View a markdown version of this page

Suivi des modifications de configuration du X-Ray chiffrement avec AWS Config - AWS X-Ray
Création d'un déclencheur de fonction LambdaCréation d'une personnalisation AWS Config règle pour la radiographieExemples de résultatNotifications Amazon SNS

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Suivi des modifications de configuration du X-Ray chiffrement avec AWS Config

AWS X-Ray s'intègre AWS Config pour enregistrer les modifications de configuration apportées à vos ressources de X-Ray chiffrement. Vous pouvez les utiliser AWS Config pour inventorier les ressources de X-Ray chiffrement, auditer l'historique de X-Ray configuration et envoyer des notifications en fonction des modifications apportées aux ressources.

AWS Config prend en charge la journalisation des modifications X-Ray de ressources de chiffrement suivantes en tant qu'événements :

  • Modifications de configuration  : modification ou ajout d'une clé de chiffrement, ou rétablissement du paramètre de X-Ray chiffrement par défaut.

Suivez les instructions ci-dessous pour savoir comment créer une connexion de base entre X-Ray et AWS Config.

Création d'un déclencheur de fonction Lambda

Vous devez disposer de l'ARN d'une AWS Lambda fonction personnalisée pour pouvoir générer une AWS Config règle personnalisée. Suivez ces instructions pour créer une fonction de base Node.js qui renvoie une valeur conforme ou non conforme en AWS Config fonction de l'état de la XrayEncryptionConfig ressource.

Pour créer une fonction Lambda avec un déclencheur de AWS::XrayEncryptionConfig modification

  1. Ouvrez la console Lambda. Choisissez Créer une fonction.

  2. Choisissez Blueprints (Plans), puis filtrez la bibliothèque des plans pour rechercher le plan config-rule-change-triggered. Cliquez sur le lien dans le plan ou choisissez Configure (Configurer) pour continuer.

  3. Définissez les champs suivants pour configurer le plan :

    • Pour Name (Nom), tapez un nom.

    • Pour Role (Rôle), choisissez Create new role from template(s) (Créer un rôle à partir d'un modèle).

    • Tapez un nom pour Role name (Nom de rôle).

    • Pour Policy templates (Modèles de stratégie), choisissez AWS Config Rules permissions (Autorisations de règles &CC;).

  4. Choisissez Créer une fonction pour créer et afficher votre fonction dans la AWS Lambda console.

  5. Modifiez le code de votre fonction pour remplacer AWS::EC2::Instance par AWS::XrayEncryptionConfig. Vous pouvez également mettre à jour le champ de description pour refléter cette modification.

    Code par défaut

        if (configurationItem.resourceType !== 'AWS::EC2::Instance') {
        return 'NOT_APPLICABLE';
    } else if (ruleParameters.desiredInstanceType === configurationItem.configuration.instanceType) {
        return 'COMPLIANT';
    }
        return 'NON_COMPLIANT';

    Code mis à jour

        if (configurationItem.resourceType !== 'AWS::XRay::EncryptionConfig') {
        return 'NOT_APPLICABLE';
    } else if (ruleParameters.desiredInstanceType === configurationItem.configuration.instanceType) {
        return 'COMPLIANT';
    }
        return 'NON_COMPLIANT';

  6. Ajoutez ce qui suit à votre rôle d'exécution dans IAM pour y accéder X-Ray. Ces autorisations permettent un accès en lecture seule à vos X-Ray ressources. L'impossibilité de fournir l'accès aux ressources appropriées entraînera l'affichage d'un message hors de portée AWS Config lors de l'évaluation de la fonction Lambda associée à la règle.

        {
        "Sid": "Stmt1529350291539",
        "Action": [
            "xray:GetEncryptionConfig"
        ],
        "Effect": "Allow",
        "Resource": "*"
     }

Création d'une personnalisation AWS Config règle pour la radiographie

Lorsque la fonction Lambda est créée, notez l'ARN de la fonction et accédez à la AWS Config console pour créer votre règle personnalisée.

Pour créer un AWS Config règle pour X-Ray

  1. Ouvrez la page Rules (Règles) de la console AWS Config.

  2. Choisissez Add rule (Ajouter une règle), puis Add custom rule (Ajouter une règle personnalisée).

  3. Dans AWS Lambda Function ARN, insérez l'ARN associé à la fonction Lambda que vous souhaitez utiliser.

  4. Choisissez le type de déclencheur à définir :

    • Changements de configuration  : AWS Config déclenche l'évaluation lorsqu'une ressource correspondant à la portée de la règle change de configuration. L'évaluation est exécutée après l' AWS Config envoi d'une notification de modification d'un élément de configuration.

    • Périodique  : AWS Config exécute des évaluations pour la règle à la fréquence que vous choisissez (par exemple, toutes les 24 heures).

  5. Pour Resource type (Type de ressource), choisissez EncryptionConfig dans la section X-Ray .

  6. Cliquez sur Enregistrer.

La AWS Config console commence immédiatement à évaluer la conformité de la règle. L'évaluation peut prendre plusieurs minutes.

Maintenant que cette règle est conforme, AWS Config vous pouvez commencer à compiler un historique d'audit. AWS Config enregistre les changements de ressources sous forme de chronologie. Pour chaque modification de la chronologie des événements, AWS Config génère un tableau dans un from/to format indiquant les modifications apportées à la représentation JSON de la clé de chiffrement. Les deux modifications de champ associées EncryptionConfig sont Configuration.type etConfiguration.keyID.

Exemples de résultat

Voici un exemple de AWS Config chronologie montrant les modifications apportées à des dates et à des heures spécifiques.

AWS Config chronologie.

Voici un exemple d'entrée de AWS Config modification. Le from/to format illustre ce qui a changé. Cet exemple montre que les paramètres de X-Ray chiffrement par défaut ont été remplacés par une clé de chiffrement définie.

X-Ray entrée de modification de la configuration de chiffrement.

Notifications Amazon SNS

Pour être informé des modifications de configuration, configurez AWS Config pour publier les notifications Amazon SNS. Pour plus d'informations, voir Surveillance AWS Config des modifications des ressources par e-mail.