查询 AWS 资源的当前配置状态

清单管理；例如，检索特定大小的 Amazon EC2 实例的列表。

安全和运营智能；例如，检索已启用或禁用特定配置属性的资源的列表。

成本优化；例如，确定未附加到任何 EC2 实例的 Amazon EBS 卷的列表。

合规性数据；例如，检索所有合规包及其合规性状态的列表。

查询中不支持 ALL、AS、DISTINCT、FROM、HAVING、JOIN 和 UNION 关键字。不支持 NULL 值查询。

不支持查询第三方资源。使用高级查询检索的第三方资源的配置字段将设置为 NULL。

不支持使用 SQL 查询解包嵌套结构（例如标签）。

CIDR 表示法将转换为 IP 范围以供搜索。这意味着，"=" 和 "BETWEEN" 会搜索任何包含所提供的 IP 的范围，而不是精确的范围。要搜索精确的 IP 范围，您需要添加其他条件以排除该范围之外的 IP。例如，要搜索 10.0.0.0/24 且仅搜索该 IP 块，可执行以下操作：

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
    

对于 192.168.0.2/32，可以用类似的方式进行搜索：

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
    

当针对对象数组内的多个属性执行查询时，将针对所有数组元素计算匹配项。例如，对于具有规则 A 和 B 的资源 R，该资源符合规则 A 但不符合规则 B。资源 R 存储为：

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

此查询将返回 R：

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

第一个条件 configuration.configRuleList.complianceType = 'non_compliant' 适用于 R.configRuleList 中的所有元素，因为 R 有一条 complianceType = ‘non_compliant’ 的规则（规则 B），因此该条件被评估为 True。第二个条件 configuration.configRuleList.configRuleName 适用于 R.configRuleList 中的所有元素，因为 R 有一条 configRuleName = ‘A’ 的规则（规则 A），因此该条件被评估为 True。由于两个条件均为 True，因此将返回 R。

针对所有列的 SELECT 简写形式（也就是 SELECT *）将仅选择 CI 的顶级标量属性。返回的标量属性为 accountId、awsRegion、arn、availabilityZone、configurationItemCaptureTime、resourceCreationTime、resourceId、resourceName、resourceType 和 version。

通配符限制：

聚合限制：

不匹配的标识符限制：

不匹配的标识符是拼写相同但大小写不同（大写和小写）的属性。高级查询不支持处理包含不匹配标识符的查询。例如：