使用 AWS CloudFormation Guard 政策建立 AWS Config 自訂規則

由 Andrew Lok (AWS)、Kailash Havildar (AWS)、Nicole Brown (AWS) 和 Tanya Howell (AWS) 建立

Summary

AWS Config 規則可協助您評估 AWS 資源及其目標組態狀態。 AWS Config 規則有兩種類型： 受管和自訂。您可以使用 AWS Lambda 函數或使用 AWS CloudFormation Guard(GitHub) 語言 policy-as-code建立自訂規則。

使用 Guard 建立的規則提供比受管規則更精細的控制，而且通常比完全自訂的 Lambda 規則更容易設定。此方法可讓工程師和架構師能夠建置規則，而不需要知道 Python、NodeJS 或 Java，而這些是透過 Lambda 部署自訂規則的必要條件。

此模式提供可行的範本、程式碼範例和部署方法，協助您使用 Guard 來採用自訂規則。透過使用此模式，管理員可以使用 AWS Config 建置具有組態項目屬性的自訂合規規則。例如，開發人員可以針對 AWS Config 組態項目使用 Guard 政策來持續監控已部署 AWS 和非AWS 資源的狀態、偵測規則違規，並自動啟動修復。

目標

讀取此模式後，您應該能夠：

先決條件和限制

先決條件

限制

架構

您可以將 Guard 語法套用到 AWS Config 規則做為自訂 policy. AWS Config captureJSONs 階層式指定每個資源。 AWS Config 組態項目JSON的 包含鍵/值對。這些屬性會用在 Guard 語法中，做為指派給其對應值的變數。 

以下是 Guard 語法的說明。JSON 使用組態項目中的變數，並以%字元加上。

# declare variable
let <variable name> = <'value'>

# create rule and assign condition and policy
    rule <rule name> when 
        <CI json key> == <"CI json value"> {
            <top level CI json key>.<next level CI json key> == %<variable name>
        }

案例 1：Amazon EBS磁碟區

案例 1 部署使用 Guard 語法來驗證加密磁碟區的合規性的 AWS Config 自訂規則。此規則會驗證磁碟機是否正在使用中，並驗證磁碟機類型是否為 gp3。

以下是案例 1 的 AWS Config 組態項目範例。此組態項目中有三個鍵/值對，用作 Guard 政策中的變數：volumeencryptionstatus、 volumestatus和 volumetype。此外， resourceType金鑰會用作 Guard 政策中的篩選條件。

{
  "version": "1.3",
  "accountId": "111111111111",
  "configurationItemCaptureTime": "2023-01-15T19:04:45.402Z",
  "configurationItemStatus": "ResourceDiscovered",
  "configurationStateId": "4444444444444",
  "configurationItemMD5Hash": "",
  "arn": "arn:aws:ec2:us-west-2:111111111111:volume/vol-222222222222",
  "resourceType": "AWS::EC2::Volume",
  "resourceId": "vol-222222222222",
  "awsRegion": "us-west-2",
  "availabilityZone": "us-west-2b",
  "resourceCreationTime": "2023-01-15T19:03:22.247Z",
  "tags": {},
  "relatedEvents": [],
  "relationships": [
    {
      "resourceType": "AWS::EC2::Instance",
      "resourceId": "i-33333333333333333",
      "relationshipName": "Is attached to Instance"
    }
  ],
  "configuration": {
    "attachments": [
      {
        "attachTime": "2023-01-15T19:03:22.000Z",
        "device": "/dev/xvda",
        "instanceId": "i-33333333333333333",
        "state": "attached",
        "volumeId": "vol-222222222222",
        "deleteOnTermination": true,
        "associatedResource": null,
        "instanceOwningService": null
      }
    ],
    "availabilityZone": "us-west-2b",
    "createTime": "2023-01-15T19:03:22.247Z",
    "encrypted": false,
    "kmsKeyId": null,
    "outpostArn": null,
    "size": 8,
    "snapshotId": "snap-55555555555555555",
    "state": "in-use",
    "volumeId": "vol-222222222222",
    "iops": 100,
    "tags": [],
    "volumeType": "gp2",
    "fastRestored": null,
    "multiAttachEnabled": false,
    "throughput": null,
    "sseType": null
  },
  "supplementaryConfiguration": {}
}

以下是使用 Guard 語法定義案例 1 中變數和規則的範例。於下列範例中：

let volumestatus = 'available'
let volumetype = 'gp3'
let volumeencryptionstatus = true

    rule compliancecheck when 
        resourceType == "AWS::EC2::Volume" {
            configuration.state == %volumestatus
            configuration.encrypted == %volumeencryptionstatus
            configuration.volumeType == %volumetype
        }

如需實作此自訂規則的完整 Guard 自訂政策，請參閱 GitHub 程式碼儲存庫中的 awsconfig-guard-cft.yaml 或 awsconfig-guard-tf-ec2vol.json。如需在 Guard 中部署此自訂政策的 HashiCorp Terraform 程式碼，請參閱程式碼儲存庫中的 awsconfig-guard-tf-example.json。

案例 2： GuardDuty 合規

案例 2 部署使用 Guard 語法來驗證 Amazon GuardDuty 合規的 AWS Config 自訂規則。此規則會驗證 GuardDuty 記錄器是否已啟用 Amazon S3 保護和 Amazon EKS保護。它也會驗證每 15 分鐘發佈一次 GuardDuty 問題清單。此案例可以部署到組織 (in AWS Organizations) AWS 區域 中的所有 AWS 帳戶 和 。

以下是案例 2 的 AWS Config 組態項目範例。此組態項目中有三個鍵/值對，這些鍵/值對用作 Guard 政策中的變數：FindingPublishingFrequency、 S3Logs和 Kubernetes。此外， resourceType金鑰會用作政策中的篩選條件。

{
  "version": "1.3",
  "accountId": "111111111111",
  "configurationItemCaptureTime": "2023-11-27T13:34:28.888Z",
  "configurationItemStatus": "OK",
  "configurationStateId": "7777777777777",
  "configurationItemMD5Hash": "",
  "arn": "arn:aws:guardduty:us-west-2:111111111111:detector/66666666666666666666666666666666",
  "resourceType": "AWS::GuardDuty::Detector",
  "resourceId": "66666666666666666666666666666666",
  "resourceName": "66666666666666666666666666666666",
  "awsRegion": "us-west-2",
  "availabilityZone": "Regional",
  "resourceCreationTime": "2020-02-17T02:48:04.511Z",
  "tags": {},
  "relatedEvents": [],
  "relationships": [],
  "configuration": {
    "Enable": true,
    "FindingPublishingFrequency": "FIFTEEN_MINUTES",
    "DataSources": {
      "S3Logs": {
        "Enable": true
      },
      "Kubernetes": {
        "AuditLogs": {
          "Enable": true
        }
      }
    },
    
    "Id": "66666666666666666666666666666666",
    "Tags": []
  },
  "supplementaryConfiguration": {
    "CreatedAt": "2020-02-17T02:48:04.511Z"
  }
}

以下是使用 Guard 語法定義案例 2 中的變數和規則的範例。於下列範例中：

let s3protection = true
let kubernetesprotection = true
let publishfrequency = 'FIFTEEN_MINUTES'

    rule compliancecheck when 
        resourceType == "AWS::GuardDuty::Detector" {
            configuration.DataSources.S3Logs.Enable == %s3protection
            configuration.DataSources.Kubernetes.AuditLogs.Enable == %kubernetesprotection
            configuration.FindingPublishingFrequency == %publishfrequency
        }

如需實作此自訂規則的完整 Guard 自訂政策，請參閱 GitHub 程式碼儲存庫中的 awsconfig-guard-cft-gd.yaml。如需在 Guard 中部署此自訂政策的 HashiCorp Terraform 程式碼，請參閱程式碼儲存庫中的 awsconfig-guard-tf-gd.json。

工具

AWS 服務

其他工具

程式碼儲存庫

此模式的程式碼可在 GitHub AWS Config 搭配 AWS CloudFormation Guard 儲存庫中使用。此程式碼儲存庫包含此模式所述的兩種案例的範例。

史詩

故障診斷

相關資源

AWS 文件

AWS 部落格文章和研討會

其他資源