El siguiente comando elimina los resultados de la evaluación actual de la regla AWS gestionada s3-: bucket-versioning-enabled

aws configservice delete-evaluation-results --config-rule-name s3-bucket-versioning-enabled

Para entregar una instantánea de la configuración

El siguiente comando entrega una instantánea de la configuración al bucket de Amazon S3 que pertenece al canal de entrega predeterminado:

aws configservice deliver-config-snapshot --delivery-channel-name default

Salida:

{
    "configSnapshotId": "d0333b00-a683-44af-921e-examplefb794"
}

Para obtener información sobre el cumplimiento de tus reglas de AWS Config

El siguiente comando devuelve la información de conformidad de cada regla de AWS Config que uno o más AWS recursos infrinjan:

aws configservice describe-compliance-by-config-rule --compliance-types NON_COMPLIANT

En el resultado, el valor de cada CappedCount atributo indica cuántos recursos no cumplen con la regla relacionada. Por ejemplo, el siguiente resultado indica que tres recursos no cumplen con la regla indicadaInstanceTypesAreT2micro.

Salida:

{
    "ComplianceByConfigRules": [
        {
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 3,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            },
            "ConfigRuleName": "InstanceTypesAreT2micro"
        },
        {
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 10,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            },
            "ConfigRuleName": "RequiredTagsForVolumes"
        }
    ]
}

Para obtener información sobre el cumplimiento de sus AWS recursos

El siguiente comando devuelve la información de conformidad de cada EC2 instancia registrada por AWS Config y que infringe una o más reglas:

aws configservice describe-compliance-by-resource --resource-type AWS::EC2::Instance --compliance-types NON_COMPLIANT

En el resultado, el valor de cada CappedCount atributo indica cuántas reglas infringe el recurso. Por ejemplo, el siguiente resultado indica que la instancia i-1a2b3c4d infringe dos reglas.

Salida:

{
    "ComplianceByResources": [
        {
            "ResourceType": "AWS::EC2::Instance",
            "ResourceId": "i-1a2b3c4d",
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 2,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            }
        },
        {
            "ResourceType": "AWS::EC2::Instance",
            "ResourceId": "i-2a2b3c4d ",
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 3,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            }
        }
    ]
}

Para obtener información de estado de una regla de AWS Config

El siguiente comando devuelve la información de estado de una regla de AWS Config denominadaMyConfigRule:

aws configservice describe-config-rule-evaluation-status --config-rule-names MyConfigRule

Salida:

{
    "ConfigRulesEvaluationStatus": [
        {
            "ConfigRuleArn": "arn:aws:config:us-east-1:123456789012:config-rule/config-rule-abcdef",
            "FirstActivatedTime": 1450311703.844,
            "ConfigRuleId": "config-rule-abcdef",
            "LastSuccessfulInvocationTime": 1450314643.156,
            "ConfigRuleName": "MyConfigRule"
        }
    ]
}

Para obtener detalles de una regla de AWS Config

El siguiente comando devuelve los detalles de una regla de AWS Config denominadaInstanceTypesAreT2micro:

aws configservice describe-config-rules --config-rule-names InstanceTypesAreT2micro

Salida:

{
    "ConfigRules": [
        {
            "ConfigRuleState": "ACTIVE",
            "Description": "Evaluates whether EC2 instances are the t2.micro type.",
            "ConfigRuleName": "InstanceTypesAreT2micro",
            "ConfigRuleArn": "arn:aws:config:us-east-1:123456789012:config-rule/config-rule-abcdef",
            "Source": {
                "Owner": "CUSTOM_LAMBDA",
                "SourceIdentifier": "arn:aws:lambda:us-east-1:123456789012:function:InstanceTypeCheck",
                "SourceDetails": [
                    {
                        "EventSource": "aws.config",
                        "MessageType": "ConfigurationItemChangeNotification"
                    }
                ]
            },
            "InputParameters": "{\"desiredInstanceType\":\"t2.micro\"}",
            "Scope": {
                "ComplianceResourceTypes": [
                    "AWS::EC2::Instance"
                ]
            },
            "ConfigRuleId": "config-rule-abcdef"
        }
    ]
}

Para obtener información sobre el estado de la grabadora de configuración

El siguiente comando devuelve el estado de la grabadora de configuración predeterminada:

aws configservice describe-configuration-recorder-status

Salida:

{
    "ConfigurationRecordersStatus": [
        {
            "name": "default",
            "lastStatus": "SUCCESS",
            "recording": true,
            "lastStatusChangeTime": 1452193834.344,
            "lastStartTime": 1441039997.819,
            "lastStopTime": 1441039992.835
        }
    ]
}

Para obtener detalles sobre la grabadora de configuración

El siguiente comando devuelve detalles sobre la grabadora de configuración predeterminada:

aws configservice describe-configuration-recorders

Salida:

{
    "ConfigurationRecorders": [
        {
            "recordingGroup": {
                "allSupported": true,
                "resourceTypes": [],
                "includeGlobalResourceTypes": true
            },
            "roleARN": "arn:aws:iam::123456789012:role/config-ConfigRole-A1B2C3D4E5F6",
            "name": "default"
        }
    ]
}

Para obtener información sobre el estado del canal de entrega

El siguiente comando devuelve el estado del canal de entrega:

aws configservice describe-delivery-channel-status

Salida:

{
    "DeliveryChannelsStatus": [
        {
            "configStreamDeliveryInfo": {
                "lastStatusChangeTime": 1452193834.381,
                "lastStatus": "SUCCESS"
            },
            "configHistoryDeliveryInfo": {
                "lastSuccessfulTime": 1450317838.412,
                "lastStatus": "SUCCESS",
                "lastAttemptTime": 1450317838.412
            },
            "configSnapshotDeliveryInfo": {
                "lastSuccessfulTime": 1452185597.094,
                "lastStatus": "SUCCESS",
                "lastAttemptTime": 1452185597.094
            },
            "name": "default"
        }
    ]
}

Para obtener detalles sobre el canal de entrega

El siguiente comando devuelve detalles sobre el canal de entrega:

aws configservice describe-delivery-channels

Salida:

{
    "DeliveryChannels": [
        {
            "snsTopicARN": "arn:aws:sns:us-east-1:123456789012:config-topic",
            "name": "default",
            "s3BucketName": "config-bucket-123456789012"
        }
    ]
}

Para obtener los resultados de la evaluación de una regla de AWS Config

El siguiente comando devuelve los resultados de la evaluación de todos los recursos que no cumplen con una regla de AWS Config denominadaInstanceTypesAreT2micro:

aws configservice get-compliance-details-by-config-rule --config-rule-name InstanceTypesAreT2micro --compliance-types NON_COMPLIANT

Salida:

{
    "EvaluationResults": [
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-1a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314645.261,
            "ConfigRuleInvokedTime": 1450314642.948,
            "ComplianceType": "NON_COMPLIANT"
        },
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-2a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314645.18,
            "ConfigRuleInvokedTime": 1450314642.902,
            "ComplianceType": "NON_COMPLIANT"
        },
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-3a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314643.346,
            "ConfigRuleInvokedTime": 1450314643.124,
            "ComplianceType": "NON_COMPLIANT"
        }
    ]
}

Para obtener los resultados de la evaluación de un AWS recurso

El siguiente comando devuelve los resultados de la evaluación de cada regla que la EC2 instancia i-1a2b3c4d no cumpla:

aws configservice get-compliance-details-by-resource --resource-type AWS::EC2::Instance --resource-id i-1a2b3c4d --compliance-types NON_COMPLIANT

Salida:

{
    "EvaluationResults": [
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-1a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314643.288,
            "ConfigRuleInvokedTime": 1450314643.034,
            "ComplianceType": "NON_COMPLIANT"
        },
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-1a2b3c4d",
                    "ConfigRuleName": "RequiredTagForEC2Instances"
                }
            },
            "ResultRecordedTime": 1450314645.261,
            "ConfigRuleInvokedTime": 1450314642.948,
            "ComplianceType": "NON_COMPLIANT"
        }
    ]
}

Para obtener el resumen de conformidad de tus reglas de AWS Config

El siguiente comando devuelve el número de reglas que cumplen y el número de reglas que no lo son:

aws configservice get-compliance-summary-by-config-rule

En el resultado, el valor de cada CappedCount atributo indica cuántas reglas son conformes o no.

Salida:

{
    "ComplianceSummary": {
        "NonCompliantResourceCount": {
            "CappedCount": 3,
            "CapExceeded": false
        },
        "ComplianceSummaryTimestamp": 1452204131.493,
        "CompliantResourceCount": {
            "CappedCount": 2,
            "CapExceeded": false
        }
    }
}

Para obtener el resumen de conformidad de todos los tipos de recursos

El siguiente comando devuelve el número de AWS recursos que no son conformes y el número que sí lo son:

aws configservice get-compliance-summary-by-resource-type

En el resultado, el valor de cada CappedCount atributo indica cuántos recursos son compatibles o no.

Salida:

{
    "ComplianceSummariesByResourceType": [
        {
            "ComplianceSummary": {
                "NonCompliantResourceCount": {
                    "CappedCount": 16,
                    "CapExceeded": false
                },
                "ComplianceSummaryTimestamp": 1453237464.543,
                "CompliantResourceCount": {
                    "CappedCount": 10,
                    "CapExceeded": false
                }
            }
        }
    ]
}

Para obtener el resumen de conformidad de un tipo de recurso específico

El siguiente comando devuelve el número de EC2 instancias que no cumplen y el número que lo son:

aws configservice get-compliance-summary-by-resource-type --resource-types AWS::EC2::Instance

En el resultado, el valor de cada CappedCount atributo indica cuántos recursos son compatibles o no.

Salida:

{
    "ComplianceSummariesByResourceType": [
        {
            "ResourceType": "AWS::EC2::Instance",
            "ComplianceSummary": {
                "NonCompliantResourceCount": {
                    "CappedCount": 3,
                    "CapExceeded": false
                },
                "ComplianceSummaryTimestamp": 1452204923.518,
                "CompliantResourceCount": {
                    "CappedCount": 7,
                    "CapExceeded": false
                }
            }
        }
    ]
}

Para obtener el historial de configuración de un AWS recurso

El siguiente comando devuelve una lista de los elementos de configuración de una EC2 instancia con un ID dei-1a2b3c4d:

aws configservice get-resource-config-history --resource-type AWS::EC2::Instance --resource-id i-1a2b3c4d

Para obtener el estado de AWS Config

El siguiente comando devuelve el estado del canal de entrega y del grabador de configuración:

aws configservice get-status

Salida:

Configuration Recorders:

name: default
recorder: ON
last status: SUCCESS

Delivery Channels:

name: default
last stream delivery status: SUCCESS
last history delivery status: SUCCESS
last snapshot delivery status: SUCCESS

Para enumerar los recursos que AWS Config ha descubierto

El siguiente comando muestra las EC2 instancias que AWS Config ha descubierto:

aws configservice list-discovered-resources --resource-type AWS::EC2::Instance

Salida:

{
    "resourceIdentifiers": [
        {
            "resourceType": "AWS::EC2::Instance",
            "resourceId": "i-1a2b3c4d"
        },
        {
            "resourceType": "AWS::EC2::Instance",
            "resourceId": "i-2a2b3c4d"
        },
        {
            "resourceType": "AWS::EC2::Instance",
            "resourceId": "i-3a2b3c4d"
        }
    ]
}

Para añadir una regla de Config AWS gestionada

El siguiente comando proporciona JSON código para agregar una regla de Config AWS administrada:

aws configservice put-config-rule --config-rule file://RequiredTagsForEC2Instances.json

RequiredTagsForEC2Instances.jsones un JSON archivo que contiene la configuración de la regla:

{
  "ConfigRuleName": "RequiredTagsForEC2Instances",
  "Description": "Checks whether the CostCenter and Owner tags are applied to EC2 instances.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "AWS",
    "SourceIdentifier": "REQUIRED_TAGS"
  },
  "InputParameters": "{\"tag1Key\":\"CostCenter\",\"tag2Key\":\"Owner\"}"
}

Para el ComplianceResourceTypes atributo, este JSON código limita el alcance a los recursos de este AWS::EC2::Instance tipo, por lo que AWS Config evaluará solo EC2 las instancias según la regla. Puesto que la regla es una regla administrada, el atributo Owner se establece en AWS y el atributo SourceIdentifier en el identificador de la regla, REQUIRED_TAGS. Para el atributo InputParameters, se especifican las claves de etiqueta que requiere la regla, CostCenter y Owner.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar la configuración de la regla, ejecute el describe-config-rules comando y especifique el nombre de la regla.

Adición de una regla de configuración administrada por el cliente

El siguiente comando proporciona JSON código para agregar una regla de Config administrada por el cliente:

aws configservice put-config-rule --config-rule file://InstanceTypesAreT2micro.json

InstanceTypesAreT2micro.jsones un JSON archivo que contiene la configuración de la regla:

{
  "ConfigRuleName": "InstanceTypesAreT2micro",
  "Description": "Evaluates whether EC2 instances are the t2.micro type.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "CUSTOM_LAMBDA",
    "SourceIdentifier": "arn:aws:lambda:us-east-1:123456789012:function:InstanceTypeCheck",
    "SourceDetails": [
      {
        "EventSource": "aws.config",
        "MessageType": "ConfigurationItemChangeNotification"
      }
    ]
  },
  "InputParameters": "{\"desiredInstanceType\":\"t2.micro\"}"
}

Para el ComplianceResourceTypes atributo, este JSON código limita el alcance a los recursos de este AWS::EC2::Instance tipo, por lo que AWS Config evaluará solo EC2 las instancias según la regla. Como esta regla es una regla administrada por el cliente, el Owner atributo se establece en la función Lambda y el SourceIdentifier atributo se establece en ARN la función AWS Lambda. CUSTOM_LAMBDA El objeto SourceDetails es obligatorio. Los parámetros que se especifican para el InputParameters atributo se pasan a la función AWS Lambda cuando AWS Config la invoca para evaluar los recursos en función de la regla.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar la configuración de la regla, ejecute el describe-config-rules comando y especifique el nombre de la regla.

Ejemplo 1: Para registrar todos los recursos compatibles

El siguiente comando crea una grabadora de configuración que rastrea los cambios en todos los tipos de recursos compatibles, incluidos los tipos de recursos globales:

aws configservice put-configuration-recorder \
    --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role \
    --recording-group allSupported=true,includeGlobalResourceTypes=true

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar los ajustes de la grabadora de configuración, ejecute el describe-configuration-recorders comando.

Ejemplo 2: Para registrar tipos específicos de recursos

El siguiente comando crea una grabadora de configuración que rastrea los cambios realizados únicamente en los tipos de recursos que se especifican en el JSON archivo de la opción --recording-group:

aws configservice put-configuration-recorder \
    --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role \
    --recording-group file://recordingGroup.json

recordingGroup.json es un JSON archivo que especifica los tipos de recursos que AWS Config registrará:

{
    "allSupported": false,
    "includeGlobalResourceTypes": false,
    "resourceTypes": [
        "AWS::EC2::EIP",
        "AWS::EC2::Instance",
        "AWS::EC2::NetworkAcl",
        "AWS::EC2::SecurityGroup",
        "AWS::CloudTrail::Trail",
        "AWS::EC2::Volume",
        "AWS::EC2::VPC",
        "AWS::IAM::User",
        "AWS::IAM::Policy"
    ]
}

Antes de poder especificar los tipos de recursos para la resourceTypes clave, debe establecer las opciones allSupported y includeGlobalResource Tipos en false u omitirlas.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar los ajustes de la grabadora de configuración, ejecute el describe-configuration-recorders comando.

Ejemplo 3: Para seleccionar todos los recursos compatibles, excepto tipos específicos de recursos

El siguiente comando crea una grabadora de configuración que rastrea los cambios en todos los tipos de recursos compatibles actuales y futuros, excepto los tipos de recursos que se especifican en el JSON archivo para la opción --recording-group:

aws configservice put-configuration-recorder \
    --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role \
    --recording-group file://recordingGroup.json

recordingGroup.json es un JSON archivo que especifica los tipos de recursos que AWS Config registrará:

{
    "allSupported": false,
    "exclusionByResourceTypes": {
        "resourceTypes": [
        "AWS::Redshift::ClusterSnapshot",
        "AWS::RDS::DBClusterSnapshot",
        "AWS::CloudFront::StreamingDistribution"
    ]
    },
        "includeGlobalResourceTypes": false,
        "recordingStrategy": {
        "useOnly": "EXCLUSION_BY_RESOURCE_TYPES"
    },
}

Antes de poder especificar los tipos de recursos para excluirlos del registro: 1) Debe establecer las opciones allSupported y includeGlobalResource Tipos en false u omitirlas, y 2) Debe establecer el useOnly campo de RecordingStrategy en EXCLUSION RESOURCE _BY_ _. TYPES

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar los ajustes de la grabadora de configuración, ejecute el describe-configuration-recorders comando.

Para crear un canal de entrega

El siguiente comando proporciona la configuración del canal de entrega en forma de JSON código:

aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

El deliveryChannel.json archivo especifica los atributos del canal de entrega:

{
    "name": "default",
    "s3BucketName": "config-bucket-123456789012",
    "snsTopicARN": "arn:aws:sns:us-east-1:123456789012:config-topic",
    "configSnapshotDeliveryProperties": {
        "deliveryFrequency": "Twelve_Hours"
    }
}

Este ejemplo establece los siguientes atributos:

name- El nombre del canal de entrega. De forma predeterminada, AWS Config asigna el nombre default a un nuevo canal de entrega. No puede actualizar el nombre del canal de entrega con el comando. put-delivery-channel Para conocer los pasos para cambiar el nombre, consulte Cambiar el nombre del canal de entrega. s3BucketName - El nombre del bucket de Amazon S3 al que AWS Config entrega las instantáneas de configuración y los archivos del historial de configuración. Si especifica un bucket que pertenece a otra AWS cuenta, ese bucket debe tener políticas que concedan permisos de acceso a Config. AWS Para obtener más información, consulte Permisos para el bucket de Amazon S3.

snsTopicARN- El nombre del recurso de Amazon (ARN) del SNS tema de Amazon al que AWS Config envía notificaciones sobre los cambios de configuración. Si eliges un tema de otra cuenta, el tema debe tener políticas que concedan permisos de acceso a Config AWS . Para obtener más información, consulta el SNS tema Permisos para Amazon.

configSnapshotDeliveryProperties- Contiene el deliveryFrequency atributo, que establece la frecuencia con la que AWS Config entrega instantáneas de la configuración y la frecuencia con la que invoca las evaluaciones de las reglas de Config periódicas.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar la configuración de su canal de entrega, ejecute el describe-delivery-channels comando.

Para ejecutar una evaluación bajo demanda de las reglas de AWS Config

El siguiente comando inicia una evaluación de dos reglas AWS administradas:

aws configservice start-config-rules-evaluation --config-rule-names s3-bucket-versioning-enabled cloudtrail-enabled

Para iniciar la grabadora de configuración

El siguiente comando inicia la grabadora de configuración predeterminada:

aws configservice start-configuration-recorder --configuration-recorder-name default

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para comprobar que AWS Config está registrando sus recursos, ejecute el comando get-status.

Para detener la grabadora de configuración

El siguiente comando detiene la grabadora de configuración predeterminada:

aws configservice stop-configuration-recorder --configuration-recorder-name default

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para comprobar que AWS Config no graba sus recursos, ejecute el comando get-status.

Para suscribirse a AWS Config

El siguiente comando crea el canal de entrega y el grabador de configuración predeterminados. El comando también especifica el bucket de Amazon S3 y el SNS tema de Amazon al que AWS Config entregará la información de configuración:

aws configservice subscribe --s3-bucket config-bucket-123456789012 --sns-topic arn:aws:sns:us-east-1:123456789012:config-topic --iam-role arn:aws:iam::123456789012:role/ConfigRole-A1B2C3D4E5F6

Salida:

Using existing S3 bucket: config-bucket-123456789012
Using existing SNS topic: arn:aws:sns:us-east-1:123456789012:config-topic
Subscribe succeeded:

Configuration Recorders: [
    {
        "recordingGroup": {
            "allSupported": true,
            "resourceTypes": [],
            "includeGlobalResourceTypes": false
        },
        "roleARN": "arn:aws:iam::123456789012:role/ConfigRole-A1B2C3D4E5F6",
        "name": "default"
    }
]

Delivery Channels: [
    {
        "snsTopicARN": "arn:aws:sns:us-east-1:123456789012:config-topic",
        "name": "default",
        "s3BucketName": "config-bucket-123456789012"
    }
]