Solução de problemas - AWS Config
Status de falha em um pacote de conformidadeRegras pendentes em um pacote de conformidade

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Solução de problemas

Verifique os problemas a seguir para ajudar a solucionar problemas que você possa encontrar ao usar pacotes de conformidade.

Status de falha em um pacote de conformidade

Se você receber um erro indicando que o pacote de conformidade falhou durante a criação, a atualização ou a exclusão, verifique o status do pacote de conformidade.

aws configservice describe-conformance-pack-status --conformance-pack-name MyConformancePack1

Você deve ver saída semelhante ao seguinte:

"ConformancePackStatusDetails": [
    {
        "ConformancePackName": "ConformancePackName",
        "ConformancePackId": "ConformancePackId",
        "ConformancePackArn": "ConformancePackArn",
        "ConformancePackState": "CREATE_FAILED",
        "StackArn": "CloudFormation stackArn",
        "ConformancePackStatusReason": "Failure Reason",
        "LastUpdateRequestedTime": 1573865201.619,
        "LastUpdateCompletedTime": 1573864244.653
    }
]

Verifique o ConformancePackStatusReasonpara obter informações sobre a falha.

Quando o stackArn está presente na resposta

Se a mensagem de erro não estiver clara ou se a falha for causada por um erro interno, acesse o AWS CloudFormation console e faça o seguinte:

  1. Pesquise a stackArnpartir da saída.

  2. Escolha a guia Eventos da CloudFormation pilha e verifique se há eventos com falha.

    O motivo do status indica por que o pacote de conformidade falhou.

Quando o não stackArn está presente na resposta

Se você receber uma falha ao criar um pacote de conformidade, mas ela não stackArn estiver presente na resposta de status, o possível motivo é que a criação da pilha falhou, foi CloudFormation revertida e excluída. Acesse o CloudFormation console e pesquise as pilhas que estão no estado Excluído. A pilha com falha pode estar disponível lá. A CloudFormation pilha contém o nome do pacote de conformidade. Se você encontrar a pilha com falha, escolha a guia Eventos da CloudFormation pilha e verifique se há eventos com falha.

Se nenhuma dessas etapas funcionou e se o motivo da falha for um erro interno do serviço, tente operar novamente ou entre em contato com o AWS Support Centro.

Regras pendentes em um pacote de conformidade

A implantação de um pacote de conformidade envolve a criação de um pacote subjacente AWS CloudFormation empilhe em segundo plano para implantar as regras no modelo do pacote de conformidade. Essas regras são regras vinculadas a serviços e não podem ser atualizadas ou excluídas fora do pacote de conformidade.

Se você fizer alterações na CloudFormation pilha subjacente, isso resultará em uma situação em que o pacote de conformidade e suas regras se tornarão incontroláveis. Essas regras incontroláveis são regras pendentes.

Deslize entre a CloudFormation pilha e o pacote de conformidade

Você pode atualizar os nomes das regras em um modelo de pacote de conformidade diretamente do CloudFormation console. Se você atualizar o modelo diretamente do CloudFormation console, isso não atualizará o pacote de conformidade implantado.

Esse desvio cria uma regra de oscilação. Se você tentar excluir a regra do pacote de conformidade, receberá um erro semelhante ao seguinte:

"An AWS service owns ServiceLinkedConfigRule. You do not have permissions to take action on this rule. (Service: AmazonConfig; Status Code: 400; Error Code: AccessDeniedException; Request ID: my-request-ID; Proxy: null)".

Se você tentar excluir o pacote de conformidade, a regra pendente não poderá ser excluída e você receberá um erro semelhante ao seguinte:

"User: arn:aws:sts::111122223333:assumed-role/AWSServiceRoleForConfigConforms/AwsConfigConformsWorkflow is not authorized to perform: config:DeleteConfigRule on resource: my-dangling-rule

Para corrigir esse problema, execute as seguintes etapas:

  1. Exclua a pilha . Para obter mais informações, consulte Excluindo uma pilha no AWS CloudFormation console no Guia do CloudFormation usuário.

  2. Exclua o pacote de conformidade usando o AWS Config console ou usando DeleteConformancePackAPIo. Se for um pacote de conformidade organizacional e você estiver usando a conta de gerenciamento ou de administrador delegado, use o. DeleteOrganizationConformancePackAPI

  3. Estenda a mão para o AWS SupportCentralize com o Amazon Resource Name (ARN) as regras pendentes no pacote de conformidade para ajudar a limpar sua conta.

Para evitar esse problema, lembre-se das seguintes práticas recomendadas:

CloudFormation Pilha excluída de um pacote de conformidade

A menos que haja um desvio entre a CloudFormation pilha e o pacote de conformidade, nunca é recomendável excluir as regras em um pacote de conformidade ou em sua CloudFormation pilha diretamente do console. CloudFormation

Para corrigir esse problema, entre em contato com o AWS SupportCentralize com o Amazon Resource Name (ARN) as regras pendentes no pacote de conformidade para ajudar a limpar sua conta.

Para evitar esse problema, lembre-se das seguintes práticas recomendadas:

  • Nunca exclua a CloudFormation pilha subjacente de um pacote de conformidade.

  • Exclua pacotes de conformidade usando o. DeleteConformancePackAPI Se for um pacote de conformidade organizacional e você estiver usando a conta de gerenciamento ou de administrador delegado, use o. DeleteOrganizationConformancePackAPI