View a markdown version of this page

Rastreando alterações na configuração de X-Ray criptografia com AWS Config - AWS X-Ray
Criar um acionador de função do LambdaCriação de um personalizado AWS Config regra para raio-xResultados de exemploNotificações do Amazon SNS

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Rastreando alterações na configuração de X-Ray criptografia com AWS Config

AWS X-Ray integra-se com AWS Config para registrar as alterações de configuração feitas em seus recursos X-Ray de criptografia. Você pode usar AWS Config para inventariar recursos de X-Ray criptografia, auditar o histórico de X-Ray configuração e enviar notificações com base nas alterações de recursos.

AWS Config suporta o registro das seguintes alterações nos recursos de X-Ray criptografia como eventos:

  • Alterações na configuração — Alterar ou adicionar uma chave de criptografia ou reverter para a configuração de X-Ray criptografia padrão.

Use as instruções a seguir para aprender como criar uma conexão básica entre X-Ray AWS Config e.

Criar um acionador de função do Lambda

Você deve ter o ARN de uma AWS Lambda função personalizada antes de gerar uma AWS Config regra personalizada. Siga estas instruções para criar uma função básica Node.js que retorne um valor compatível ou não compatível AWS Config com base no estado do recurso. XrayEncryptionConfig

Para criar uma função do Lambda com um gatilho de AWS::XrayEncryptionConfig alteração

  1. Abra o console do lambda. Escolha a opção Criar função.

  2. Selecione Blueprints (Esquemas) e, em seguida, filtre a biblioteca de esquemas para o esquema config-rule-change-triggered. Clique no link do nome do esquema ou selecione Configure (Configurar) para continuar.

  3. Defina os seguintes campos para configurar o esquema:

    • Em Nome, digite um nome.

    • Para Role, selecione Create new role from template(s).

    • Para Role name, digite um nome.

    • Em Policy templates (Modelos de política), selecione AWS Config Rules permissions (Permissões de regras do &CC;).

  4. Escolha Criar função para criar e exibir sua função no AWS Lambda console.

  5. Edite o código da função para substituir AWS::EC2::Instance por AWS::XrayEncryptionConfig. Você também pode atualizar o campo de descrição para refletir essa alteração.

    Código padrão

        if (configurationItem.resourceType !== 'AWS::EC2::Instance') {
        return 'NOT_APPLICABLE';
    } else if (ruleParameters.desiredInstanceType === configurationItem.configuration.instanceType) {
        return 'COMPLIANT';
    }
        return 'NON_COMPLIANT';

    Código atualizado

        if (configurationItem.resourceType !== 'AWS::XRay::EncryptionConfig') {
        return 'NOT_APPLICABLE';
    } else if (ruleParameters.desiredInstanceType === configurationItem.configuration.instanceType) {
        return 'COMPLIANT';
    }
        return 'NON_COMPLIANT';

  6. Adicione o seguinte à sua função de execução no IAM para acessar X-Ray a. Essas permissões permitem acesso somente para leitura aos seus X-Ray recursos. A falha em fornecer acesso aos recursos apropriados resultará em uma mensagem fora do escopo a partir AWS Config da avaliação da função Lambda associada à regra.

        {
        "Sid": "Stmt1529350291539",
        "Action": [
            "xray:GetEncryptionConfig"
        ],
        "Effect": "Allow",
        "Resource": "*"
     }

Criação de um personalizado AWS Config regra para raio-x

Quando a função Lambda for criada, anote o ARN da função e acesse o AWS Config console para criar sua regra personalizada.

Para criar um AWS Config regra para X-Ray

  1. Abra a página Regras de AWS Config do console.

  2. Selecione Add rule (Adicionar regra)e, em seguida, Add custom rule (Adicionar regra personalizada).

  3. Em ARN da função do AWS Lambda , insira o ARN associado à função do Lambda que você deseja usar.

  4. Escolha o tipo de trigger a ser definido:

    • Alterações na configuração — AWS Config aciona a avaliação quando qualquer recurso que corresponda ao escopo da regra muda na configuração. A avaliação é executada após o AWS Config envio de uma notificação de alteração do item de configuração.

    • Periódico — AWS Config executa avaliações da regra na frequência que você escolher (por exemplo, a cada 24 horas).

  5. Em Resource type (Tipo de recurso), escolha EncryptionConfig na seção do X-Ray .

  6. Escolha Salvar.

O AWS Config console começa a avaliar a conformidade da regra imediatamente. A avaliação pode demorar alguns minutos para ser concluída.

Agora que essa regra está em conformidade, AWS Config pode começar a compilar um histórico de auditoria. AWS Config registra mudanças de recursos na forma de uma linha do tempo. Para cada alteração na linha do tempo dos eventos, AWS Config gera uma tabela em um from/to formato para mostrar o que mudou na representação JSON da chave de criptografia. As duas mudanças de campo associadas a EncryptionConfig são Configuration.type Configuration.keyID e.

Resultados de exemplo

Veja a seguir um exemplo de uma AWS Config linha do tempo mostrando as alterações feitas em datas e horários específicos.

AWS Config cronograma.

Veja a seguir um exemplo de uma entrada de AWS Config alteração. O from/to formato ilustra o que mudou. Esse exemplo mostra que as configurações de X-Ray criptografia padrão foram alteradas para uma chave de criptografia definida.

X-Ray entrada de alteração da configuração de criptografia.

Notificações do Amazon SNS

Para ser notificado sobre alterações de configuração, AWS Config defina para publicar as notificações do Amazon SNS. Para obter mais informações, consulte Monitorando alterações de AWS Config recursos por e-mail.