AWS Config 규칙을 사용하여 리소스 평가

리소스 기록과 관련된 비용에 대한 자세한 내용은 AWS Config 요금을 참조하세요.

권장 사항: 규칙을 삭제하기 전에 AWS::Config::ResourceCompliance 리소스 유형을 기록에서 제외하는 것이 좋습니다.

규칙을 삭제하면 구성 레코더 비용에 영향을 미칠 수 AWS::Config::ResourceCompliance 있는에 대한 구성 항목(CIs)이 생성됩니다. 많은 수의 리소스 유형을 평가하는 규칙을 삭제하는 경우 기록된 CI의 수가 급증할 수 있습니다.

관련 비용을 방지하려면 규칙을 삭제하기 전에 AWS::Config::ResourceCompliance 리소스 유형에 대한 기록을 비활성화하고 규칙이 삭제된 후 기록을 다시 활성화하도록 선택할 수 있습니다.

그러나 규칙 삭제는 비동기 프로세스이므로 완료하는 데 1시간 이상 걸릴 수 있습니다. 에 대한 레코딩이 비활성화된 시간 동안에는 AWS::Config::ResourceCompliance규칙 평가가 연결된 리소스의 기록에 기록되지 않습니다.

AWS Config 에서는 규칙 삭제를 진행하기 전에 이러한 요소를 case-by-case 평가할 것을 권장합니다.

권장 사항: 사용자 지정 lambda 규칙에 대해 삭제된 리소스 평가를 처리하는 로직 추가

AWS Config 사용자 지정 Lambda 규칙을 생성할 때는 삭제된 리소스의 평가를 처리하는 로직을 추가하는 것이 좋습니다.

평가 결과가 NOT_APPLICABLE로 표시되면 해당 리소스가 삭제로 표시되고 정리됩니다. NOT_APPLICABLE로 표시되지 않을 경우 규칙이 삭제될 때까지 평가 결과는 변경되지 않으며, 이로 인해 규칙 삭제 시 AWS::Config::ResourceCompliance에 대한 구성 항목(CI) 생성이 예기치 않게 급증할 수 있습니다.

삭제된 리소스에 대해 반환하도록 AWS Config 사용자 지정 Lambda 규칙을 설정하는 방법에 NOT_APPLICABLE 대한 자세한 내용은 사용자 AWS Config 지정 Lambda 규칙을 사용하여 삭제된 리소스 관리를 참조하세요.

권장 사항: 사용자 지정 lambda 규칙의 범위 내 리소스 제공

AWS Config 규칙의 범위가 하나 이상의 리소스 유형으로 지정되지 않은 경우 사용자 지정 Lambda 규칙으로 인해 Lambda 함수 호출이 많이 발생할 수 있습니다. 계정과 관련된 활동이 증가하지 않도록 사용자 지정 Lambda 규칙 범위에 속하는 리소스를 제공하는 것이 권장됩니다. 리소스 유형을 선택하지 않은 경우 규칙은 계정의 모든 리소스에 대해 Lambda 함수를 간접 호출합니다.

관리형 규칙의 기본값

관리형 규칙에 지정된 기본값은 AWS 콘솔을 사용할 때만 미리 채워집니다. API, CLI 또는 SDK에는 기본값이 제공되지 않습니다.

구성 항목 레코딩 지연

AWS Config 는 일반적으로 변경 사항이 감지된 직후 또는 지정한 빈도로 리소스에 대한 구성 변경 사항을 기록합니다. 그러나 이는 가장 이상적인 시나리오이며 경우에 따라 더 오래 걸릴 수 있습니다. 예를 들어 지연이 알려진 리소스 유형은 입니다AWS::SecretsManager::Secret. 이 리소스 유형은 예제이며이 목록은 포괄적이지 않습니다.

정책 및 규정 준수 결과

에서 관리되는 IAM 정책 및 기타 정책은 AWS Config 에 리소스에 대한 구성 변경을 기록할 권한이 있는지 여부에 영향을 미칠 수 있습니다. AWS Organizations 또한 규칙은 리소스의 구성을 직접 평가하며, 규칙은 평가를 실행할 때 이러한 정책을 고려하지 않습니다. 적용 중인 정책이 사용 의도와 일치하는지 확인합니다 AWS Config.

리소스 유형에 대한 태그 지정 지원

리소스 유형이 태그 지정을 지원하지 않거나 API 응답 설명에 태그 정보를 포함하지 않는 경우 AWS Config 는 해당 리소스 유형의 구성 항목(CIs)에 태그 데이터를 캡처하지 않습니다. AWS Config 는 여전히 이러한 리소스를 기록합니다. 그러나 태그 데이터에 의존하는 기능은 작동하지 않습니다. 이는 태그 데이터에 의존하는 태그 기반 필터링, 그룹화 또는 규정 준수 평가에 영향을 미칩니다.

디렉터리 버킷이 지원되지 않음

관리형 규칙은 Amazon Simple Storage Service(Amazon S3) 리소스를 평가할 때 범용 버킷만 지원합니다. 범용 버킷과 디렉터리 버킷에 대한 자세한 내용은 Amazon S3 사용 설명서의 버킷 개요 및 디렉터리 버킷을 참조하세요.

관리형 규칙 및 글로벌 IAM 리소스 유형

2022년 2월 이전에 온보딩된 글로벌 IAM 리소스 유형(AWS::IAM::Group, AWS::IAM::Role, 및 AWS::IAM::User)은 AWS::IAM::Policy가 2022년 2월 이전에 사용 가능한 AWS 리전에서만 AWS Config 에 의해 기록될 수 AWS Config 있습니다. 이러한 리소스 유형은 2022년 2월 AWS Config 이후에서 지원하는 리전에서는 기록할 수 없습니다. 해당 리전 목록은 AWS 리소스 기록 | 글로벌 리소스를 참조하세요.

주기적 규칙을 추가했던 리전에서 글로벌 IAM 리소스 유형의 기록을 활성화하지 않았더라도, 최소 하나 이상의 리전에서 글로벌 IAM 리소스 유형을 기록하는 경우, 글로벌 IAM 리소스 유형에 대한 규정 준수를 보고하는 주기적 규칙은 주기적 규칙이 추가된 모든 리전에서 평가를 실행합니다.

불필요한 평가를 방지하려면 지원되는 리전 중 하나에만 글로벌 IAM 리소스 유형에 대해 규정 준수를 보고하는 주기적 규칙을 배포해야 합니다. 리전에서 지원되는 관리형 규칙 목록은 리전 가용성별 AWS Config 관리형 규칙 목록을 참조하세요.