本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 AWS Config 规则评估资源

AWS Config 用于评估 AWS 资源的配置设置。为此，您可以创建 AWS Config 规则，这些规则代表您的理想配置设置。 AWS Config 提供名为托管规则的可自定义预定义规则，以帮助您入门。

AWS Config 规则是如何运作的

在 AWS Config 持续跟踪您的资源中出现的配置更改时，它会检查这些更改是否不符合规则中的任何条件。如果资源不符合规则，则会将该资源和规则 AWS Config 标记为不合规。以下是 AWS Config 规则可能的评估结果：

例如，在创建EC2卷时， AWS Config 可以根据要求对卷进行加密的规则来评估该卷。如果卷未加密，则会将该卷和规则 AWS Config 标记为不合规。 AWS Config 还可以检查您的所有资源以了解整个账户的需求。例如， AWS Config 可以检查账户中的EC2卷数是否保持在所需的总数之内，或者某个账户是否 AWS CloudTrail 用于日志记录。

服务关联规则

服务相关规则是一种独特的托管规则，它支持其他 AWS 服务在您的账户中创建 AWS Config 规则。这些规则是预定义的，包括代表您调用其他 AWS 服务所需的所有权限。这些规则与 AWS 服务在您的合规性验证中推荐 AWS 账户 的标准类似。有关更多信息，请参阅 服务相关规则 AWS Config。

自定义规则

您还可以创建自定义规则来评估尚未 AWS Config 记录的其他资源。有关更多信息，请参阅AWS Config 自定义规则 和评估其他资源类型。

查看合规性

AWS Config 控制台显示您的规则和资源的合规性状态。您可以查看您的 AWS 资源总体上如何符合所需的配置，并了解哪些特定资源不合规。您也可以使用 AWS CLI AWS Config API、和 AWS SDKs向 AWS Config 服务请求合规性信息。

通过使用 AWS Config 来评估您的资源配置，您可以评估您的资源配置在多大程度上符合内部实践、行业准则和法规。

限制

有关每个地区每个账户的最大 AWS Config 规则数和其他服务限制，请参阅AWS Config 服务限制。

与成本相关的注意事项

有关资源记录相关费用的详细信息，请参阅AWS Config 定价。

建议：在删除规则之前停止记录资源合规性

强烈建议您在删除账户中的规则之前，停止记录该AWS::Config::ResourceCompliance资源类型。删除规则会为配置记录器创建配置项目 (CIs)，AWS::Config::ResourceCompliance并可能影响您的 AWS Config 配置记录器成本。如果您要删除评估大量资源类型的规则，则可能会导致CIs记录的资源数量激增。

最佳实践：

建议：添加逻辑以处理自定义 lambda 规则对已删除资源的评估

在创建 AWS Config 自定义 lambda 规则时，强烈建议您添加逻辑来处理已删除资源的评估。

当评估结果被标记为 NOT_APPLICABLE 时，这些资源将被标记为已删除并被清理。如果它们被NOT标记为NOT_APPLICABLE，则在删除规则之前，评估结果将保持不变，这可能会导致规则删除AWS::Config::ResourceCompliance后创建CIs的for出现意外激增。

有关如何设置 AWS Config 自定义 lambda 规则以返回NOT_APPLICABLE已删除资源的信息，请参阅使用 AWS Config 自定义 lambda 规则管理已删除的资源。

建议：为自定义 lambda 规则提供范围内的资源

AWS Config 如果自定义 Lambda 规则的范围不限于一种或多种资源类型，则该规则可能会导致大量的 Lambda 函数调用。为避免与您的账户相关的活动增加，强烈建议您在自定义 Lambda 规则的范围内提供资源。如果未选择任何资源类型，该规则将为账户中的所有资源调用 Lambda 函数。

区域支持

目前，以下 AWS 区域支持 AWS Config 规则功能。有关哪些区域支持哪些单独 AWS Config 规则的列表，请参阅按区域可用性列出的 AWS Config 托管规则列表。

以下区域支持跨 AWS 组织成员账户部署 AWS Config 规则。