Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konformität mit der Konfiguration in Accelerate

AMS Accelerate hilft Ihnen dabei, Ihre Ressourcen nach hohen Standards für Sicherheit und Betriebsintegrität zu konfigurieren und die folgenden Industriestandards einzuhalten:

Wir tun dies, indem wir unseren gesamten AWS Config Compliance-Regelsatz für Ihr Konto bereitstellen, sieheBibliothek mit AMS-Konfigurationsregeln. Eine AWS Config Regel stellt die gewünschten Konfigurationen für eine Ressource dar und wird anhand von Konfigurationsänderungen an den Einstellungen Ihrer AWS Ressourcen bewertet. Jede Konfigurationsänderung löst eine große Anzahl von Regeln aus, um die Einhaltung der Vorschriften zu testen. Nehmen wir zum Beispiel an, Sie erstellen einen Amazon S3 S3-Bucket und konfigurieren ihn so, dass er öffentlich lesbar ist, was gegen die NIST-Standards verstößt. Die ams-nist-cis-sbucket-public-read-prohibited 3-Regel erkennt den Verstoß und kennzeichnet Ihren S3-Bucket in Ihrem Konfigurationsbericht als nicht konform. Da diese Regel zur Kategorie Automatische Behebung von Vorfällen gehört, erstellt sie sofort einen Incident-Bericht, der Sie auf das Problem aufmerksam macht. Andere schwerwiegendere Regelverstöße können dazu führen, dass AMS das Problem automatisch behebt. Siehe Reaktionen auf Verstöße in Accelerate.

Bibliothek mit AMS-Konfigurationsregeln

Accelerate stellt eine Bibliothek mit AMS-Konfigurationsregeln bereit, um Ihr Konto zu schützen. Diese Konfigurationsregeln beginnen mitams-. Sie können Regeln in Ihrem Konto und deren Konformitätsstatus entweder von der AWS Config Konsole, der AWS CLI oder der AWS Config API aus einsehen. Allgemeine Informationen zur Verwendung AWS Config finden Sie unter ViewingConfiguration Compliance.

Tabelle der Regeln

Laden Sie es als ams_config_rules.zip herunter.

Reaktionen auf Verstöße in Accelerate

Alle Verstöße gegen die Konfigurationsregeln werden in Ihrem Konfigurationsbericht angezeigt. Dies ist eine universelle Antwort. Abhängig von der Behebungskategorie (Schweregrad) der Regel kann AMS zusätzliche Maßnahmen ergreifen, die in der folgenden Tabelle zusammengefasst sind. Einzelheiten zum Anpassen des Aktionscodes für bestimmte Regeln finden Sie unterMaßgeschneiderte Antworten auf Ergebnisse.

Abhilfemaßnahmen

Zusätzliche Hilfe anfordern

AMS Accelerate verfügt über eine Bibliothek mit AWS Systems Manager Automatisierungsdokumenten und Runbooks, die Sie bei der Behebung nicht richtlinienkonformer Ressourcen unterstützen.

Zum Konfigurationsbericht hinzufügen

AMS generiert einen Konfigurationsbericht, der den Compliance-Status aller Regeln und Ressourcen in Ihrem Konto verfolgt. Sie können den Bericht bei Ihrem CSDM anfordern. Sie können den Konformitätsstatus auch über die AWS Config-Konsole, die AWS CLI oder die AWS Config-API überprüfen. Ihr Konfigurationsbericht beinhaltet:

Wenn eine Ressource in den Status „Nicht konform“ wechselt, wird der Ressourcenstatus (und der Regelstatus) in Ihrem Konfigurationsbericht auf „Nicht konform“ gesetzt. Wenn die Regel zur Behebungskategorie „Nur Config Report Only“ gehört, ergreift AMS standardmäßig keine weiteren Maßnahmen. Sie können jederzeit eine Serviceanfrage erstellen, um zusätzliche Hilfe oder Problembehebung von AMS anzufordern.

Weitere Informationen finden Sie unter AWS Config Reporting.

Automatischer Vorfallbericht in Accelerate

Bei mittelschweren Regelverstößen erstellt AMS automatisch einen Vorfallbericht, um Sie darüber zu informieren, dass eine Ressource in einen nicht konformen Zustand übergegangen ist, und fragt, welche Aktionen Sie durchführen möchten. Sie haben die folgenden Optionen, wenn Sie auf einen Vorfall reagieren möchten:

Automatische Problembehebung in Accelerate

Die wichtigsten Regeln gehören zur Kategorie Auto Remediate. Die Nichteinhaltung dieser Regeln kann sich stark auf die Sicherheit und Verfügbarkeit Ihrer Konten auswirken. Wenn eine Ressource gegen eine dieser Regeln verstößt:

Regelausnahmen in Accelerate erstellen

Mit der Funktion für AWS-Config-Regeln Ressourcenausnahmen können Sie die Meldung bestimmter, nicht konformer Ressourcen für bestimmte Regeln unterdrücken.

Wenn Sie über Ressourcen verfügen, von denen Sie wissen, dass sie nicht konform sind, können Sie eine bestimmte Ressource für eine bestimmte Konfigurationsregel in ihren Konfigurationsberichten entfernen. So gehen Sie vor:

Senden Sie an Accelerate eine Serviceanfrage für Ihr Konto mit einer Liste der Konfigurationsregeln und Ressourcen, die von der Meldung ausgenommen werden sollen. Sie müssen eine ausdrückliche geschäftliche Begründung angeben (z. B. müssen Sie das nicht melden resource_name_1 und wir haben kein Backup, weil wir nicht möchten, dass sie gesichert resource_name_2 werden). Hilfe beim Einreichen einer Accelerate-Serviceanfrage finden Sie unterEine Serviceanfrage in Accelerate erstellen.

Fügen Sie die folgenden Eingaben in die Anfrage ein (fügen Sie für jede Ressource einen separaten Block mit allen erforderlichen Feldern hinzu, wie abgebildet), und senden Sie sie dann ab:

[
    {
        "resource_name": "resource_name_1",
        "config_rule_name": "config_rule_name_1",
        "business_justification": "REASON_TO_EXEMPT_RESOURCE",
        "resource_type": "resource_type"
    },
    {
        "resource_name": "resource_name_2",
        "config_rule_name": "config_rule_name_2",
        "business_justification": "REASON_TO_EXEMPT_RESOURCE",
        "resource_type": "resource_type"
    }
]

Reduzieren Sie die AWS Config Kosten in Accelerate

Sie können die Kosten für AWS Config reduzieren, indem Sie die Option verwenden, den AWS::EC2::Instance Ressourcentyp regelmäßig aufzuzeichnen. Durch die regelmäßige Aufzeichnung werden die neuesten Konfigurationsänderungen Ihrer Ressourcen alle 24 Stunden erfasst, wodurch die Anzahl der vorgenommenen Änderungen reduziert wird. Wenn diese Option aktiviert ist, wird AWS Config nur die letzte Konfiguration einer Ressource am Ende eines Zeitraums von 24 Stunden aufgezeichnet. Auf diese Weise können Sie die Konfigurationsdaten an spezifische Anwendungsfälle in den Bereichen Betriebsplanung, Einhaltung von Vorschriften und Audits anpassen, die keine kontinuierliche Überwachung erfordern. Diese Änderung wird nur empfohlen, wenn Sie über Anwendungen verfügen, die von kurzlebigen Architekturen abhängen, was bedeutet, dass Sie die Anzahl der Instanzen ständig nach oben oder unten skalieren.

Wenn Sie sich für die regelmäßige Aufzeichnung des AWS::EC2::Instance Ressourcentyps entscheiden möchten, wenden Sie sich an Ihr AMS Delivery Team.