Activez un Hook basé sur le contrôle proactif dans votre compte

Connectez-vous à la AWS CloudFormation console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/cloudformation.

Dans la barre de navigation en haut de l'écran, choisissez l' Région AWS endroit où vous souhaitez créer le Hook in.

Dans le volet de navigation de gauche, choisissez Hooks.

Sur la page Hooks, choisissez Create a Hook, puis choisissez With the Control Catalog.

Sur la page Sélectionner les contrôles, pour les contrôles proactifs, sélectionnez un ou plusieurs contrôles proactifs à utiliser.

Ces contrôles s'appliquent automatiquement chaque fois que des ressources spécifiées sont créées ou mises à jour. Votre sélection détermine les types de ressources que le Hook évaluera.

Choisissez Suivant.

Pour le nom du crochet, choisissez l'une des options suivantes :

Pour le mode Hook, choisissez la façon dont le Hook répond lorsque les contrôles échouent à leur évaluation :

Choisissez Suivant.

(Facultatif) Pour les filtres Hook, procédez comme suit :

1. Pour les critères de filtrage, choisissez la logique d'application des filtres de nom de pile et de rôle de pile :

   • Tous les noms de pile et tous les rôles de pile — Le Hook ne sera invoqué que lorsque tous les filtres spécifiés correspondent.

   • Tous les noms de pile et rôles de pile — Le Hook sera invoqué si au moins l'un des filtres spécifiés correspond.

2. Pour les noms de pile, incluez ou excluez des piles spécifiques des invocations Hook.

   • Pour Inclure, spécifiez les noms des piles à inclure. Utilisez-le lorsque vous souhaitez cibler un petit ensemble de piles spécifiques. Seules les piles spécifiées dans cette liste invoqueront le Hook.

   • Pour Exclure, spécifiez les noms des piles à exclure. Utilisez-le lorsque vous souhaitez invoquer le Hook sur la plupart des piles, mais en exclure quelques unes en particulier. Toutes les piles, à l'exception de celles répertoriées ici, invoqueront le Hook.

3. Pour les rôles Stack, incluez ou excluez des piles spécifiques des invocations Hook en fonction de leurs rôles IAM associés.

   • Pour Inclure, spécifiez un ou plusieurs rôles IAM ARNs pour cibler les piles associées à ces rôles. Seules les opérations de stack initiées par ces rôles invoqueront le Hook.

   • Pour Exclure, spécifiez un ou plusieurs rôles IAM ARNs pour les piles que vous souhaitez exclure. Le Hook sera invoqué sur toutes les piles sauf celles initiées par les rôles spécifiés.

Choisissez Suivant.

Sur la page Vérifier et activer, passez en revue vos choix. Pour apporter des modifications, choisissez Modifier dans la section correspondante.

Lorsque vous êtes prêt à continuer, choisissez Activate Hook.

Pour commencer à activer un Hook, utilisez la activate-typecommande suivante en remplaçant les espaces réservés par vos valeurs spécifiques.

aws cloudformation activate-type --type HOOK \
  --type-name AWS::ControlTower::Hook  \
  --publisher-id aws-hooks \
  --type-name-alias MyOrg::Security::ComplianceHook \
  --region us-west-2

Pour terminer l'activation du Hook, vous devez le configurer à l'aide d'un fichier de configuration JSON.

Utilisez la cat commande pour créer un fichier JSON avec la structure suivante. Pour de plus amples informations, veuillez consulter Référence syntaxique du schéma de configuration Hook.

L'exemple suivant configure un Hook qui invoque des ressources IAM, Amazon et Amazon EC2 S3 spécifiques pendant et pendant CREATE les opérations. UPDATE Il applique trois contrôles proactifs (CT.IAM.PR.5,CT.EC2.PR.17,CT.S3.PR.12) pour valider ces ressources par rapport aux normes de conformité. Le hook fonctionne en WARN mode, ce qui signifie qu'il signalera les ressources non conformes par des avertissements mais ne bloquera pas les déploiements.

$ cat > config.json
{
  "CloudFormationConfiguration": {
    "HookConfiguration": {
      "HookInvocationStatus": "ENABLED",
      "TargetOperations": ["RESOURCE"],
      "FailureMode": "WARN",
      "Properties": {
        "ControlsToApply": "CT.IAM.PR.5,CT.EC2.PR.17,CT.S3.PR.12"
      },
      "TargetFilters": {
        "Actions": [
          "CREATE",
          "UPDATE"
        ]
      }
    }
  }
}

Utilisez la set-type-configurationcommande suivante, ainsi que le fichier JSON que vous avez créé, pour appliquer la configuration. Remplacez les espaces réservés par vos valeurs spécifiques.

aws cloudformation set-type-configuration \
  --configuration file://config.json \
  --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyOrg-Security-ComplianceHook" \
  --region us-west-2