Consulta del estado de la configuración actual de AWS los recursos con AWS Config

Puede utilizarla AWS Config para consultar el estado de configuración actual de AWS los recursos en función de las propiedades de configuración de una sola cuenta y región o de varias cuentas y regiones. Puede realizar consultas basadas en propiedades en función de los metadatos del estado actual de los AWS recursos en una lista de recursos compatibles AWS Config . Para obtener más información sobre la lista de tipos de recursos compatibles, consulte Tipos de recursos compatibles para consultas avanzadas.

La característica Consultas avanzadas proporciona un único punto de conexión de consultas, así como un lenguaje de consultas, para obtener los metadatos del estado actual de los recursos, sin necesidad de realizar llamadas a la API “describe” específicas de los servicios. Puede usar agregadores de configuración para ejecutar las mismas consultas desde una cuenta central en varias cuentas y regiones. AWS

Características

AWS Config utiliza un subconjunto de la SELECT sintaxis del lenguaje de consultas estructurado (SQL) para realizar consultas y agregaciones basadas en propiedades en los datos del elemento de configuración (CI) actual. Las consultas varían en complejidad, desde coincidencias con identificadores de and/or recursos de etiquetas hasta consultas más complejas, como la visualización de todos los buckets de Amazon S3 que tienen deshabilitado el control de versiones. Esto le permite consultar exactamente el estado actual de los recursos que necesita sin realizar llamadas a la API específicas del AWS servicio.

Admite funciones de agregación como, por ejemplo, AVG, COUNT, MAX, MIN y SUM.

Puede utilizar las consultas avanzadas para tareas de:

Para obtener información sobre cómo utilizar el lenguaje de consultas AWS SQL, consulte ¿Qué es SQL (lenguaje de consulta estructurado)? .

Limitaciones

Dado que es un subconjunto del comando SELECT de SQL, la sintaxis de consultas tiene las siguientes limitaciones:

Comportamiento del notation/IP rango CIDR para consultas avanzadas

La notación CIDR se convierte en rangos de IP para la búsqueda.

Esto significa que "=" y "BETWEEN" buscan cualquier rango que incluya la IP proporcionada, en lugar de buscar uno exacto.

Para buscar un rango de IP exacto, debe agregar condiciones adicionales para excluir IPs fuera del rango.

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
            

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
            

Comportamiento de varias propiedades dentro de una matriz para consultas avanzadas

Al consultar varias propiedades de una matriz de objetos, las coincidencias se calculan con todos los elementos de la matriz.

Por ejemplo, para un recurso R con las reglas A y B, el recurso cumple con la regla A pero no cumple con la regla B. El recurso R se almacena como:

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

R será devuelto por esta consulta:

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

La primera condición configuration.configRuleList.complianceType = 'non_compliant' se aplica a TODOS los elementos de R.configRuleList, dado que R tiene una regla (regla B) con ComplianceType = 'non_compliant', la condición se evalúa como verdadera.

La segunda condición configuration.configRuleList.configRuleName se aplica a TODOS los elementos de R.configRuleList, dado que R tiene una regla (regla A) con configRuleName = 'A', la condición se evalúa como verdadera. Como ambas condiciones son ciertas, se devolverá R.

Compatibilidad de la región

Las consultas avanzadas se admiten en las siguientes regiones: