Ativar o rastreamento de recursos

Abra o AWS Backup console em https://console.aws.amazon.com/backup.

No painel de navegação esquerdo, em Audit Manager, escolha Frameworks.

Ative o rastreamento de recursos escolhendo Gerenciar rastreamento de recursos.

Escolha Ir para AWS Config configurações.

Escolha Ativar ou desativar a gravação.

Escolha Habilitar a gravação para todos os tipos de recursos a seguir ou escolha habilitar a gravação para alguns tipos de recursos. Consulte Controles e correções do AWS Backup Audit Manager para saber quais tipos de recursos são necessários para seus controles.

Escolha Fechar.

Aguarde até que o banner azul com o texto Ativando o rastreamento de recursos faça a transição para o banner verde com o texto O rastreamento de recursos está ativado.

Digite o comando a seguir para determinar se você já ativou o gravador do AWS Config .

$ aws configservice describe-configuration-recorders

1. Se a sua lista de ConfigurationRecorders estiver vazia como desta forma:

   {
     "ConfigurationRecorders": []
   }

   Seu gravador não está habilitado. Continue para a etapa 2 para criar o gravador.

2. Se já tiver habilitado a gravação para todos os recursos, a saída de ConfigurationRecorders ficará assim:

   {
     "ConfigurationRecorders":[
       {
         "recordingGroup":{
           "allSupported":true,
           "resourceTypes":[
             
           ],
           "includeGlobalResourceTypes":true
         },
         "roleARN":"arn:aws:iam::[account]:role/[roleName]",
         "name":"default"
       }
     ]
   }

   Uma vez que você tenha habilitado todos os recursos, você já terá ativado o rastreamento de recursos. Você não precisa concluir o restante desse procedimento para usar o AWS Backup Audit Manager.

3. Se a ConfigurationRecorders não estiver vazia, mas você não tiver habilitado a gravação para todos os recursos, adicione recursos de backup ao seu gravador existente usando o comando a seguir. Depois disso, prossiga para a etapa 3.

   $ aws configservice describe-configuration-recorders
   {
     "ConfigurationRecorders":[
       {
         "name":"default",
         "roleARN":"arn:aws:iam::accountId:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig",
         "recordingGroup":{
           "allSupported":false,
           "includeGlobalResourceTypes":false,
           "resourceTypes":[
             "AWS::Backup::BackupPlan",
             "AWS::Backup::BackupSelection",
             "AWS::Backup::BackupVault",
             "AWS::Backup::RecoveryPoint",
             "AWS::Config::ResourceCompliance"
           ]
         }
       }
     ]
   }

Crie um AWS Config gravador com os tipos de recursos do AWS Backup Audit Manager

$ aws configservice put-configuration-recorder --configuration-recorder name=default, \
roleARN=arn:aws:iam::accountId:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig \ 
--recording-group resourceTypes="['AWS::Backup::BackupPlan','AWS::Backup::BackupSelection', \
'AWS::Backup::BackupVault','AWS::Backup::RecoveryPoint','AWS::Config::ResourceCompliance']"

Descreva seu AWS Config gravador.

$ aws configservice describe-configuration-recorders

Verifique se ele tem os tipos de recursos do AWS Backup Audit Manager comparando sua saída com a seguinte saída esperada.

{
  "ConfigurationRecorders":[
    {
      "name":"default",
      "roleARN":"arn:aws:iam::accountId:role/AWSServiceRoleForConfig",
      "recordingGroup":{
        "allSupported":false,
        "includeGlobalResourceTypes":false,
        "resourceTypes":[
          "AWS::Backup::BackupPlan",
          "AWS::Backup::BackupSelection",
          "AWS::Backup::BackupVault",
          "AWS::Backup::RecoveryPoint",
          "AWS::Config::ResourceCompliance"
        ]
      }
    }
  ]
}

Crie um bucket do Amazon S3 como destino para armazenar os arquivos de AWS Config configuração.

$ aws s3api create-bucket --bucket amzn-s3-demo-bucket —region us-east-1

Use policy.json para conceder AWS Config permissão para acessar seu bucket. Veja o exemplo a seguirpolicy.json.

$ aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Sid":"AWSConfigBucketPermissionsCheck",
      "Effect":"Allow",
      "Principal":{
        "Service":"config.amazonaws.com"
      },
      "Action":"s3:GetBucketAcl",
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
    },
    {
      "Sid":"AWSConfigBucketExistenceCheck",
      "Effect":"Allow",
      "Principal":{
        "Service":"config.amazonaws.com"
      },
      "Action":"s3:ListBucket",
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket"
    },
    {
      "Sid":"AWSConfigBucketDelivery",
      "Effect":"Allow",
      "Principal":{
        "Service":"config.amazonaws.com"
      },
      "Action":"s3:PutObject",
      "Resource":"arn:aws:s3:::amzn-s3-demo-bucket/*"
    }
  ]
}

Configure seu bucket como um canal AWS Config de entrega

$ aws configservice put-delivery-channel --delivery-channel name=default,s3BucketName=amzn-s3-demo-bucket

Ativar AWS Config gravação

$ aws configservice start-configuration-recorder --configuration-recorder-name default

Verifique se "FrameworkStatus":"ACTIVE" na última linha de sua saída DescribeFramework da seguinte forma:

$ aws backup describe-framework --framework-name test --region us-east-1

{
  "FrameworkName":"test",
 "FrameworkArn":"arn:aws:backup:us-east-1:accountId:framework:test-f0001b0a-0000-1111-ad3d-4444f5cc6666",
  "FrameworkDescription":"",
  "FrameworkControls":[
    {
      "ControlName":"BACKUP_RECOVERY_POINT_MINIMUM_RETENTION_CHECK",
      "ControlInputParameters":[
        {
          "ParameterName":"requiredRetentionDays",
          "ParameterValue":"1"
        }
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_PLAN_MIN_FREQUENCY_AND_MIN_RETENTION_CHECK",
      "ControlInputParameters":[
        {
          "ParameterName":"requiredFrequencyUnit",
          "ParameterValue":"hours"
        },
        {
          "ParameterName":"requiredRetentionDays",
          "ParameterValue":"35"
        },
        {
          "ParameterName":"requiredFrequencyValue",
          "ParameterValue":"1"
        }
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_RESOURCES_PROTECTED_BY_BACKUP_PLAN",
      "ControlInputParameters":[
        
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_RECOVERY_POINT_ENCRYPTED",
      "ControlInputParameters":[
        
      ],
      "ControlScope":{
        
      }
    },
    {
      "ControlName":"BACKUP_RECOVERY_POINT_MANUAL_DELETION_DISABLED",
      "ControlInputParameters":[
        
      ],
      "ControlScope":{
        
      }
    }
  ],
  "CreationTime":1633463605.233,
  "DeploymentStatus":"COMPLETED",
  "FrameworkStatus":"ACTIVE"
}