Activate a Guard Hook in your account

にサインイン AWS Management Console し、https://console.aws.amazon.com/cloudformation で AWS CloudFormation コンソールを開きます。

画面上部のナビゲーションバーで、フックを作成する AWS リージョン を選択します。

左側のナビゲーションペインで、フックを選択します。

フックページで、フックの作成を選択し、ガード付きを選択します。

Guard ルールをまだ作成していない場合は、Guard ルールを作成して Amazon S3 に保存し、この手順に戻ります。開始ガードフックのリソースを評価するための書き込みガードルールするには、「」のルール例を参照してください。

Guard ルールを既に作成して S3 に保存している場合は、次のステップに進みます。

Guard Hook ソースの場合は、S3 に Guard ルールを保存します。以下を実行します。

(オプション) Guard 出力レポートの S3 バケットには、Guard 出力レポートを保存する S3 バケットを指定します。このレポートには、ガードルールの検証の結果が含まれています。

出力レポートの送信先を設定するには、次のいずれかのオプションを選択します。

(オプション) ガードルール入力パラメータを展開し、S3 にガードルール入力パラメータを保存する の下に次の情報を入力します。

[次へ] を選択します。

フック名で、次のいずれかのオプションを選択します。

フックターゲットで、評価対象を選択します。

アクション で、フックを呼び出すアクション (作成、更新、削除) を選択します。

フックモードでは、ルールが評価に失敗したときにフックがどのように応答するかを選択します。

実行ロール で、CloudFormation フックが S3 から Guard ルールを取得するために引き受ける IAM ロールを選択し、オプションで詳細な Guard 出力レポートを書き戻します。CloudFormation が実行ロールを自動的に作成できるようにするか、作成したロールを指定できます。

[次へ] を選択します。

(オプション) フックフィルターの場合は、次の操作を行います。

1. リソースフィルターで、フックを呼び出すことができるリソースタイプを指定します。これにより、フックは関連するリソースに対してのみ呼び出されます。

2. フィルタリング条件 で、スタック名とスタックロールフィルターを適用するロジックを選択します。

   • すべてのスタック名とスタックロール – フックは、指定されたすべてのフィルターが一致する場合にのみ呼び出されます。

   • スタック名とスタックロール – 指定されたフィルターの少なくとも 1 つが一致すると、フックが呼び出されます。

   注記

   Cloud Control API オペレーションでは、すべてのスタック名とスタックロールフィルターは無視されます。

3. スタック名には、フック呼び出しに特定のスタックを含めるか除外します。

   • 含める には、含めるスタック名を指定します。これは、ターゲットにする特定のスタックの小さなセットがある場合に使用します。このリストで指定されたスタックのみがフックを呼び出します。

   • Exclude には、除外するスタック名を指定します。これは、ほとんどのスタックでフックを呼び出すが、いくつかの特定のスタックを除外する場合に使用します。ここにリストされているスタックを除くすべてのスタックは、 フックを呼び出します。

4. スタックロールの場合、関連する IAM ロールに基づいてフック呼び出しに特定のスタックを含めるか除外します。

   • Include には、これらのロールに関連付けられたスタックをターゲットにする 1 つ以上の IAM ロール ARNs を指定します。これらのロールによって開始されたスタックオペレーションのみがフックを呼び出します。

   • Exclude には、除外するスタックの 1 つ以上の IAM ロール ARNs を指定します。フックは、指定されたロールによって開始されたスタックを除くすべてのスタックで呼び出されます。

[次へ] を選択します。

レビューとアクティブ化ページで、選択内容を確認します。変更するには、関連セクションで [編集] をクリックします。

続行する準備ができたら、Activate Hook を選択します。

フックのアクティブ化を開始するには、次のactivate-typeコマンドを使用して、プレースホルダーを特定の値に置き換えます。このコマンドは、フックが から指定された実行ロールを使用することを許可します AWS アカウント。

aws cloudformation activate-type --type HOOK \
  --type-name AWS::Hooks::GuardHook \
  --publisher-id aws-hooks \
  --type-name-alias Private::Guard::MyTestHook \
  --execution-role-arn arn:aws:iam::123456789012:role/my-execution-role \
  --region us-west-2

フックのアクティブ化を完了するには、JSON 設定ファイルを使用してフックを設定する必要があります。

cat コマンドを使用して、次の構造で JSON ファイルを作成します。詳細については、「フック設定スキーマ構文リファレンス」を参照してください。

$ cat > config.json
{
  "CloudFormationConfiguration": {
    "HookConfiguration": {
      "HookInvocationStatus": "ENABLED",
      "TargetOperations": [
        "STACK",
        "RESOURCE",
        "CHANGE_SET"
      ],
      "FailureMode": "WARN",
      "Properties": {
        "ruleLocation": "s3://amzn-s3-demo-bucket/MyGuardRules.guard",
        "logBucket": "amzn-s3-demo-logging-bucket"
      },
      "TargetFilters": {
        "Actions": [
          "CREATE",
          "UPDATE",
          "DELETE"
        ]
      }
    }
  }
}

次のset-type-configurationコマンドと作成した JSON ファイルを使用して、設定を適用します。プレースホルダーを特定の値に置き換えます。

aws cloudformation set-type-configuration \
  --configuration file://config.json \
  --type-arn "arn:aws:cloudformation:us-west-2:123456789012:type/hook/MyTestHook" \
  --region us-west-2