As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Avaliação de recursos com regras AWS Config

Use AWS Config para avaliar as configurações dos seus AWS recursos. Você faz isso criando AWS Config regras, que representam suas configurações ideais. AWS Config fornece regras personalizáveis e predefinidas, chamadas de regras gerenciadas, para ajudar você a começar.

Como AWS Config as regras funcionam

Enquanto o AWS Config monitora continuamente as alterações de configuração que ocorrem entre seus recursos, ele verifica se essas alterações violam alguma das condições em suas regras. Se um recurso não estiver em conformidade com a regra, AWS Config sinaliza o recurso e a regra como não compatíveis. A seguir estão os possíveis resultados da avaliação de uma AWS Config regra:

Por exemplo, quando um EC2 volume é criado, AWS Config pode avaliar o volume em relação a uma regra que exige que os volumes sejam criptografados. Se o volume não estiver criptografado, AWS Config sinaliza o volume e a regra como não compatíveis. AWS Config também pode verificar todos os seus recursos para atender aos requisitos de toda a conta. Por exemplo, AWS Config pode verificar se o número de EC2 volumes em uma conta permanece dentro do total desejado ou se uma conta usa AWS CloudTrail para registro.

Regras vinculadas a serviços

As regras vinculadas a serviços são um tipo exclusivo de regra gerenciada que permite que outros AWS serviços criem AWS Config regras em sua conta. Essas regras são predefinidas para incluir todas as permissões necessárias para ligar para outros AWS serviços em seu nome. Essas regras são semelhantes aos padrões que um AWS serviço recomenda em você Conta da AWS para verificação de conformidade. Para obter mais informações, consulte Regras vinculadas ao serviço AWS Config.

Regras personalizadas

Você também pode criar regras personalizadas para avaliar recursos adicionais que ainda AWS Config não foram registrados. Para ter mais informações, consulte AWS Config Regras personalizadas e Avaliar tipos de recursos adicionais.

Visualizando a conformidade

O AWS Config console mostra o status de conformidade de suas regras e recursos. Você pode ver como seus AWS recursos estão em conformidade geral com as configurações desejadas e saber quais recursos específicos não estão em conformidade. Você também pode usar o AWS CLI AWS Config API, o e AWS SDKs para fazer solicitações ao AWS Config serviço para obter informações de conformidade.

Ao usar AWS Config para avaliar suas configurações de recursos, você pode avaliar se suas configurações de recursos estão em conformidade com as práticas internas, as diretrizes do setor e os regulamentos.

Limitações

Para ver o número máximo de AWS Config regras para cada região para cada conta e outros limites de serviço, consulte Limites AWS Config de serviço.

Considerações sobre custos

Para obter detalhes sobre os custos associados ao registro de recursos, consulte AWS Config preços.

Recomendação: pare de registrar a conformidade dos recursos antes de excluir as regras

É altamente recomendável que você interrompa a gravação do tipo de AWS::Config::ResourceCompliance recurso antes de excluir as regras da sua conta. A exclusão de regras cria itens de configuração (CIs) para AWS::Config::ResourceCompliance e pode afetar os custos AWS Config do gravador de configuração. Se você estiver excluindo regras que avaliam um grande número de tipos de recursos, isso pode levar a um aumento no número de CIs registros.

Melhor prática:

Recomendação: adicione lógica para lidar com a avaliação de recursos excluídos para regras lambda personalizadas

Ao criar regras lambda AWS Config personalizadas, é altamente recomendável que você adicione lógica para lidar com a avaliação dos recursos excluídos.

Quando os resultados da avaliação forem marcados como NOT_APPLICABLE, eles serão marcados para exclusão e limpos. Se estiverem NOT marcados comoNOT_APPLICABLE, os resultados da avaliação permanecerão inalterados até que a regra seja excluída, o que pode causar um aumento inesperado na criação de CIs for AWS::Config::ResourceCompliance após a exclusão da regra.

Para obter informações sobre como definir regras lambda AWS Config personalizadas para retornar NOT_APPLICABLE para recursos excluídos, consulte Gerenciamento de recursos excluídos com regras lambda AWS Config personalizadas.

Recomendação: forneça os recursos no escopo das regras lambda personalizadas

AWS Config As regras personalizadas do Lambda podem causar um grande número de invocações de funções do Lambda se a regra não tiver como escopo um ou mais tipos de recursos. Para evitar o aumento da atividade associada à sua conta, é altamente recomendável fornecer recursos no escopo de suas regras personalizadas do Lambda. Se nenhum tipo de recurso for selecionado, a regra invocará a função do Lambda para todos os recursos na conta.

Suporte regional

Atualmente, o recurso de AWS Config regra é suportado nas seguintes AWS regiões. Para obter uma lista de quais AWS Config regras individuais são suportadas em quais regiões, consulte Lista de regras AWS Config gerenciadas por disponibilidade regional.

A implantação de AWS Config regras em contas de membros em uma AWS organização é suportada nas seguintes regiões.