Mengevaluasi Sumber Daya dengan AWS Config Aturan

Untuk detail tentang biaya yang terkait dengan pencatatan sumber daya, lihat AWS Config harga.

Rekomendasi: Pertimbangkan untuk mengecu AWS::Config::ResourceCompliance alikan jenis sumber daya dari rekaman sebelum menghapus aturan

Menghapus aturan membuat item konfigurasi (CI) untuk AWS::Config::ResourceCompliance itu dapat memengaruhi biaya Anda untuk perekam konfigurasi. Jika Anda menghapus aturan yang mengevaluasi sejumlah besar jenis sumber daya, ini dapat menyebabkan lonjakan jumlah CI yang direkam.

Untuk menghindari biaya terkait, Anda dapat memilih untuk menonaktifkan perekaman untuk jenis AWS::Config::ResourceCompliance sumber daya sebelum menghapus aturan, dan mengaktifkan kembali perekaman setelah aturan dihapus.

Namun, karena menghapus aturan adalah proses asinkron, mungkin diperlukan waktu satu jam atau lebih untuk menyelesaikannya. Selama perekaman dinonaktifkanAWS::Config::ResourceCompliance, evaluasi aturan tidak akan dicatat dalam riwayat sumber daya terkait.

AWS Config menyarankan agar Anda menimbang faktor-faktor ini berdasarkan kasus per kasus sebelum memutuskan bagaimana melanjutkan penghapusan aturan.

Rekomendasi: Tambahkan logika untuk menangani evaluasi sumber daya yang dihapus untuk aturan lambda khusus

Saat membuat aturan lambda AWS Config kustom, sangat disarankan agar Anda menambahkan logika untuk menangani evaluasi sumber daya yang dihapus.

Ketika hasil evaluasi ditandai sebagaiNOT_APPLICABLE, mereka akan ditandai untuk dihapus dan dibersihkan. Jika TIDAK ditandai sebagaiNOT_APPLICABLE, hasil evaluasi akan tetap tidak berubah sampai aturan dihapus, yang dapat menyebabkan lonjakan tak terduga dalam pembuatan CI untuk AWS::Config::ResourceCompliance penghapusan aturan.

Untuk informasi tentang cara mengatur aturan lambda AWS Config kustom untuk dikembalikan NOT_APPLICABLE untuk sumber daya yang dihapus, lihat M engelola sumber daya yang dihapus dengan aturan lambda AWS Config khusus.

Rekomendasi: Berikan sumber daya dalam ruang lingkup untuk aturan lambda khusus

AWS Config Aturan Lambda Kustom dapat menyebabkan sejumlah besar pemanggilan fungsi Lambda jika aturan tidak dicakup ke satu atau lebih jenis sumber daya. Untuk menghindari peningkatan aktivitas yang terkait dengan akun Anda, sangat disarankan untuk menyediakan sumber daya dalam cakupan aturan Lambda Kustom Anda. Jika tidak ada jenis sumber daya yang dipilih, aturan akan memanggil fungsi Lambda untuk semua sumber daya di akun.

Nilai Defaut untuk Aturan Terkelola

Nilai default yang ditentukan untuk aturan terkelola hanya terisi sebelumnya saat menggunakan AWS konsol. Nilai default tidak disediakan untuk API, CLI, atau SDK.

Penundaan Perekaman Item Konfigurasi

AWS Config biasanya merekam perubahan konfigurasi ke sumber daya Anda segera setelah perubahan terdeteksi, atau pada frekuensi yang Anda tentukan. Namun, ini berdasarkan upaya terbaik dan kadang-kadang bisa memakan waktu lebih lama. Misalnya, jenis sumber daya dengan penundaan yang diketahui adalahAWS::SecretsManager::Secret. Jenis sumber daya ini adalah contoh, dan daftar ini tidak lengkap.

Kebijakan dan hasil kepatuhan

Kebijakan IAM dan kebijakan lain yang dikelola AWS Organizations dapat memengaruhi apakah AWS Config memiliki izin untuk merekam perubahan konfigurasi untuk sumber daya Anda. Selain itu, aturan secara langsung mengevaluasi konfigurasi sumber daya dan aturan tidak memperhitungkan kebijakan ini saat menjalankan evaluasi. Pastikan bahwa kebijakan yang berlaku selaras dengan cara Anda ingin menggunakannya AWS Config.

Dukungan penandaan untuk jenis sumber daya

Jika jenis sumber daya tidak mendukung penandaan atau tidak menyertakan informasi tag dalam respon API deskripsinya AWS Config , tidak akan menangkap data tag di item konfigurasi (CI) untuk jenis sumber daya tersebut. AWS Config akan tetap mencatat sumber daya ini. Namun, fungsi apa pun yang bergantung pada data tag tidak akan berfungsi. Hal ini memengaruhi penyaringan berbasis tag, pengelompokan, atau evaluasi kepatuhan yang bergantung pada data tag.

Bucket Direktori Tidak Didukung

Aturan terkelola hanya mendukung bucket tujuan umum saat mengevaluasi sumber daya Amazon Simple Storage Service (Amazon S3). Untuk informasi selengkapnya tentang bucket tujuan umum dan bucket direktori, lihat ikh tisar Bucket dan Bucket Direktori di Panduan Pengguna Amazon S3.

Aturan Terkelola dan Jenis Sumber Daya IAM Global

Jenis sumber daya IAM global yang terpasang sebelum Februari 2022 (AWS::IAM::Group,, AWS::IAM::PolicyAWS::IAM::Role, danAWS::IAM::User) hanya dapat direkam oleh AWS Config di Wil AWS ayah yang tersedia sebelum Februari 2022. AWS Config Jenis sumber daya ini tidak dapat direkam di Wilayah yang didukung AWS Config setelah Februari 2022. Untuk daftar Wilayah tersebut, lihat Sumber AWS Daya Rekaman | Sumber Daya Global.

Jika Anda merekam jenis sumber daya IAM global di setidaknya satu Wilayah, aturan berkala yang melaporkan kepatuhan pada jenis sumber daya IAM global akan menjalankan evaluasi di semua Wilayah tempat aturan periodik ditambahkan, bahkan jika Anda belum mengaktifkan perekaman jenis sumber daya IAM global di Wilayah tempat aturan periodik ditambahkan.

Untuk menghindari evaluasi yang tidak perlu, Anda hanya harus menerapkan aturan berkala yang melaporkan kepatuhan pada jenis sumber daya IAM global ke salah satu Wilayah yang didukung. Untuk daftar aturan terkelola yang didukung di Wilayah mana, lihat Daftar Aturan Terkel AWS Config ola berdasarkan Ketersediaan Wilayah.