Ressourcen anhand von AWS Config Regeln auswerten

Einzelheiten zu den Kosten im Zusammenhang mit der Erfassung von Ressourcen finden Sie unter AWS Config Preise.

Empfehlung: Erwägen Sie, den AWS::Config::ResourceCompliance Ressourcentyp aus der Aufzeichnung auszuschließen, bevor Sie Regeln löschen

Durch das Löschen von Regeln werden Konfigurationselemente (CIs) erstelltAWS::Config::ResourceCompliance, die sich auf Ihre Kosten für den Konfigurationsrekorder auswirken können. Wenn Sie Regeln löschen, die eine große Anzahl von Ressourcentypen auswerten, kann dies zu einem Anstieg der Anzahl der CIs aufgezeichneten Ressourcentypen führen.

Um die damit verbundenen Kosten zu vermeiden, können Sie die Aufzeichnung für den AWS::Config::ResourceCompliance Ressourcentyp deaktivieren, bevor Sie Regeln löschen, und die Aufzeichnung erneut aktivieren, nachdem die Regeln gelöscht wurden.

Da das Löschen von Regeln jedoch ein asynchroner Vorgang ist, kann es eine Stunde oder länger dauern, bis er abgeschlossen ist. Während der ZeitAWS::Config::ResourceCompliance, für die die Aufzeichnung deaktiviert ist, werden Regelauswertungen nicht im Verlauf der zugehörigen Ressource aufgezeichnet.

AWS Config empfiehlt, diese Faktoren auf einer bestimmten case-by-case Grundlage abzuwägen, bevor Sie entscheiden, wie mit dem Löschen von Regeln verfahren werden soll.

Empfehlung: Fügen Sie Logik hinzu, um die Auswertung gelöschter Ressourcen für benutzerdefinierte Lambda-Regeln zu handhaben

Beim Erstellen von AWS Config benutzerdefinierten Lambda-Regeln wird dringend empfohlen, Logik für die Auswertung gelöschter Ressourcen hinzuzufügen.

Wenn Auswertungsergebnisse als NOT_APPLICABLE gekennzeichnet sind, werden sie zum Löschen markiert und bereinigt. Wenn sie NICHT als markiert sindNOT_APPLICABLE, bleiben die Evaluierungsergebnisse unverändert, bis die Regel gelöscht wird. Dies kann zu einem unerwarteten Anstieg bei der Erstellung von oder AWS::Config::ResourceCompliance beim Löschen der CIs Regel führen.

Informationen dazu, wie Sie AWS Config benutzerdefinierte Lambda-Regeln so einrichten, dass sie NOT_APPLICABLE für gelöschte Ressourcen zurückgegeben werden, finden Sie unter Gelöschte Ressourcen mit AWS Config benutzerdefinierten Lambda-Regeln verwalten.

Empfehlung: Stellen Sie die Ressourcen bereit, die für benutzerdefinierte Lambda-Regeln gelten

AWS Config Benutzerdefinierte Lambda-Regeln können zu einer hohen Anzahl von Lambda-Funktionsaufrufen führen, wenn die Regel nicht auf einen oder mehrere Ressourcentypen beschränkt ist. Um eine erhöhte Aktivität im Zusammenhang mit Ihrem Konto zu vermeiden, wird dringend empfohlen, Ressourcen im Rahmen Ihrer benutzerdefinierten Lambda-Regeln bereitzustellen. Wenn keine Ressourcentypen ausgewählt sind, ruft die Regel die Lambda-Funktion für alle Ressourcen im Konto auf.

Standardwerte für verwaltete Regeln

Die für verwaltete Regeln angegebenen Standardwerte sind nur bei Verwendung der AWS Konsole vorab ausgefüllt. Die Standardwerte werden für API, CLI oder SDK nicht bereitgestellt.

Verzögerungen bei der Aufzeichnung des Konfigurationselements

AWS Config In der Regel werden Konfigurationsänderungen an Ihren Ressourcen unmittelbar nach dem Erkennen einer Änderung oder in der von Ihnen angegebenen Häufigkeit aufgezeichnet. Dies erfolgt jedoch nach bestem Wissen und kann manchmal länger dauern. Ein Ressourcentyp mit bekannten Verzögerungen ist beispielsweiseAWS::SecretsManager::Secret. Dieser Ressourcentyp ist ein Beispiel, und diese Liste erhebt keinen Anspruch auf Vollständigkeit.

Richtlinien und Ergebnisse zur Einhaltung von Vorschriften

IAM-Richtlinien und andere Richtlinien, die in verwaltet werden, AWS Organizations können sich darauf auswirken, ob Sie AWS Config berechtigt sind, Konfigurationsänderungen für Ihre Ressourcen aufzuzeichnen. Darüber hinaus bewerten Regeln direkt die Konfiguration einer Ressource, und Regeln berücksichtigen diese Richtlinien bei der Durchführung von Evaluierungen nicht. Stellen Sie sicher, dass die geltenden Richtlinien mit der Art und Weise übereinstimmen, wie Sie sie verwenden möchten AWS Config.

Tagging-Unterstützung für Ressourcentypen

Wenn ein Ressourcentyp kein Tagging unterstützt oder keine Tag-Informationen in seiner Describe-API-Antwort enthält, AWS Config werden keine Tag-Daten in den Konfigurationselementen (CIs) für diesen Ressourcentyp erfasst. AWS Config zeichnet diese Ressourcen trotzdem auf. Funktionen, die auf Tag-Daten basieren, funktionieren jedoch nicht. Dies wirkt sich auf Tag-basierte Filterung, Gruppierung oder Konformitätsbewertung aus, die auf Tag-Daten basiert.

Directory-Buckets werden nicht unterstützt

Verwaltete Regeln unterstützen nur allgemeine Buckets bei der Bewertung von Amazon Simple Storage Service (Amazon S3) -Ressourcen. Weitere Informationen zu Allzweck-Buckets und Verzeichnis-Buckets finden Sie unter Buckets-Übersicht und Verzeichnis-Buckets im Amazon-S3-Benutzerhandbuch.

Verwaltete Regeln und globale IAM-Ressourcentypen

Die globalen IAM-Ressourcentypen, die vor Februar 2022 eingeführt wurden (AWS::IAM::Group,, undAWS::IAM::User) AWS::IAM::PolicyAWS::IAM::Role, können nur AWS Config in AWS Regionen erfasst werden, in denen sie vor Februar 2022 verfügbar AWS Config waren. Diese Ressourcentypen können nicht in Regionen erfasst werden, die AWS Config nach Februar 2022 unterstützt werden. Eine Liste dieser Regionen finden Sie unter AWS Aufzeichnungsressourcen | Globale Ressourcen.

Wenn Sie einen globalen IAM-Ressourcentyp in mindestens einer Region aufzeichnen, führen periodische Regeln, die die Einhaltung des globalen IAM-Ressourcentyps melden, Bewertungen in allen Regionen durch, in denen die periodische Regel hinzugefügt wurde, auch wenn Sie die Aufzeichnung des globalen IAM-Ressourcentyps in der Region, in der die periodische Regel hinzugefügt wurde, nicht aktiviert haben.

Um unnötige Bewertungen zu vermeiden, sollten Sie nur regelmäßige Regeln einrichten, die die Einhaltung der Vorschriften für einen globalen IAM-Ressourcentyp an eine der unterstützten Regionen melden. Eine Liste der verwalteten Regeln, die in welchen Regionen unterstützt werden, finden Sie unter Liste der AWS Config verwalteten Regeln nach regionaler Verfügbarkeit.