の評価モードとトリガータイプ AWS Config ルール

プロアクティブ評価は、デプロイ前にリソースを評価するために使用します。これにより、リソースプロパティのセットが の定義に使用されるかどうかを評価できます。 AWS リージョンのアカウントにあるプロアクティブルールのセットを考慮すると、 リソースは COMPLIANTまたは NON_COMPLIANT になります。

リソースタイプスキーマは、リソースのプロパティを記述します。リソースタイプスキーマは「」にあります。AWS パブリック拡張機能「 内 AWS CloudFormation レジストリまたはCLI次のコマンドを使用します。

aws cloudformation describe-type --type-name "AWS::S3::Bucket" --type RESOURCE

詳細については、「 による拡張機能の管理」を参照してください。 AWS CloudFormation レジストリと AWS の リソースおよびプロパティタイプのリファレンス AWS CloudFormation ユーザーガイド。

プロアクティブ評価によるマネージドルールのリスト

プロアクティブ評価をサポートするマネージドルールのリストについては、「 のリスト」を参照してください。 AWS Config 評価モードによるマネージドルール 。

プロアクティブ評価がサポートされているリソースタイプのリスト

プロアクティブ評価がサポートされているリソースタイプのリストを以下に示します。

プロアクティブ評価によるルールの例

プロアクティブ評価を有効にしたら、 StartResourceEvaluationAPIと を使用して、本番稼働環境にデプロイされていないアカウントのバケットでログ記録が有効になっていないかどうかGetResourceEvaluationSummaryAPIを確認できます。これにより、デプロイ前にリソースの設定をテストし、リソースを本番環境にデプロイするかどうかを再評価できます。

例えば、 から始めます StartResourceEvaluation API。

aws configservice start-resource-evaluation --evaluation-mode PROACTIVE
                --resource-details '{"ResourceId":"MY_RESOURCE_ID",
                                     "ResourceType":"AWS::S3::Bucket",
                                     "ResourceConfiguration": "{\"BucketName\": \"amzn-s3-demo-bucket1\", \"LoggingConfiguration\": {\"DestinationBucketName\": \"amzn-s3-demo-bucket2\",\"LogFilePrefix\":\"my-log\"}}",
                                     "ResourceConfigurationSchemaType":"CFN_RESOURCE_SCHEMA"}'
                    

出力に ResourceEvaluationId が表示されます。

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID"
}

次に、 ResourceEvaluationIdで GetResourceEvaluationSummary APIを使用して評価結果を確認します。

aws configservice get-resource-evaluation-summary
    --resource-evaluation-id MY_RESOURCE_EVALUATION_ID

次のような出力が表示されます。

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID",
    "EvaluationMode": "PROACTIVE",
    "EvaluationStatus": {
        "Status": "SUCCEEDED"
    },
    "EvaluationStartTimestamp": "2022-11-15T19:13:46.029000+00:00",
    "Compliance": "COMPLIANT",
    "ResourceDetails": {
        "ResourceId": "MY_RESOURCE_ID",
        "ResourceType": "AWS::RESOURCE::TYPE",
        "ResourceConfiguration": "{\"BucketName\": \"amzn-s3-demo-bucket\", \"LoggingConfiguration\": {\"DestinationBucketName\": \"amzn-s3-demo-destination-bucket1\",\"LogFilePrefix\":\"my-log\"}}",

    }
}

リソースに NON_ というフラグを付けたルールなど、評価結果に関する追加情報を表示するにはCOMPLIANT、 GetComplianceDetailsByResource を使用しますAPI。

検出評価は、デプロイ済みのリソースを評価するために使用します。これにより、既存のリソース構成の設定を評価できます。

検出評価によるルールの例