Trabalhar com o Compliance

Compliance, um recurso do AWS Systems Manager, coleta e relata dados sobre o status da aplicação de patches no Patch Manager, patches e associações no State Manager (Patch Manager e State Manager também são recursos do AWS Systems Manager). O Compliance também relata os tipos de conformidade personalizados que você especificou para os nós gerenciados. Esta seção inclui detalhes sobre cada um desses tipos de conformidade e sobre como visualizar os dados de conformidade do Systems Manager. Esta seção também inclui informações sobre como visualizar o histórico de conformidade e o controle de alterações.

Sobre a conformidade de patches

Após usar o Patch Manager para instalar patches em suas instâncias, as informações do status de conformidade ficarão imediatamente disponíveis no console ou em resposta aos comandos da AWS Command Line Interface (AWS CLI) ou a ações de API correspondentes do Systems Manager.

Para obter informações sobre valores de status de conformidade de patches, consulte Noções básicas sobre valores de estado de conformidade de patches.

Sobre a conformidade de associações do State Manager

Após criar uma ou mais associações do State Manager, as informações de status de conformidade ficam imediatamente disponíveis no console ou em resposta a comandos da AWS CLI ou a ações de API correspondentes do Systems Manager. Para associações, o Compliance mostrará os status de Compliant ou Non-compliant e o nível de gravidade atribuído à associação, como Critical ou Medium.

Sobre a conformidade personalizada

Você pode atribuir metadados de conformidade a um nó gerenciado. Esses metadados podem ser agregados com outros dados de conformidade para fins de relatórios de conformidade. Por exemplo, digamos que sua empresa execute as versões 2.0, 3.0 e 4.0 do software X em seus nós gerenciados. A empresa deseja padronizar na versão 4.0, o que significa que as instâncias que executam as versões 2.0 e 3.0 não são compatíveis. É possível usar a operação da API PutComplianceItems para observar explicitamente quais nós gerenciados estão executando versões antigas do software X. Só é possível atribuir metadados de conformidade usando a AWS CLI, o AWS Tools for Windows PowerShell ou os SDKs. O seguinte comando de exemplo da CLI atribui metadados de conformidade a uma instância gerenciada e especifica o tipo de conformidade no formato necessário Custom:. Substitua cada espaço reservado para recurso de exemplo por suas próprias informações.

Linux & macOS

aws ssm put-compliance-items \
    --resource-id i-1234567890abcdef0 \
    --resource-type ManagedInstance \
    --compliance-type Custom:SoftwareXCheck \
    --execution-summary ExecutionTime=AnyStringToDenoteTimeOrDate \
    --items Id=Version2.0,Title=SoftwareXVersion,Severity=CRITICAL,Status=NON_COMPLIANT

Windows

aws ssm put-compliance-items ^
    --resource-id i-1234567890abcdef0 ^
    --resource-type ManagedInstance ^
    --compliance-type Custom:SoftwareXCheck ^
    --execution-summary ExecutionTime=AnyStringToDenoteTimeOrDate ^
    --items Id=Version2.0,Title=SoftwareXVersion,Severity=CRITICAL,Status=NON_COMPLIANT

Os gerentes do Compliance podem então visualizar resumos ou criar relatórios sobre quais instâncias são ou não são compatíveis. Você pode atribuir um máximo de 10 tipos de conformidade personalizados diferentes a um nó gerenciado.

Para obter um exemplo de como criar um tipo de conformidade personalizado e visualizar dados de conformidade, consulte Demonstrações do Compliance (AWS CLI).

Visualizar dados da conformidade atual

Esta seção descreve como visualizar os dados de conformidade no console do Systems Manager usando a AWS CLI. Para obter informações sobre como visualizar o histórico de conformidade de patches e de associações e o controle de alterações, consulte Visualizar o histórico de configuração da conformidade e do controle de alterações.

Visualizar dados da conformidade atual (console)

Use o procedimento a seguir para visualizar dados de conformidade no console do Systems Manager.

Visualizar dados da conformidade atual (AWS CLI)

Você pode visualizar resumos de dados de conformidade de aplicação de patches, associações e tipos de conformidade personalizados na AWS CLI usando os seguintes comandos da AWS CLI.

Você pode visualizar dados de conformidade adicionais de aplicação de patches executando os seguintes comandos na AWS CLI.

Visualizar o histórico de configuração da conformidade e do controle de alterações

O Systems Manager Compliance exibe a aplicação de patches e associações atuais dos nós gerenciados. Você pode visualizar o histórico de conformidade da aplicação de patches e de associações e o controle de alterações usando o AWS Config. O AWS Config fornece uma visão detalhada da configuração dos recursos da AWS em sua conta da Conta da AWS. Isso inclui como os recursos estão relacionados um com o outro e como eles foram configurados no passado, de modo que você possa ver como os relacionamentos e as configurações foram alterados ao longo do tempo. Para visualizar o histórico de conformidade da aplicação de patches e das associações e controle de alterações, você deve ativar os seguintes recursos no AWS Config:

Para obter mais informações sobre como escolher e configurar esses recursos específicos no AWS Config, consulte Selecionar que recursos o AWS Config registra no Manual do desenvolvedor do AWS Config.