Evaluación de recursos con AWS Config reglas

Para obtener más información sobre los costos asociados al registro de recursos, consulte Precios de AWS Config.

Recomendación: considere excluir el tipo de AWS::Config::ResourceCompliance recurso de la grabación antes de eliminar las reglas

Al eliminar las reglas, se crean elementos de configuración (CIs) AWS::Config::ResourceCompliance que pueden afectar a los costes del grabador de configuración. Si elimina reglas que evalúan un gran número de tipos de recursos, esto puede provocar un aumento en el número de CIs registros.

Para evitar los costes asociados, puede optar por deshabilitar el registro para el tipo de AWS::Config::ResourceCompliance recurso antes de eliminar las reglas y volver a habilitar el registro una vez eliminadas las reglas.

Sin embargo, dado que la eliminación de reglas es un proceso asíncrono, puede tardar una hora o más en completarse. Durante el tiempo en que la grabación esté desactivadaAWS::Config::ResourceCompliance, las evaluaciones de las reglas no se registrarán en el historial del recurso asociado.

AWS Config recomienda sopesar estos factores antes case-by-case de decidir cómo proceder a eliminar las reglas.

Recomendación: Añada lógica para gestionar la evaluación de los recursos eliminados para reglas de Lambda personalizadas

Al crear reglas lambda AWS Config personalizadas, se recomienda encarecidamente añadir lógica para gestionar la evaluación de los recursos eliminados.

Cuando los resultados de la evaluación se identifiquen como NOT_APPLICABLE, significa que se eliminarán y depurarán. Si NO están marcados comoNOT_APPLICABLE, los resultados de la evaluación permanecerán sin cambios hasta que se elimine la regla, lo que puede provocar un aumento inesperado en la creación de CIs for AWS::Config::ResourceCompliance al eliminar la regla.

Para obtener información sobre cómo configurar reglas lambda AWS Config personalizadas NOT_APPLICABLE para que se devuelvan en el caso de los recursos eliminados, consulte Administrar los recursos eliminados con reglas lambda AWS Config personalizadas.

Recomendación: Proporcione los recursos disponibles para las reglas de Lambda personalizadas

AWS Config Las reglas Lambda personalizadas pueden provocar un número elevado de invocaciones a funciones Lambda si la regla no se limita a uno o más tipos de recursos. Para evitar el aumento de actividad asociado a su cuenta, es muy recomendable que proporcione recursos disponibles para las reglas de Lambda personalizadas. Si no selecciona ningún tipo de recurso, la regla invocará la función de Lambda para todos los recursos de la cuenta.

Valores predeterminados para las reglas administradas

Los valores predeterminados especificados para las reglas administradas se rellenan automáticamente solo cuando se utiliza la consola. AWS No se proporcionan valores predeterminados para la API, la CLI o el SDK.

Retrasos en el registro de elementos de configuración

AWS Config por lo general, registra los cambios de configuración de los recursos inmediatamente después de detectar un cambio o con la frecuencia que especifique. Aunque el sistema hace todo lo posible porque sea así, a veces puede tardar más tiempo. Por ejemplo, un tipo de recurso con retrasos conocidos esAWS::SecretsManager::Secret. Este tipo de recurso es un ejemplo y esta lista no es exhaustiva.

Políticas y resultados de cumplimiento

Las políticas de IAM y otras políticas gestionadas AWS Organizations pueden afectar a la disponibilidad AWS Config de permisos para registrar los cambios de configuración de sus recursos. Además, las reglas evalúan directamente la configuración de un recurso y no tienen en cuenta estas políticas al ejecutar las evaluaciones. Asegúrese de que las políticas en vigor se ajusten a la forma en que piensa utilizarlas AWS Config.

Soporte de etiquetado para tipos de recursos

Si un tipo de recurso no admite el etiquetado o no incluye información sobre las etiquetas en la respuesta de la API que describe, AWS Config no capturará los datos de las etiquetas en los elementos de configuración (CIs) de ese tipo de recurso. AWS Config seguirá registrando estos recursos. Sin embargo, cualquier funcionalidad que dependa de los datos de las etiquetas no funcionará. Esto afecta al filtrado, la agrupación o la evaluación de conformidad basados en etiquetas que se basa en los datos de las etiquetas.

Los buckets de directorio no están admitidos

Las reglas administradas solo admiten buckets de uso general al evaluar los recursos de Amazon Simple Storage Service (Amazon S3). Para obtener más información sobre los buckets de uso general y los buckets de directorio, consulte la información general sobre los buckets y los buckets de directorio en la Guía del usuario de Amazon S3.

Reglas administradas y tipos de recursos de IAM globales

Los tipos de recursos de IAM globales incorporados antes de febrero de 2022 (AWS::IAM::Group, AWS::IAM::PolicyAWS::IAM::Role, yAWS::IAM::User) solo se pueden registrar AWS Config en AWS las regiones en las que AWS Config estaban disponibles antes de febrero de 2022. Estos tipos de recursos no se pueden registrar en las regiones admitidas AWS Config después de febrero de 2022. Para ver una lista de esas regiones, consulta AWS Recursos de grabación | Recursos globales.

Si registra los tipos de recursos de IAM globales en al menos una región, las reglas periódicas que informan del cumplimiento de los tipos de recursos de IAM globales realizarán evaluaciones en todas las regiones en las que se añada la regla periódica, aunque no haya activado el registro de tipos de recursos de IAM globales en la región en la que se ha añadido la regla periódica.

A fin de evitar evaluaciones innecesarias, solo debería implementar reglas periódicas que informen del cumplimiento en un tipo de recurso de IAM global en una de las regiones compatibles. Para ver una lista de las reglas administradas que se admiten en qué regiones, consulte la lista de reglas AWS Config administradas por disponibilidad regional.