AWS Config 托管规则 - AWS Config
与成本相关的注意事项触发器类型评估模式

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Config 托管规则

AWS Config 提供AWS 托管规则，这些规则是预定义的可自定义规则， AWS Config 用于评估您的 AWS 资源是否符合常见的最佳实践。例如，您可以使用一个托管规则来快速开始评估您的 Amazon Elastic Block Store (Amazon EBS) 卷是否已加密，或者特定标签是否已应用于您的资源。 AWS Config 控制台将引导您完成配置和激活托管规则的过程。您还可以使用 AWS Command Line Interface 或 AWS Config API 传递定义托管规则配置的 JSON 代码。

您可以自定义托管规则的行为以满足您的需求。例如，您可以定义规则的范围以便限定触发规则评估的资源，例如 EC2 实例或卷。您可以自定义规则的参数，以便定义您的资源为符合规则而必须具备的属性。例如，您可以自定义一个参数，以指定您的安全组应阻止传输到特定端口号的传入流量。

与成本相关的注意事项

有关资源记录相关费用的详细信息，请参阅AWS Config 定价。

建议：在删除规则之前停止记录资源合规性

强烈建议您在删除账户中的规则之前，停止记录该AWS::Config::ResourceCompliance资源类型。删除规则会为配置记录器创建配置项目 (CI)，AWS::Config::ResourceCompliance并可能影响您的 AWS Config 配置记录器成本。如果您要删除评估大量资源类型的规则，则可能会导致记录的 CI 数量激增。

最佳实践：

  1. 停止录制 AWS::Config::ResourceCompliance

  2. 删除规则

  3. 开启录制 AWS::Config::ResourceCompliance

触发器类型

向账户添加规则后， AWS Config 将您的资源与规则的条件进行比较。在这次初始评估之后，每次触发评估时都会 AWS Config 继续运行评估。评估触发器被定义为规则的一部分，它们可以包括以下类型。

触发器类型 描述
配置更改 AWS Config 当存在与规则范围匹配的资源并且资源的配置发生变化时，会对规则进行评估。评估将在 AWS Config 发送配置项目更改通知后运行。

通过定义规则的范围来选择哪些资源启动评估。范围可以包括：

  • 一个或多个资源类型

  • 资源类型和资源 ID 的组合

  • 标签键和值的组合

  • 当创建、更新或删除任何记录的资源时

AWS Config 当它检测到与规则范围相匹配的资源发生变化时运行评估。您可以使用范围来定义哪些资源启动评估。
定期 AWS Config 按您选择的频率对规则进行评估；例如，每 24 小时运行一次。
混合 有些规则既有配置更改也有定期触发器。对于这些规则，它 AWS Config 会在检测到配置更改时以及按照您指定的频率评估您的资源。

评估模式

AWS Config 规则有两种评估模式。

评估模式 描述
主动

使用主动评估在资源部署之前对其进行评估。这使您可以评估一组资源属性（如果用于定义 AWS 资源）是合规还是不合规，因为您所在地区的账户中有一组主动规则。

有关更多信息，请参阅评估模式。有关支持主动评估的托管规则列表，请参阅按评估模式列出的 AWS Config 托管规则列表。
侦查 使用侦查评估来评估已部署的资源。这允许您评估现有资源的配置设置。
注意

主动规则不会修复标记为 NON_COMPLIANT 的资源，也不会阻止部署这些资源。

主题