Évaluer les ressources à l'aide de AWS Config règles

Pour plus de détails sur les coûts associés à l'enregistrement des ressources, voir la AWS Config tarification.

Recommandation : envisagez d'exclure le type de AWS::Config::ResourceCompliance ressource de l'enregistrement avant de supprimer les règles

La suppression de règles crée des éléments de configuration (CIs) AWS::Config::ResourceCompliance qui peuvent avoir une incidence sur le coût de l'enregistreur de configuration. Si vous supprimez des règles qui évaluent un grand nombre de types de ressources, cela peut entraîner une augmentation du nombre de ressources CIs enregistrées.

Pour éviter les coûts associés, vous pouvez choisir de désactiver l'enregistrement pour le type de AWS::Config::ResourceCompliance ressource avant de supprimer les règles, et de réactiver l'enregistrement une fois les règles supprimées.

Toutefois, étant donné que la suppression de règles est un processus asynchrone, cela peut prendre une heure ou plus. Pendant la période pendant laquelle l'enregistrement est désactivéAWS::Config::ResourceCompliance, les évaluations des règles ne seront pas enregistrées dans l'historique de la ressource associée.

AWS Config vous recommande de prendre en compte ces facteurs avant case-by-case de décider de la procédure à suivre pour supprimer des règles.

Recommandation : ajouter une logique pour gérer l'évaluation des ressources supprimées pour les règles lambda personnalisées

Lorsque vous créez AWS Config des règles lambda personnalisées, il est vivement recommandé d'ajouter une logique pour gérer l'évaluation des ressources supprimées.

Lorsque les résultats de l'évaluation sont marqués comme NOT_APPLICABLE, ils seront marqués pour suppression et nettoyés. S'ils ne sont PAS marqués comme telsNOT_APPLICABLE, les résultats de l'évaluation resteront inchangés jusqu'à ce que la règle soit supprimée, ce qui peut entraîner une augmentation inattendue de la création de CIs for AWS::Config::ResourceCompliance lors de la suppression de la règle.

Pour plus d'informations sur la façon de définir AWS Config des règles Lambda personnalisées NOT_APPLICABLE pour récupérer les ressources supprimées, voir Gestion des ressources supprimées avec des règles Lambda AWS Config personnalisées.

Recommandation : fournir les ressources nécessaires pour les règles Lambda personnalisées

AWS Config Les règles Lambda personnalisées peuvent entraîner un nombre élevé d'appels de fonctions Lambda si la règle n'est pas limitée à un ou plusieurs types de ressources. Pour éviter une augmentation de l'activité associée à votre compte, il est vivement recommandé de fournir des ressources correspondant à vos règles Lambda personnalisées. Si aucun type de ressource n'est sélectionné, la règle invoquera la fonction Lambda pour toutes les ressources du compte.

Valeurs par défaut pour les règles gérées

Les valeurs par défaut spécifiées pour les règles gérées sont préremplies uniquement lors de l'utilisation de la AWS console. Les valeurs par défaut ne sont pas fournies pour l'API, la CLI ou le kit SDK.

Délais d'enregistrement des éléments de configuration

AWS Config enregistre généralement les modifications de configuration de vos ressources juste après la détection d'une modification, ou à la fréquence que vous spécifiez. Cependant, cela se fait dans la mesure du possible et peut parfois prendre plus de temps. Par exemple, un type de ressource dont les délais sont connus estAWS::SecretsManager::Secret. Ce type de ressource est un exemple, et cette liste n'est pas exhaustive.

Politiques et résultats en matière de conformité

Les politiques IAM et les autres politiques gérées dans AWS Organizations peuvent avoir une incidence sur le AWS Config fait de disposer des autorisations nécessaires pour enregistrer les modifications de configuration de vos ressources. En outre, les règles évaluent directement la configuration d'une ressource et les règles ne tiennent pas compte de ces politiques lors de l'exécution des évaluations. Assurez-vous que les politiques en vigueur correspondent à la manière dont vous avez l'intention de les utiliser AWS Config.

Support de balisage pour les types de ressources

Si un type de ressource ne prend pas en charge le balisage ou n'inclut pas d'informations de balise dans sa réponse d'API de description, les données de balise AWS Config ne seront pas capturées dans les éléments de configuration (CIs) pour ce type de ressource. AWS Config enregistrera toujours ces ressources. Cependant, toute fonctionnalité qui repose sur les données des balises ne fonctionnera pas. Cela affecte le filtrage basé sur les balises, le regroupement ou l'évaluation de la conformité qui repose sur les données des balises.

Les compartiments de répertoire ne sont pas pris en charge

Les règles gérées ne prennent en charge que les compartiments à usage général lors de l'évaluation des ressources Amazon Simple Storage Service (Amazon S3). Pour plus d’informations sur les compartiments à usage général et les compartiments de répertoires, consultez Présentation des compartiments et Compartiments de répertoires dans le Guide de l’utilisateur Amazon S3.

Règles gérées et types de ressources IAM globaux

Les types de ressources IAM globaux intégrés avant février 2022 (AWS::IAM::Group, AWS::IAM::PolicyAWS::IAM::Role, etAWS::IAM::User) ne peuvent être enregistrés que AWS Config dans les AWS régions où ils AWS Config étaient disponibles avant février 2022. Ces types de ressources ne peuvent pas être enregistrés dans les régions prises en charge AWS Config après février 2022. Pour une liste de ces régions, voir AWS Ressources d'enregistrement | Ressources mondiales.

Si vous enregistrez un type de ressource IAM global dans au moins une région, les règles périodiques qui indiquent la conformité au type de ressource IAM global exécuteront des évaluations dans toutes les régions où la règle périodique est ajoutée, même si vous n'avez pas activé l'enregistrement du type de ressource IAM global dans la région où la règle périodique a été ajoutée.

Pour éviter des évaluations inutiles, vous devez uniquement déployer des règles périodiques qui signalent la conformité d'un type de ressource IAM global à l'une des régions prises en charge. Pour obtenir la liste des règles gérées prises en charge dans quelles régions, consultez la section Liste des règles AWS Config gérées par disponibilité des régions.