在您的账户中激活 Guard Hook

登录 AWS 管理控制台 并打开 CloudFormation 控制台，地址为https://console.aws.amazon.com/cloudformation。

在屏幕顶部的导航栏上，选择要在 AWS 区域 其中创建 Hook 的位置。

在左侧的导航窗格中，选择 Hooks 。

在 “挂钩” 页面上，选择 “创建挂钩”，然后选择 “With Guard” 。

如果您尚未创建任何警卫规则，请创建您的警卫规则，将其存储在 Amazon S3 中，然后返回此过程。请参阅中的示例规则编写 Guard 规则来评估 Guard Hooks 的资源以开始使用。

如果您已经创建了 Guard 规则并将其存储在 S3 中，请继续执行下一步。

对于 Guard Hook 源代码，将您的警卫规则存储在 S3 中，请执行以下操作：

（可选）对于 Guard 输出报告的 S3 存储桶，指定一个 S3 存储桶来存储 Guard 输出报告。此报告包含您的 Guard 规则验证结果。

要配置输出报告目标，请选择以下选项之一：

（可选）展开 Guard 规则输入参数，然后在 S3 中存储您的防护规则输入参数下提供以下信息：

选择下一步。

对于挂钩名称，选择以下选项之一：

对于挂钩目标，选择要评估的内容：

对于操作，选择哪些操作（创建、更新、删除）将调用您的 Hook。

对于 Hook 模式，选择 Hook 在规则评估失败时如何响应：

对于执行角色，选择 Hook 为从 S3 检索您的警卫规则而代入的 IAM 角色，并可以选择写回详细的 Guard 输出报告。您可以 CloudFormation 允许自动为您创建执行角色，也可以指定已创建的角色。

选择下一步。

（可选）对于挂钩过滤器，请执行以下操作：

1. 对于资源过滤器，指定哪些资源类型可以调用挂钩。这样可以确保仅针对相关资源调用 Hook。

2. 对于筛选条件，选择应用堆栈名称和堆栈角色筛选器的逻辑：

   • 所有堆栈名称和堆栈角色 — 只有当所有指定的过滤器都匹配时，才会调用 Hook。

   • 任何堆栈名称和堆栈角色 — 如果至少有一个指定的过滤器匹配，则将调用 Hook。

   注意

   对于 Cloud Control API 操作，所有堆栈名称和堆栈角色过滤器都将被忽略。

3. 对于堆栈名称，在 Hook 调用中包括或排除特定的堆栈。

   • 对于 “包含”，指定要包含的堆栈名称。当你有一小部分特定堆栈要作为目标时，请使用此选项。只有此列表中指定的堆栈才会调用 Hook。

   • 对于排除，指定要排除的堆栈名称。当你想在大多数堆栈上调用 Hook 但不包括一些特定的堆栈时，请使用此选项。除此处列出的堆栈外，所有堆栈都将调用 Hook。

4. 对于堆栈角色，根据其关联的 IAM 角色在 Hook 调用中包含或排除特定堆栈。

   • 对于包含，指定一个或多个 IAM 角色 ARN 以定位与这些角色相关的堆栈。只有这些角色启动的堆栈操作才会调用 Hook。

   • 对于排除，为要排除的堆栈指定一个或多个 IAM 角色 ARN。除指定角色启动的堆栈外，将在所有堆栈上调用 Hook。

选择下一步。

在 “查看并激活” 页面上，查看您的选择。要进行更改，请在相关部分选择编辑。

当你准备好继续操作时，选择 Act ivate Hook 。

要开始激活 Hook，请使用以下activate-type命令，将占位符替换为您的特定值。此命令授权 Hook 使用您的 AWS 账户指定执行角色。

aws cloudformation activate-type --type HOOK \
  --type-name AWS::Hooks::GuardHook \
  --publisher-id aws-hooks \
  --type-name-alias Private::Guard::MyTestHook \
  --execution-role-arn arn:aws:iam::123456789012:role/my-execution-role \
  --region us-west-2

要完成挂钩的激活，必须使用 JSON 配置文件对其进行配置。

使用该cat命令创建具有以下结构的 JSON 文件。有关更多信息，请参阅 挂钩配置架构语法参考。

$ cat > config.json
{
  "CloudFormationConfiguration": {
    "HookConfiguration": {
      "HookInvocationStatus": "ENABLED",
      "TargetOperations": [
        "STACK",
        "RESOURCE",
        "CHANGE_SET"
      ],
      "FailureMode": "WARN",
      "Properties": {
        "ruleLocation": "s3://amzn-s3-demo-bucket/MyGuardRules.guard",
        "logBucket": "amzn-s3-demo-logging-bucket",
        "options": {
          "inputParams": "s3://amzn-s3-demo-bucket/MyInputParams.json"
        }
      },
      "TargetFilters": {
        "Actions": [
          "CREATE",
          "UPDATE",
          "DELETE"
        ]
      }
    }
  }
}

使用以下set-type-configuration命令以及您创建的 JSON 文件来应用配置。用您的特定值替换占位符。

aws cloudformation set-type-configuration \
  --configuration file://config.json \
  --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyTestHook" \
  --region us-west-2