Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
CloudFormation Concepts de crochets
La terminologie et les concepts suivants sont essentiels à votre compréhension et à votre utilisation des CloudFormation Hooks.
Crochet
Un Hook contient du code qui est invoqué immédiatement avant la CloudFormation création, la mise à jour ou la suppression de piles ou de ressources spécifiques. Il peut également être invoqué lors d'une opération de création d'un ensemble de modifications. Les Hooks peuvent inspecter le modèle, les ressources ou l'ensemble de modifications qui CloudFormation est sur le point d'être provisionné. En outre, les Hooks peuvent être invoqués immédiatement avant que l'API Cloud Control ne crée, ne mette à jour ou ne supprime des ressources spécifiques.
Si un Hook identifie des configurations qui ne sont pas conformes aux directives organisationnelles définies dans votre logique Hook, vous pouvez choisir d'utiliser WARN les utilisateurs ou FAIL d' CloudFormation empêcher le provisionnement de la ressource.
Les crochets présentent les caractéristiques suivantes :
-
Validation proactive : réduit les risques, les frais opérationnels et les coûts en identifiant les ressources non conformes avant leur création, leur mise à jour ou leur suppression.
-
Application automatique : assure l'application dans votre système afin Compte AWS d'empêcher le provisionnement de ressources non conformes par. CloudFormation
Mode de défaillance
Votre logique Hook peut renvoyer un succès ou un échec. Une réponse positive permettra à l'opération de se poursuivre. Une défaillance due à des ressources non conformes peut avoir les conséquences suivantes :
-
FAIL— Arrête l'opération de provisionnement. -
WARN— Permet de poursuivre le provisionnement avec un message d'avertissement.
La création de Hooks en WARN mode est un moyen efficace de surveiller le comportement des Hooks sans affecter les opérations de stack. Activez d'abord le WARN mode Hooks pour comprendre quelles opérations seront affectées. Après avoir évalué les effets potentiels, vous pouvez passer en FAIL mode Hook pour commencer à empêcher les opérations non conformes.
Crochet et cibles
Les cibles Hook spécifient les opérations qu'un Hook évaluera. Il peut s'agir d'opérations sur :
-
Ressources soutenues par CloudFormation (
RESOURCE) -
Modèles de pile (
STACK) -
Ensembles de modifications (
CHANGE_SET) -
Ressources prises en charge par l'API Cloud Control (
CLOUD_CONTROL)
Vous définissez une ou plusieurs cibles qui spécifient les opérations les plus larges que le Hook évaluera. Par exemple, vous pouvez créer un ciblage Hook RESOURCE pour cibler toutes les AWS ressources et STACK tous les modèles de stack.
Actions ciblées
Les actions cibles définissent les actions spécifiques (CREATE,UPDATE, ouDELETE) qui appelleront un Hook. Pour RESOURCESTACK, et les CLOUD_CONTROL cibles, toutes les actions cibles sont applicables. Pour CHANGE_SET les cibles, seule l'CREATEaction est applicable.
Annotations
GetHookResultles réponses peuvent renvoyer des annotations fournissant les résultats détaillés des contrôles de conformité et des conseils de correction pour chaque ressource évaluée. Pour plus de détails sur la structure d'annotation de l'API, voir Annotation dans la référence de l'AWS CloudFormation API. Pour obtenir des instructions sur l'affichage de ces résultats de validation, consultezAfficher les résultats d'invocation pour les Hooks CloudFormation.
Vous pouvez chiffrer les annotations nécessaires pour les informations de conformité sensibles en spécifiant votre propre clé KMS lors de la configuration du Hook. Pour de plus amples informations, veuillez consulter Référence syntaxique du schéma de configuration Hook. Pour plus d'informations sur la configuration de la politique de clé dont vous avez besoin lorsque vous spécifiez votre clé KMS pour les Hooks, consultezAWS KMS politique clé et autorisations pour chiffrer les résultats de CloudFormation Hooks au repos.
Important
Notez que l'KmsKeyIdoption permettant de spécifier une clé gérée par le client n'est actuellement disponible que lorsque vous utilisez le AWS CLI pour configurer votre Hook.
Manipulateur de crochets
Pour les Hooks personnalisés, c'est le code qui gère l'évaluation. Il est associé à un point d'invocation cible et à une action cible qui marquent le point exact où un Hook s'exécute. Vous écrivez des gestionnaires qui hébergent la logique pour ces points spécifiques. Par exemple, un point d'appel PRE cible avec une action CREATE cible crée un gestionnaire preCreate Hook. Le code du gestionnaire Hook s'exécute lorsqu'un point d'appel cible et un service correspondants exécutent une action cible associée.
Valeurs valides : (preCreate| preUpdate |preDelete)
Important
Les opérations de pile dont le résultat est le statut de UpdateCleanup n'invoquent pas de Hook. Par exemple, dans les deux scénarios suivants, le preDelete gestionnaire du Hook n'est pas invoqué :
-
la pile est mise à jour après la suppression d'une ressource du modèle.
-
une ressource dont le type de mise à jour est remplacé est supprimée.
Limites de délai et de nouvelles tentatives
Les Hooks ont un délai d'expiration de 30 secondes par invocation et sont limités à 3 tentatives de nouvelle tentative. Si un appel dépasse le délai imparti, nous renvoyons un message d'erreur indiquant que le délai d'exécution de Hook a expiré. Après la troisième tentative, CloudFormation marque l'échec de l'exécution du Hook.
