を使用したリソースの AWS 現在の設定状態のクエリ AWS Config

を使用して AWS Config 、1 つのアカウントとリージョン、または複数のアカウントとリージョンの設定プロパティに基づいて、 AWS リソースの現在の設定状態をクエリできます。が AWS Config サポートする AWS リソースのリスト全体で、現在のリソース状態メタデータに対してプロパティベースのクエリを実行できます。サポートされているリソースタイプのリストの詳細については、「Supported Resource Types for Advanced Queries」を参照してください。

高度なクエリ機能では、単一のクエリエンドポイントとクエリ言語を使用して、現在のリソース状態のメタデータを取得できます。サービス固有の記述用 API コールを実行する必要はありません。設定アグリゲータを使用して、複数のアカウントと AWS リージョンにわたって中央アカウントから同じクエリを実行できます。

特徴

AWS Config は、構造化クエリ言語 (SQL) SELECT構文のサブセットを使用して、現在の設定項目 (CI) データに対してプロパティベースのクエリと集計を実行します。このクエリは、タグやリソース識別子との一致から、バージョニングが無効になっているすべての Amazon S3 バケットの表示など、複雑性の高いクエリまで多岐にわたります。これにより、 AWS サービス固有の API コールを実行せずに、必要な現在のリソース状態を正確にクエリできます。

また、集計関数 (例: AVG、COUNT、MAX、MIN、SUM) をサポートしています。

以下の場合は、高度なクエリを使用することができます。

AWS SQL クエリ言語の使用方法については、「SQL (構造化クエリ言語) とは」を参照してください。

制限

SQL SELECT のサブセットとして、クエリ構文には次の制限があります。

高度なクエリの CIDR 表記/IP 範囲の動作

CIDR 表記は、検索用の IP 範囲に変換されます。

これは、"=" と "BETWEEN" が厳密な IP 範囲ではなく、提供された IP が含まれるすべての範囲を検索することを意味します。

厳密な IP 範囲を検索するには、範囲外の IP を除外するための条件を追加する必要があります。

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
            

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
            

高度なクエリの配列動作内の複数のプロパティ

オブジェクトの配列内の複数のプロパティに対してクエリを実行する場合、一致はすべての配列要素に対して計算されます。

例えば、ルール A と B を持つリソース R の場合、リソースはルール A に準拠していますが、ルール B には準拠していません。リソース R は次のように保存されます。

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

R は、このクエリによって返されます。

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

最初の条件configuration.configRuleList.complianceType = 'non_compliant'は R.configRuleList のすべての要素に適用されます。R には complianceType = 'non_compliant' のルール (ルール B) があるため、条件は true と評価されます。

2 番目の条件configuration.configRuleList.configRuleNameは R.configRuleList のすべての要素に適用されます。R には configRuleName = 'A' のルール (ルール A) があるため、条件は true と評価されます。両方の条件が true であるため、R が返されます。

リージョンのサポート

高度なクエリは、次のリージョンでサポートされています。