Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Conformité des configurations dans Accelerate

AMS Accelerate vous aide à configurer vos ressources selon des normes élevées en matière de sécurité et d'intégrité opérationnelle, et à respecter les normes sectorielles suivantes :

Pour ce faire, nous déployons l'ensemble de nos AWS Config règles de conformité définies sur votre compte, voirBibliothèque de règles de configuration AMS. Une AWS Config règle représente les configurations souhaitées pour une ressource et est évaluée par rapport aux modifications de configuration apportées aux paramètres de vos AWS ressources. Toute modification de configuration déclenche un grand nombre de règles pour tester la conformité. Supposons, par exemple, que vous créiez un compartiment Amazon S3 et que vous le configuriez pour qu'il soit lisible par le public, en violation des normes NIST. La bucket-public-read-prohibited règle des ams-nist-cis-s 3 détecte la violation et indique que votre compartiment S3 n'est pas conforme dans votre rapport de configuration. Comme cette règle appartient à la catégorie de correction automatique des incidents, elle crée immédiatement un rapport d'incident vous alertant du problème. D'autres violations de règles plus graves peuvent amener AMS à résoudre automatiquement le problème. Consultez Réponses aux violations dans Accelerate.

Bibliothèque de règles de configuration AMS

Accelerate déploie une bibliothèque de règles de configuration AMS pour protéger votre compte. Ces règles de configuration commencent params-. Vous pouvez consulter les règles de votre compte et leur état de conformité à partir de la AWS Config console, de la AWS CLI ou de l' AWS Config API. Pour des informations générales sur l'utilisation AWS Config, consultez la section ViewingConfiguration Conformité.

Tableau des règles

Téléchargez sous le nom ams_config_rules.zip.

Réponses aux violations dans Accelerate

Toutes les violations des règles de configuration apparaissent dans votre rapport de configuration. Il s'agit d'une réponse universelle. En fonction de la catégorie de correction (gravité) de la règle, AMS peut prendre des mesures supplémentaires, résumées dans le tableau suivant. Pour plus d'informations sur la personnalisation du code d'action pour certaines règles, consultezConstatations et réponses personnalisées.

Mesures correctives

Demande d'aide supplémentaire

AMS Accelerate dispose d'une bibliothèque de documents AWS Systems Manager d'automatisation et de runbooks pour aider à remédier aux ressources non conformes.

Ajouter au rapport de configuration

AMS génère un rapport de configuration qui suit l'état de conformité de toutes les règles et ressources de votre compte. Vous pouvez demander le rapport à votre CSDM. Vous pouvez également vérifier l'état de conformité à partir de la console AWS Config, de la AWS CLI ou de l'API AWS Config. Votre rapport de configuration inclut :

Lorsqu'une ressource passe dans un état non conforme, le statut de la ressource (et le statut de la règle) devient Non conforme dans votre rapport de configuration. Si la règle appartient à la catégorie de correction Config Report Only, AMS n'entreprend aucune autre action par défaut. Vous pouvez toujours créer une demande de service pour demander une aide supplémentaire ou des mesures correctives à AMS.

Pour plus de détails, consultez AWS Config Reporting.

Rapport d'incident automatique dans Accelerate

En cas de violation des règles modérément grave, AMS crée automatiquement un rapport d'incident pour vous informer qu'une ressource est devenue non conforme et vous demande quelles actions vous souhaitez effectuer. Les options suivantes s'offrent à vous lorsque vous répondez à un incident :

Correction automatique dans Accelerate

Les règles les plus critiques appartiennent à la catégorie Auto Remediate. Le non-respect de ces règles peut avoir un impact important sur la sécurité et la disponibilité de vos comptes. Lorsqu'une ressource enfreint l'une de ces règles :

Création d'exceptions aux règles dans Accelerate

La fonctionnalité d'exception de AWS Config Rules ressource vous permet de supprimer le signalement de ressources spécifiques non conformes à des règles spécifiques.

Si vous savez que certaines de vos ressources ne sont pas conformes, vous pouvez supprimer une ressource spécifique pour une règle de configuration spécifique dans leurs rapports de configuration. Pour cela :

Soumettez une demande de service à Accelerate pour votre compte, avec une liste des règles de configuration et des ressources à exempter du rapport. Vous devez fournir une justification commerciale explicite (par exemple, vous n'avez pas besoin de le signaler resource_name_1 et vous n'resource_name_2êtes pas sauvegardé car nous ne voulons pas qu'ils soient sauvegardés). Pour obtenir de l'aide pour soumettre une demande de service Accelerate, consultezCréation d'une demande de service dans Accelerate.

Collez dans la demande les entrées suivantes (pour chaque ressource, ajoutez un bloc séparé avec tous les champs obligatoires, comme indiqué), puis soumettez :

[
    {
        "resource_name": "resource_name_1",
        "config_rule_name": "config_rule_name_1",
        "business_justification": "REASON_TO_EXEMPT_RESOURCE",
        "resource_type": "resource_type"
    },
    {
        "resource_name": "resource_name_2",
        "config_rule_name": "config_rule_name_2",
        "business_justification": "REASON_TO_EXEMPT_RESOURCE",
        "resource_type": "resource_type"
    }
]

Réduisez AWS Config les coûts dans Accelerate

Vous pouvez réduire les coûts d'AWS Config en utilisant l'option permettant d'enregistrer régulièrement le type de AWS::EC2::Instance ressource. L'enregistrement périodique enregistre les derniers changements de configuration de vos ressources une fois toutes les 24 heures, réduisant ainsi le nombre de modifications apportées. Lorsque cette option est activée, elle enregistre AWS Config uniquement la dernière configuration d'une ressource à la fin d'une période de 24 heures. Cela vous permet d'adapter les données de configuration à des cas d'utilisation spécifiques en matière de planification opérationnelle, de conformité et d'audit qui ne nécessitent pas de surveillance continue. Cette modification n'est recommandée que si vos applications dépendent d'architectures éphémères, ce qui signifie que vous augmentez ou diminuez constamment le nombre d'instances.

Pour activer l'enregistrement périodique pour le type de AWS::EC2::Instance ressource, contactez votre équipe de livraison AMS.