本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # AWS Config 術語和概念 為了協助您了解 AWS Config，本主題說明一些重要概念。 **Contents** + [AWS Config 介面](#config-concepts-manage) + [AWS Config 主控台](#config-concepts-console) + [AWS Config CLI](#config-concepts-cli) + [AWS Config APIs](#config-concepts-api) + [AWS Config SDKs](#config-concepts-sdk) + [資源管理](#config-platform-concept) + [AWS 資源](#aws-resources) + [資源關係](#resource-relationship) + [組態記錄器](#config-recorder) + [交付通道](#delivery-channel) + [組態項目](#config-items) + [組態歷史記錄](#config-history) + [組態快照](#config-snapshot) + [組態串流](#config-stream) + [AWS Config 規則](#aws-config-rules) + [評估結果](#aws-config-managed-rules-evaluation-results) + [規則類型](#aws-config-managed-rules-type) + [觸發類型](#aws-config-rules-trigger) + [評估模式](#aws-config-rules-proactive-detective) + [一致性套件](#aws-config-conformance-packs) + [多帳戶多區域資料彙整](#multi-account-multi-region-data-aggregation) + [來源帳戶](#source-accounts) + [來源區域](#source-region) + [彙整工具](#aggregator) + [服務連結彙整工具](#aggregator-service-linked) + [彙整工具帳戶](#aggregator-accounts) + [Authorization](#authorization) ## AWS Config 介面 ### AWS Config 主控台 您可以使用 AWS Config 主控台來管理服務。如需 的詳細資訊 AWS 管理主控台，請參閱 [AWS 管理主控台](https://docs.aws.amazon.com/awsconsolehelpdocs/latest/gsg/getting-started.html)。 ### AWS Config CLI AWS Command Line Interface 是一個統一的工具，您可以使用它 AWS Config 從命令列與 互動。如需詳細資訊，請參閱[「AWS Command Line Interface 使用者指南」](https://docs.aws.amazon.com/cli/latest/userguide/)。如需 CLI AWS Config 命令的完整清單，請參閱[可用命令](https://docs.aws.amazon.com/cli/latest/reference/configservice/index.html)。 ### AWS Config APIs 除了 主控台和 CLI 之外，您也可以使用 AWS Config RESTful APIs AWS Config 直接編寫程式。如需詳細資訊，請參閱 [AWS Config API 參考](https://docs.aws.amazon.com/config/latest/APIReference/)。 ### AWS Config SDKs 除了使用 AWS Config API 之外，您也可以使用其中一個 AWS SDKs。每種開發套件皆包含多種程式設計語言與平台的程式庫與範本程式碼。開發套件提供便捷方法來建立對 AWS Config的程式化存取。例如，您可以使用開發套件以密碼編譯方式來簽署請求、管理錯誤，以及自動重試請求。如需詳細資訊，請參閱 [Amazon Web Services 適用工具](https://aws.amazon.com/tools/)頁面。 ## 資源管理 了解 的基本元件 AWS Config 可協助您追蹤資源庫存和變更，並評估 AWS 資源的組態。 ### AWS 資源 *AWS 資源*是您使用 AWS 管理主控台、 AWS Command Line Interface (CLI)、 AWS SDKs 或 AWS 合作夥伴工具建立和管理的實體。資源的範例 AWS 包括 Amazon EC2 執行個體、安全群組、Amazon VPCs 和 Amazon Elastic Block Store。 會使用其唯一識別符來 AWS Config 參考每個資源，例如資源 ID 或 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/general/latest/gr/glos-chap.html#ARN)。如需 AWS Config 支援的資源類型清單，請參閱 [支援的資源類型 AWS Config](resource-config-reference.md)。 ### 資源關係 AWS Config 探索您帳戶中 AWS 的資源，然後在 AWS 資源之間建立關係映射。例如，關係可能包含的 Amazon EBS 磁碟區 `vol-123ab45d`，其連接至與安全群組 `sg-ef678hk` 建立關聯的 Amazon EC2 執行個體 `i-a1b2c3d4`。 如需詳細資訊，請參閱[支援的資源類型 AWS Config](resource-config-reference.md)。 ## 組態記錄器 *組態記錄器*會將範圍內資源類型的組態變更儲存為組態項目。如需詳細資訊，請參閱[使用組態記錄器](stop-start-recorder.md)。 組態記錄器有兩種類型。 | **類型** | **Description** | | --- | --- | | 客戶受管組態記錄器 | 您管理的組態記錄器。範圍內的資源類型由您設定。根據預設，客戶受管組態記錄器會在 AWS Config 執行 的 AWS 區域 中記錄所有支援的資源。 | | 服務連結組態記錄器 | 連結至特定 的組態記錄器 AWS 服務。範圍內的資源類型由連結的服務設定。 | ## 交付通道 當 AWS Config 持續記錄 AWS 資源發生的變更時，它會透過*交付管道*傳送通知和更新的組態狀態。您可以管理交付管道，以控制 AWS Config 傳送組態更新的位置。 ### 組態項目 *組態項目*代表帳戶中存在之支援 AWS 資源的各種屬性point-in-time檢視。組態項目的元件包括中繼資料、屬性、關係、目前組態和相關事件。 會在偵測到正在記錄的資源類型變更時 AWS Config 建立組態項目。例如，如果 AWS Config 正在記錄 Amazon S3 儲存貯體，則 會在建立、更新或刪除儲存貯體時 AWS Config 建立組態項目。您也可以為 選取 AWS Config ，以您設定的錄製頻率建立組態項目。 如需詳細資訊，請參閱 [組態項目的元件](config-item-table.md)和 [錄製頻率](https://docs.aws.amazon.com/config/latest/developerguide/select-resources-recording-frequency.html)。 ### 組態歷史記錄 *組態歷史記錄*是指定資源在任何時間期間的組態項目集合。組態歷史記錄可協助您回答下列這類問題，例如，第一次建立資源時、上個月如何設定資源，以及昨天 9 AM 進行何種組態變更。您可以使用多種格式的組態歷史記錄。 AWS Config 會自動將每個資源類型的組態歷史記錄檔案，記錄到您指定的 Amazon S3 儲存貯體。您可以在 AWS Config 主控台中選取指定的資源，並使用時間軸導覽至該資源的所有先前組態項目。此外，您也可以從 API 存取資源的歷史組態項目。 如需詳細資訊，請參閱[檢視合規歷史記錄](https://docs.aws.amazon.com/config/latest/developerguide/view-manage-resource-console.html)和[查詢合規歷史記錄](https://docs.aws.amazon.com/config/latest/developerguide/quering-resource-compliance-history.html)。 ### 組態快照 *組態快照*是帳戶中現有所支援資源的組態項目集合。此組態快照是所記錄資源和其組態的完整全貌。組態快照可以是驗證組態的實用工具。例如，建議您定期檢查未正確設定或可能不存在之資源的組態快照。組態快照具有多種格式。您可以將組態快照交付至您指定的 Amazon Simple Storage Service (Amazon S3) 儲存貯體。此外，您可以在 AWS Config 主控台中選取時間點，並使用資源之間的關係瀏覽組態項目的快照。 如需詳細資訊，請參閱[傳遞組態快照](https://docs.aws.amazon.com/config/latest/developerguide/deliver-snapshot-cli.html)、[檢視組態快照](https://docs.aws.amazon.com/config/latest/developerguide/view-configuration-snapshot.html)和[範例組態快照](https://docs.aws.amazon.com/config/latest/developerguide/example-s3-snapshot.html)。 ### 組態串流 *組態串流*是 AWS Config 正在記錄之資源的所有組態項目的自動更新清單。每次建立、修改或刪除資源時， AWS Config 都會建立組態項目，並新增至組態串流。使用您選擇的 Amazon Simple Notification Service (Amazon SNS) 主題後，組態串流即可運作。組態串流有助於觀察組態變更，以便您可以發現潛在問題、在特定資源變更時產生通知，或更新需要反映 AWS 資源組態的外部系統。 ## AWS Config 規則 AWS Config 規則是一種合規檢查，可協助您管理特定 AWS 資源的理想組態設定。 會 AWS Config 評估您的資源組態是否符合相關規則，並顯示合規結果。 ### 評估結果 AWS Config 規則有四個可能的評估結果。 | **評估結果** | **Description** | | --- | --- | | COMPLIANT | 規則會傳遞合規檢查的條件。 | | NON\$1COMPLIANT | 規則未通過合規檢查的條件。 | | ERROR | 其中一個必要/選用參數無效、類型不正確或格式不正確。 | | NOT\$1APPLICABLE | 用來篩選無法套用規則邏輯的資源。例如，[alb-desync-mode-check](https://docs.aws.amazon.com/config/latest/developerguide/alb-desync-mode-check.html) 規則僅檢查 Application Load Balancer，並忽略 Network Load Balancer 和 Gateway Load Balancer。 | ### 規則類型 規則有兩種類型。如需規則定義和規則中繼資料結構的詳細資訊，請參閱[AWS Config 規則的元件](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config_components.html)。 | **類型** | **Description** | **其他資訊** | | --- | --- | --- | | 受管規則 | 由 建立的預先定義、可自訂規則 AWS Config。 | 如需受管規則的清單，請參閱[AWS Config 受管規則的清單](https://docs.aws.amazon.com/config/latest/developerguide/managed-rules-by-aws-config.html)。 | | 自訂規則 | 您從頭開始建立的規則。有兩種方式可以建立 AWS Config 自訂規則：Lambda 函數 [AWS Lambda （開發人員指南](https://docs.aws.amazon.com/lambda/latest/dg/gettingstarted-concepts.html#gettingstarted-concepts-function)) 和 Guard ([Guard GitHub 儲存庫](https://github.com/aws-cloudformation/cloudformation-guard)) | 如需詳細資訊，請參閱[建立 AWS Config 自訂政策規則](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config_develop-rules_cfn-guard.html)和[建立 AWS Config 自訂 Lambda 規則](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config_develop-rules_lambda-functions.html)。 | ### 觸發類型 將規則新增至帳戶後， 會將您的資源與規則的條件 AWS Config 進行比較。在此初始評估之後， 會在每次觸發評估時 AWS Config 繼續執行評估。評估觸發會定義為規則的一部分，而且可以包含下列類型。 | **觸發類型** | **Description** | | --- | --- | | 組態變更 | AWS Config 當資源符合規則的範圍，且資源的組態變更時， 會執行規則的評估。評估會在 AWS Config 傳送組態項目變更通知後執行。您可以透過定義規則的*範圍*來選擇要進行評估的資源。範圍可包含下列項目： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/config/latest/developerguide/config-concepts.html) AWS Config 會在偵測到符合規則範圍的資源變更時執行評估。您可以使用範圍來定義要進行評估的資源。 | | 定期 | AWS Config 會依您選擇的頻率執行規則評估；例如，每 24 小時一次。 | | 混合 | 部分規則同時具有組態變更和定期觸發條件。對於這些規則， 會在偵測到組態變更時評估您的資源，也會依您指定的頻率 AWS Config 進行評估。 | ### 評估模式 AWS Config 規則的評估模式有兩種。 | **評估模式** | **Description** | | --- | --- | | 主動 | 使用主動評估，在部署資源之前對其進行評估。這可讓您評估一組資源屬性是否是 COMPLIANT 或 NON\$1COMPLIANT，如果是用於定義 AWS 資源，則考慮到您在區域中帳戶中擁有的一組主動規則。 如需詳細資訊，請參閱《[評估模式](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config_components.html#evaluate-config_use-managed-rules-proactive-detective)》。如需支援主動評估的受管規則清單，請參閱[依評估模式的 AWS Config 受管規則清單](https://docs.aws.amazon.com/config/latest/developerguide/managed-rules-by-evaluation-mode.html)。 | | 偵測 | 使用偵測評估來評估已部署的資源。這可讓您評估現有資源的組態設定。 | **注意** 主動規則不會修復標記為「NON\$1COMPLIANT」的資源，也不會防止部署這些資源。 ## 一致性套件 一致性套件是 AWS Config 規則和修補動作的集合，可輕鬆地部署為帳戶和區域中的單一實體，或 中的整個組織 AWS Organizations。 您可以透過編寫包含 AWS Config 受管或自訂規則和修補動作之清單的 YAML 範本，來建立一致性套件。您可以使用 AWS Config 主控台或 AWS CLI來部署範本。 若要快速入門並評估您的 AWS 環境，請使用其中一個[範例一致性套件範本](https://docs.aws.amazon.com/config/latest/developerguide/conformancepack-sample-templates.html)。您也可以根據《[自訂一致性套件](https://docs.aws.amazon.com/config/latest/developerguide/custom-conformance-pack.html)》，從頭開始建立一致性套件 YAML 檔案。自訂一致性套件是一組獨特的 AWS Config 規則和修補動作，您可以在 帳戶和 AWS 區域中一起部署，或在 中跨組織部署 AWS Organizations。 **程序檢查**是一種 AWS Config 規則，可讓您追蹤需要驗證作為一致性套件一部分的外部和內部任務。您可以將這些檢查新增至現有或新的一致性套件。您可以在單一位置追蹤所有合規，包括 urations AWS Config和手動檢查。 ## 多帳戶多區域資料彙整 中的多帳戶多區域資料彙總 AWS Config 可讓您將多個帳戶和區域的組態和合規資料彙總 AWS Config 至單一帳戶。多帳戶多區域資料彙總有助於中央 IT 管理員監控企業 AWS 帳戶 中多個 的合規性。使用彙整工具不會產生任何額外費用。 ### 來源帳戶 來源帳戶是您要 AWS 帳戶 從中彙總 AWS Config 資源組態和合規資料的 。來源帳戶可以是 AWS Organizations中的個別帳戶或組織。您可以個別提供來源帳戶，也可以透過 擷取來源帳戶 AWS Organizations。 ### 來源區域 來源區域是您要從中彙總 AWS Config 組態和合規資料 AWS 的區域。 ### 彙整工具 彙整工具會從多個來源帳戶和區域收集 AWS Config 組態和合規資料。在您要查看彙總 AWS Config 組態和合規資料的區域中建立彙總工具。 **注意** 彙總工具提供來源帳戶的*唯讀檢視*，以及授權彙總工具透過將來源帳戶的資料複寫至彙總工具帳戶來檢視的區域。彙總器不提供來源帳戶或區域的變動存取。例如，這表示您無法透過彙總工具部署規則，也無法透過彙總工具將快照檔案推送至來源帳戶或區域。 ### 服務連結彙整工具 服務連結彙整工具會連結至特定 AWS 服務。範圍內的組態和合規資料是由連結的服務所設定。 ### 彙整工具帳戶 彙整工具帳戶是您建立彙整工具的帳戶。 ### Authorization 身為來源帳戶擁有者，授權是指您授予彙總工具帳戶和區域的許可，以收集您的 AWS Config 組態和合規資料。如果您要彙整屬於 AWS Organizations一部分的來源帳戶，則不需要授權。