アカウントでガードフックをアクティブ化する

にサインイン AWS Management Console し、https://console.aws.amazon.com/cloudformation で AWS CloudFormation コンソールを開きます。

画面上部のナビゲーションバーで、フックを作成する を選択します AWS リージョン 。

Guard ルールをまだ作成していない場合は、Guard ルールを作成して Amazon S3 に保存し、この手順に戻ります。開始ガードフックのリソースを評価するためのガードルールを記述するするには、「」のルール例を参照してください。

既に Guard ルールを作成して S3 に保存している場合は、次のステップに進みます。

Guard Hook ソースの場合、S3 に Guard ルールを保存します。次の操作を行います。

（オプション) Guard 出力レポートの S3 バケットで、Guard 出力レポートを保存する S3 バケットを指定します。このレポートには、Guard ルールの検証結果が含まれます。

出力レポートの宛先を設定するには、次のいずれかのオプションを選択します。

（オプション) ガードルール入力パラメータを展開し、S3 にガードルール入力パラメータを保存する」に次の情報を入力します。

[Next (次へ)] を選択します。

フック名 で、次のいずれかのオプションを選択します。

フックターゲットで、評価対象を選択します。

アクション で、フックを呼び出すアクション (作成、更新、削除) を選択します。

フックモードでは、ルールが評価に失敗したときにフックがどのように応答するかを選択します。

実行ロール で、CloudFormation フックが S3 から Guard ルールを取得するために引き受ける IAM ロールを選択し、オプションで詳細な Guard 出力レポートを書き戻します。CloudFormation が実行ロールを自動的に作成できるようにするか、作成したロールを指定できます。

[Next (次へ)] を選択します。

（オプション) フックフィルターの場合は、次の操作を行います。

1. リソースフィルターで、フックを呼び出すことができるリソースタイプを指定します。これにより、フックは関連するリソースに対してのみ呼び出されます。

2. フィルタリング条件 で、スタック名とスタックロールフィルターを適用するロジックを選択します。

   • すべてのスタック名とスタックロール – フックは、指定されたすべてのフィルターが一致する場合にのみ呼び出されます。

   • スタック名とスタックロール – 指定されたフィルターの少なくとも 1 つが一致すると、フックが呼び出されます。

   注記

   Cloud Control API オペレーションでは、すべてのスタック名とスタックロールフィルターは無視されます。

3. スタック名の場合、フック呼び出しに特定のスタックを含めるか除外します。

   • 含める には、含めるスタック名を指定します。これは、ターゲットにする特定のスタックの小さなセットがある場合に使用します。このリストで指定されたスタックのみがフックを呼び出します。

   • 除外 で、除外するスタック名を指定します。これは、ほとんどのスタックでフックを呼び出すが、特定のスタックを除外する場合に使用します。ここにリストされているスタックを除くすべてのスタックはフックを呼び出します。

4. スタックロールの場合、関連付けられた IAM ロールに基づいて、フック呼び出しに特定のスタックを含めるか除外します。

   • Include には、これらのロールに関連付けられたスタックをターゲットにする 1 つ以上の IAM ロール ARNs を指定します。これらのロールによって開始されたスタックオペレーションのみがフックを呼び出します。

   • Exclude には、除外するスタックの 1 つ以上の IAM ロール ARNs を指定します。フックは、指定されたロールによって開始されたスタックを除くすべてのスタックで呼び出されます。

[Next (次へ)] を選択します。

確認とアクティブ化ページで、選択内容を確認します。変更するには、関連セクションで [編集] をクリックします。

続行する準備ができたら、フックのアクティブ化を選択します。

フックのアクティブ化を開始するには、次のactivate-typeコマンドを使用して、プレースホルダーを特定の値に置き換えます。このコマンドは、 フックが から指定された実行ロールを使用することを許可します AWS アカウント。

aws cloudformation activate-type --type HOOK \
  --type-name AWS::Hooks::GuardHook \
  --publisher-id aws-hooks \
  --type-name-alias Private::Guard::MyTestHook \
  --execution-role arn:aws:iam::123456789012:role/my-execution-role \
  --region us-west-2

フックのアクティブ化を完了するには、JSON 設定ファイルを使用してフックを設定する必要があります。

cat コマンドを使用して、次の構造で JSON ファイルを作成します。詳細については、「フック設定スキーマ構文リファレンス」を参照してください。

$ cat > config.json
{
  "CloudFormationConfiguration": {
    "HookConfiguration": {
      "HookInvocationStatus": "ENABLED",
      "TargetOperations": [
        "STACK",
        "RESOURCE",
        "CHANGE_SET"
      ],
      "FailureMode": "WARN",
      "Properties": {
        "ruleLocation": "s3://amzn-s3-demo-bucket/MyGuardRules.guard",
        "logBucket": "amzn-s3-demo-logging-bucket"
      }
    }
  }
}

次のset-type-configurationコマンドと作成した JSON ファイルを使用して、設定を適用します。プレースホルダーを特定の値に置き換えます。

aws cloudformation set-type-configuration \
  --configuration file://config.json \
  --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyTestHook" \
  --region us-west-2