AWS Config 규칙을 사용하여 리소스 평가

리소스를 배포하기 전에 평가하려면 사전 평가를 사용합니다. 이를 통해 AWS 리소스를 정의하는 데 사용되는 경우 일련의 리소스 속성이 해당 리전의 계정에 있는 사전 예방 규칙 세트에 대해 규정 준수 또는 규정 미준수를 평가할 수 있습니다.

리소스 유형 스키마는 리소스의 속성을 명시합니다. 리소스 유형 스키마는 AWS CloudFormation 레지스트리 내의 ‘AWS 퍼블릭 익스텐션’에서 또는 다음 CLI 명령을 사용하여 찾을 수 있습니다.

aws cloudformation describe-type --type-name "AWS::S3::Bucket" --type RESOURCE

자세한 내용은 AWS CloudFormation 사용 설명서의 AWS CloudFormation 레지스트리를 통한 익스텐션 관리 및 AWS 리소스 및 속성 유형 참조를 참조하세요.

리소스 평가

사전 평가를 활성화한 후에는 StartResourceEvaluation API 및 GetResourceEvaluationSummary API를 사용하여 이러한 명령에 지정한 리소스가 해당 계정의 해당 리전 사전 예방 규칙에 따라 NON_COMPLIANT 플래그가 지정되는지 확인할 수 있습니다.

예를 들어, 먼저 StartResourceEvaluation API를 사용합니다.

aws configservice start-resource-evaluation --evaluation-mode PROACTIVE
                --resource-details '{"ResourceId":"MY_RESOURCE_ID",
                                     "ResourceType":"AWS::RESOURCE::TYPE",
                                     "ResourceConfiguration":"RESOURCE_DEFINITION_AS_PER_THE_RESOURCE_CONFIGURATION_SCHEMA",
                                     "ResourceConfigurationSchemaType":"CFN_RESOURCE_SCHEMA"}'
                    

출력이 ResourceEvaluationId를 제공합니다.

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID"
}

그러면 ResourceEvaluationId를 GetResourceEvaluationSummary API와 함께 사용하여 평가 결과를 확인합니다.

aws configservice get-resource-evaluation-summary
    --resource-evaluation-id MY_RESOURCE_EVALUATION_ID

다음과 유사한 출력 화면이 표시될 것입니다.

{
    "ResourceEvaluationId": "MY_RESOURCE_EVALUATION_ID",
    "EvaluationMode": "PROACTIVE",
    "EvaluationStatus": {
        "Status": "SUCCEEDED"
    },
    "EvaluationStartTimestamp": "2022-11-15T19:13:46.029000+00:00",
    "Compliance": "COMPLIANT",
    "ResourceDetails": {
        "ResourceId": "MY_RESOURCE_ID",
        "ResourceType": "AWS::RESOURCE::TYPE",
        "ResourceConfiguration": "RESOURCE_DEFINITION_AS_PER_THE_RESOURCE_CONFIGURATION_SCHEMA"
    }
}

리소스에 규정 미준수 플래그를 지정한 규칙 등 평가 결과에 대한 추가 정보를 보려면 GetComplianceDetailsByResource API를 사용하세요.

이미 배포된 리소스를 평가하려면 탐지 평가를 사용합니다. 이를 통해 기존 리소스의 구성 설정을 평가할 수 있습니다.

리소스(콘솔) 평가

리소스(CLI) 평가

리소스(API) 평가

StartConfigRulesEvaluation 작업을 사용합니다.