Valutazione delle risorse con AWS Config Regole

Per informazioni dettagliate sui costi associati alla registrazione delle risorse, vedi AWS Config prezzi.

Raccomandazione: valuta la possibilità di escludere il tipo di AWS::Config::ResourceCompliance risorsa dalla registrazione prima di eliminare le regole

L'eliminazione delle regole crea elementi di configurazione (CI) AWS::Config::ResourceCompliance che possono influire sui costi del registratore di configurazione. Se si eliminano regole che valutano un numero elevato di tipi di risorse, si può verificare un aumento del numero di CI registrati.

Per evitare i costi associati, puoi scegliere di disabilitare la registrazione per il tipo di AWS::Config::ResourceCompliance risorsa prima di eliminare le regole e riattivare la registrazione dopo che le regole sono state eliminate.

Tuttavia, poiché l'eliminazione delle regole è un processo asincrono, il completamento potrebbe richiedere un'ora o più. Durante il periodo in cui la registrazione è disabilitataAWS::Config::ResourceCompliance, le valutazioni delle regole non verranno registrate nella cronologia della risorsa associata.

AWS Config consiglia di valutare questi fattori caso per caso prima di decidere come procedere con l'eliminazione delle regole.

Raccomandazione: aggiungi una logica per gestire la valutazione delle risorse eliminate per le regole lambda personalizzate

Quando si creano regole lambda AWS Config personalizzate, si consiglia vivamente di aggiungere una logica per gestire la valutazione delle risorse eliminate.

Quando i risultati della valutazione sono contrassegnati come NOT_APPLICABLE, verranno contrassegnati per l'eliminazione e ripuliti. Se NON sono contrassegnate comeNOT_APPLICABLE, i risultati della valutazione rimarranno invariati fino all'eliminazione della regola, il che può causare un picco imprevisto nella creazione di CI in seguito all'eliminazione delle regole. AWS::Config::ResourceCompliance

Per informazioni su come impostare regole lambda AWS Config personalizzate da restituire NOT_APPLICABLE per le risorse eliminate, vedi Gestire le risorse eliminate con regole lambda personalizzate. AWS Config

Raccomandazione: fornisci le risorse nell'ambito delle regole lambda personalizzate

AWS Config Le regole Lambda personalizzate possono causare un numero elevato di invocazioni di funzioni Lambda se la regola non è limitata a uno o più tipi di risorse. Per evitare un aumento delle attività associate all'account, si consiglia vivamente di fornire risorse nell'ambito delle regole Lambda personalizzate. Se non viene selezionato alcun tipo di risorsa, la regola richiamerà la funzione Lambda per tutte le risorse dell'account.

Valori predefiniti per le regole gestite

I valori predefiniti specificati per le regole gestite sono precompilati solo quando si utilizza la console. AWS I valori predefiniti non sono forniti per l'API, la CLI o l'SDK.

Ritardi nella registrazione degli elementi di configurazione

AWS Config in genere registra le modifiche alla configurazione delle risorse subito dopo il rilevamento di una modifica o con la frequenza specificata. Tuttavia, questa operazione viene eseguita nel migliore dei modi e può richiedere più tempo a volte. Ad esempio, un tipo di risorsa con ritardi noti èAWS::SecretsManager::Secret. Questo tipo di risorsa è un esempio e questo elenco non è esaustivo.

Politiche e risultati di conformità

Le politiche IAM e le altre politiche gestite AWS Organizations possono influire sulla AWS Config disponibilità delle autorizzazioni per registrare le modifiche alla configurazione delle risorse. Inoltre, le regole valutano direttamente la configurazione di una risorsa e le regole non tengono conto di queste politiche durante l'esecuzione delle valutazioni. Assicurati che le politiche in vigore siano in linea con il modo in cui intendi utilizzarle. AWS Config

Supporto per l'etichettatura per i tipi di risorse

Se un tipo di risorsa non supporta l'etichettatura o non include informazioni sui tag nella risposta dell'API di descrizione, AWS Config non acquisirà i dati dei tag negli elementi di configurazione (CI) per quel tipo di risorsa. AWS Config registrerà comunque queste risorse. Tuttavia, qualsiasi funzionalità basata sui dati dei tag non funzionerà. Ciò influisce sul filtraggio, sul raggruppamento o sulla valutazione della conformità basati sui tag che si basano sui dati dei tag.

I bucket di directory non sono supportati

Le regole gestite supportano i bucket generici solo nella valutazione delle risorse Amazon Simple Storage Service (Amazon S3). Per ulteriori informazioni sui bucket generici e sui bucket di directory, consulta la panoramica dei bucket e bucket di directory nella guida utente di Amazon S3.

Regole gestite e tipi di risorse IAM globali

I tipi di risorse IAM globali inseriti prima di febbraio 2022 (AWS::IAM::Group, AWS::IAM::PolicyAWS::IAM::Role, eAWS::IAM::User) possono essere registrati solo AWS nelle regioni AWS Config in cui AWS Config erano disponibili prima di febbraio 2022. Questi tipi di risorse non possono essere registrati nelle regioni supportate AWS Config dopo febbraio 2022. Per un elenco di queste regioni, consulta Recording AWS Resources | Global Resources.

Se registri un tipo di risorsa IAM globale in almeno una regione, le regole periodiche che segnalano la conformità sul tipo di risorsa IAM globale eseguiranno le valutazioni in tutte le regioni in cui viene aggiunta la regola periodica, anche se non hai abilitato la registrazione del tipo di risorsa IAM globale nella regione in cui è stata aggiunta la regola periodica.

Per evitare valutazioni non necessarie, dovresti implementare solo regole periodiche che segnalino la conformità su un tipo di risorsa IAM globale a una delle regioni supportate. Per un elenco delle regole gestite supportate in quali regioni, consulta Elenco delle regole AWS Config gestite per regione di disponibilità.