AWS Config exemplos usando AWS CLI

Para excluir uma regra de AWS Config

O comando a seguir exclui uma regra de AWS Config chamada: MyConfigRule

aws configservice delete-config-rule --config-rule-name MyConfigRule

Para excluir um canal de entrega

O comando a seguir exclui o canal de entrega padrão:

aws configservice delete-delivery-channel --delivery-channel-name default

Para excluir manualmente os resultados da avaliação

O comando a seguir exclui os resultados da avaliação atual da regra AWS gerenciada s3-: bucket-versioning-enabled

aws configservice delete-evaluation-results --config-rule-name s3-bucket-versioning-enabled

Para entregar um snapshot de configuração

O seguinte comando entrega um snapshot de configuração para o bucket do Amazon S3 que pertence ao canal de entrega padrão:

aws configservice deliver-config-snapshot --delivery-channel-name default

Saída:

{
    "configSnapshotId": "d0333b00-a683-44af-921e-examplefb794"
}

Para obter informações de conformidade para suas regras de AWS Config

O comando a seguir retorna informações de conformidade para cada regra AWS do Config violada por um ou mais recursos: AWS

aws configservice describe-compliance-by-config-rule --compliance-types NON_COMPLIANT

Na saída, o valor de cada atributo CappedCount indica quantos recursos não estão em conformidade com a regra relacionada. Por exemplo, a saída a seguir indica que três recursos não estão em conformidade com a regra chamada InstanceTypesAreT2micro.

Saída:

{
    "ComplianceByConfigRules": [
        {
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 3,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            },
            "ConfigRuleName": "InstanceTypesAreT2micro"
        },
        {
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 10,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            },
            "ConfigRuleName": "RequiredTagsForVolumes"
        }
    ]
}

Para obter informações de conformidade para seus AWS recursos

O comando a seguir retorna informações de conformidade para cada EC2 instância registrada pelo AWS Config e que viola uma ou mais regras:

aws configservice describe-compliance-by-resource --resource-type AWS::EC2::Instance --compliance-types NON_COMPLIANT

Na saída, o valor de cada atributo CappedCount indica quantas regras o recurso viola. Por exemplo, a saída a seguir indica que a instância i-1a2b3c4d viola duas regras.

Saída:

{
    "ComplianceByResources": [
        {
            "ResourceType": "AWS::EC2::Instance",
            "ResourceId": "i-1a2b3c4d",
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 2,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            }
        },
        {
            "ResourceType": "AWS::EC2::Instance",
            "ResourceId": "i-2a2b3c4d ",
            "Compliance": {
                "ComplianceContributorCount": {
                    "CappedCount": 3,
                    "CapExceeded": false
                },
                "ComplianceType": "NON_COMPLIANT"
            }
        }
    ]
}

Para obter informações de status de uma regra AWS Config

O comando a seguir retorna as informações de status de uma regra AWS Config chamada: MyConfigRule

aws configservice describe-config-rule-evaluation-status --config-rule-names MyConfigRule

Saída:

{
    "ConfigRulesEvaluationStatus": [
        {
            "ConfigRuleArn": "arn:aws:config:us-east-1:123456789012:config-rule/config-rule-abcdef",
            "FirstActivatedTime": 1450311703.844,
            "ConfigRuleId": "config-rule-abcdef",
            "LastSuccessfulInvocationTime": 1450314643.156,
            "ConfigRuleName": "MyConfigRule"
        }
    ]
}

Para obter detalhes de uma regra de AWS Config

O comando a seguir retorna detalhes de uma regra de AWS Config chamada: InstanceTypesAreT2micro

aws configservice describe-config-rules --config-rule-names InstanceTypesAreT2micro

Saída:

{
    "ConfigRules": [
        {
            "ConfigRuleState": "ACTIVE",
            "Description": "Evaluates whether EC2 instances are the t2.micro type.",
            "ConfigRuleName": "InstanceTypesAreT2micro",
            "ConfigRuleArn": "arn:aws:config:us-east-1:123456789012:config-rule/config-rule-abcdef",
            "Source": {
                "Owner": "CUSTOM_LAMBDA",
                "SourceIdentifier": "arn:aws:lambda:us-east-1:123456789012:function:InstanceTypeCheck",
                "SourceDetails": [
                    {
                        "EventSource": "aws.config",
                        "MessageType": "ConfigurationItemChangeNotification"
                    }
                ]
            },
            "InputParameters": "{\"desiredInstanceType\":\"t2.micro\"}",
            "Scope": {
                "ComplianceResourceTypes": [
                    "AWS::EC2::Instance"
                ]
            },
            "ConfigRuleId": "config-rule-abcdef"
        }
    ]
}

Para obter informações de status do gravador de configuração

O seguinte comando retorna o status do gravador de configuração padrão:

aws configservice describe-configuration-recorder-status

Saída:

{
    "ConfigurationRecordersStatus": [
        {
            "name": "default",
            "lastStatus": "SUCCESS",
            "recording": true,
            "lastStatusChangeTime": 1452193834.344,
            "lastStartTime": 1441039997.819,
            "lastStopTime": 1441039992.835
        }
    ]
}

Para obter detalhes sobre o gravador de configuração

O seguinte comando retorna detalhes sobre o gravador de configuração padrão:

aws configservice describe-configuration-recorders

Saída:

{
    "ConfigurationRecorders": [
        {
            "recordingGroup": {
                "allSupported": true,
                "resourceTypes": [],
                "includeGlobalResourceTypes": true
            },
            "roleARN": "arn:aws:iam::123456789012:role/config-ConfigRole-A1B2C3D4E5F6",
            "name": "default"
        }
    ]
}

Para obter informações de status do canal de entrega

O seguinte comando retornará o status do canal de entrega:

aws configservice describe-delivery-channel-status

Saída:

{
    "DeliveryChannelsStatus": [
        {
            "configStreamDeliveryInfo": {
                "lastStatusChangeTime": 1452193834.381,
                "lastStatus": "SUCCESS"
            },
            "configHistoryDeliveryInfo": {
                "lastSuccessfulTime": 1450317838.412,
                "lastStatus": "SUCCESS",
                "lastAttemptTime": 1450317838.412
            },
            "configSnapshotDeliveryInfo": {
                "lastSuccessfulTime": 1452185597.094,
                "lastStatus": "SUCCESS",
                "lastAttemptTime": 1452185597.094
            },
            "name": "default"
        }
    ]
}

Para obter detalhes sobre o canal de entrega

O seguinte comando retorna detalhes sobre o canal de entrega:

aws configservice describe-delivery-channels

Saída:

{
    "DeliveryChannels": [
        {
            "snsTopicARN": "arn:aws:sns:us-east-1:123456789012:config-topic",
            "name": "default",
            "s3BucketName": "config-bucket-123456789012"
        }
    ]
}

Para obter os resultados da avaliação de uma regra AWS Config

O comando a seguir retorna os resultados da avaliação de todos os recursos que não estão em conformidade com uma regra de AWS Config chamada: InstanceTypesAreT2micro

aws configservice get-compliance-details-by-config-rule --config-rule-name InstanceTypesAreT2micro --compliance-types NON_COMPLIANT

Saída:

{
    "EvaluationResults": [
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-1a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314645.261,
            "ConfigRuleInvokedTime": 1450314642.948,
            "ComplianceType": "NON_COMPLIANT"
        },
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-2a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314645.18,
            "ConfigRuleInvokedTime": 1450314642.902,
            "ComplianceType": "NON_COMPLIANT"
        },
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-3a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314643.346,
            "ConfigRuleInvokedTime": 1450314643.124,
            "ComplianceType": "NON_COMPLIANT"
        }
    ]
}

Para obter os resultados da avaliação de um AWS recurso

O comando a seguir retorna os resultados da avaliação de cada regra com a qual a EC2 instância i-1a2b3c4d não está em conformidade:

aws configservice get-compliance-details-by-resource --resource-type AWS::EC2::Instance --resource-id i-1a2b3c4d --compliance-types NON_COMPLIANT

Saída:

{
    "EvaluationResults": [
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-1a2b3c4d",
                    "ConfigRuleName": "InstanceTypesAreT2micro"
                }
            },
            "ResultRecordedTime": 1450314643.288,
            "ConfigRuleInvokedTime": 1450314643.034,
            "ComplianceType": "NON_COMPLIANT"
        },
        {
            "EvaluationResultIdentifier": {
                "OrderingTimestamp": 1450314635.065,
                "EvaluationResultQualifier": {
                    "ResourceType": "AWS::EC2::Instance",
                    "ResourceId": "i-1a2b3c4d",
                    "ConfigRuleName": "RequiredTagForEC2Instances"
                }
            },
            "ResultRecordedTime": 1450314645.261,
            "ConfigRuleInvokedTime": 1450314642.948,
            "ComplianceType": "NON_COMPLIANT"
        }
    ]
}

Para obter o resumo de conformidade de suas regras de AWS Config

O seguinte comando retorna o número de regras que estão em conformidade e o número das que não estão:

aws configservice get-compliance-summary-by-config-rule

Na saída, o valor de cada atributo CappedCount indica quantas regras estão em conformidade ou não.

Saída:

{
    "ComplianceSummary": {
        "NonCompliantResourceCount": {
            "CappedCount": 3,
            "CapExceeded": false
        },
        "ComplianceSummaryTimestamp": 1452204131.493,
        "CompliantResourceCount": {
            "CappedCount": 2,
            "CapExceeded": false
        }
    }
}

Para obter o resumo de conformidade para todos os tipos de recursos

O comando a seguir retorna o número de AWS recursos que não estão em conformidade e o número que estão em conformidade:

aws configservice get-compliance-summary-by-resource-type

Na saída, o valor de cada atributo CappedCount indica quantos recursos estão em conformidade ou não.

Saída:

{
    "ComplianceSummariesByResourceType": [
        {
            "ComplianceSummary": {
                "NonCompliantResourceCount": {
                    "CappedCount": 16,
                    "CapExceeded": false
                },
                "ComplianceSummaryTimestamp": 1453237464.543,
                "CompliantResourceCount": {
                    "CappedCount": 10,
                    "CapExceeded": false
                }
            }
        }
    ]
}

Para obter o resumo de conformidade para um tipo específico de recurso

O comando a seguir retorna o número de EC2 instâncias que não estão em conformidade e o número que estão em conformidade:

aws configservice get-compliance-summary-by-resource-type --resource-types AWS::EC2::Instance

Na saída, o valor de cada atributo CappedCount indica quantos recursos estão em conformidade ou não.

Saída:

{
    "ComplianceSummariesByResourceType": [
        {
            "ResourceType": "AWS::EC2::Instance",
            "ComplianceSummary": {
                "NonCompliantResourceCount": {
                    "CappedCount": 3,
                    "CapExceeded": false
                },
                "ComplianceSummaryTimestamp": 1452204923.518,
                "CompliantResourceCount": {
                    "CappedCount": 7,
                    "CapExceeded": false
                }
            }
        }
    ]
}

Para obter o histórico de configuração de um AWS recurso

O comando a seguir retorna uma lista de itens de configuração para uma EC2 instância com um ID dei-1a2b3c4d:

aws configservice get-resource-config-history --resource-type AWS::EC2::Instance --resource-id i-1a2b3c4d

Para obter o status do AWS Config

O seguinte comando retornará o status do canal de entrega e do gravador de configuração:

aws configservice get-status

Saída:

Configuration Recorders:

name: default
recorder: ON
last status: SUCCESS

Delivery Channels:

name: default
last stream delivery status: SUCCESS
last history delivery status: SUCCESS
last snapshot delivery status: SUCCESS

Para listar os recursos que o AWS Config descobriu

O comando a seguir lista as EC2 instâncias que o AWS Config descobriu:

aws configservice list-discovered-resources --resource-type AWS::EC2::Instance

Saída:

{
    "resourceIdentifiers": [
        {
            "resourceType": "AWS::EC2::Instance",
            "resourceId": "i-1a2b3c4d"
        },
        {
            "resourceType": "AWS::EC2::Instance",
            "resourceId": "i-2a2b3c4d"
        },
        {
            "resourceType": "AWS::EC2::Instance",
            "resourceId": "i-3a2b3c4d"
        }
    ]
}

Para adicionar uma regra de Config AWS gerenciada

O comando a seguir fornece código JSON para adicionar uma regra Config AWS gerenciada:

aws configservice put-config-rule --config-rule file://RequiredTagsForEC2Instances.json

RequiredTagsForEC2Instances.json é um arquivo JSON que contém a configuração da regra:

{
  "ConfigRuleName": "RequiredTagsForEC2Instances",
  "Description": "Checks whether the CostCenter and Owner tags are applied to EC2 instances.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "AWS",
    "SourceIdentifier": "REQUIRED_TAGS"
  },
  "InputParameters": "{\"tag1Key\":\"CostCenter\",\"tag2Key\":\"Owner\"}"
}

Para o ComplianceResourceTypes atributo, esse código JSON limita o escopo a recursos do AWS::EC2::Instance tipo, então o AWS Config avaliará EC2 somente instâncias em relação à regra. Como a regra é uma regra gerenciada, o atributo Owner é definido como AWS e o atributo SourceIdentifier é definido como o identificador da regra, REQUIRED_TAGS. Para o atributo InputParameters, as chaves de tag exigidas pela regra, CostCenter e Owner são especificados.

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar a configuração da regra, execute o describe-config-rules comando e especifique o nome da regra.

Como adicionar uma regra do Config gerenciada pelo cliente

O seguinte comando fornece o código JSON para adicionar uma regra do Config gerenciada pelo cliente:

aws configservice put-config-rule --config-rule file://InstanceTypesAreT2micro.json

InstanceTypesAreT2micro.json é um arquivo JSON que contém a configuração da regra:

{
  "ConfigRuleName": "InstanceTypesAreT2micro",
  "Description": "Evaluates whether EC2 instances are the t2.micro type.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "CUSTOM_LAMBDA",
    "SourceIdentifier": "arn:aws:lambda:us-east-1:123456789012:function:InstanceTypeCheck",
    "SourceDetails": [
      {
        "EventSource": "aws.config",
        "MessageType": "ConfigurationItemChangeNotification"
      }
    ]
  },
  "InputParameters": "{\"desiredInstanceType\":\"t2.micro\"}"
}

Para o ComplianceResourceTypes atributo, esse código JSON limita o escopo a recursos do AWS::EC2::Instance tipo, então o AWS Config avaliará EC2 somente instâncias em relação à regra. Como essa regra é uma regra gerenciada pelo cliente, o Owner atributo é definido comoCUSTOM_LAMBDA, e o SourceIdentifier atributo é definido como o ARN da função Lambda AWS . O SourceDetails objeto é obrigatório. Os parâmetros especificados para o InputParameters atributo são passados para a função AWS Lambda quando o AWS Config a invoca para avaliar os recursos em relação à regra.

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar a configuração da regra, execute o describe-config-rules comando e especifique o nome da regra.

Exemplo 1: registrar todos os recursos com suporte

O comando a seguir cria um gravador de configuração que rastreia as alterações em todos os tipos de recursos compatíveis, incluindo os tipos de recursos globais:

aws configservice put-configuration-recorder \
    --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role \
    --recording-group allSupported=true,includeGlobalResourceTypes=true

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar as configurações do seu gravador de configuração, execute o describe-configuration-recorders comando.

Exemplo 2: registrar tipos específicos de recursos

O comando a seguir cria um gravador de configuração que rastreia as alterações somente nos tipos de recursos especificados no arquivo JSON para a opção --recording-group:

aws configservice put-configuration-recorder \
    --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role \
    --recording-group file://recordingGroup.json

RecordingGroup.json é um arquivo JSON que especifica os tipos de recursos que o Config registrará: AWS

{
    "allSupported": false,
    "includeGlobalResourceTypes": false,
    "resourceTypes": [
        "AWS::EC2::EIP",
        "AWS::EC2::Instance",
        "AWS::EC2::NetworkAcl",
        "AWS::EC2::SecurityGroup",
        "AWS::CloudTrail::Trail",
        "AWS::EC2::Volume",
        "AWS::EC2::VPC",
        "AWS::IAM::User",
        "AWS::IAM::Policy"
    ]
}

Antes de especificar os tipos de recursos para a chave resourceTypes, você deve definir as opções allSupported includeGlobalResource e Types como false ou omiti-las.

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar as configurações do seu gravador de configuração, execute o describe-configuration-recorders comando.

Exemplo 3: selecionar todos os recursos com suporte, excluindo tipos específicos de recursos

O comando a seguir cria um gravador de configuração que rastreia as alterações em todos os tipos de recursos compatíveis atuais e futuros, excluindo os tipos de recursos especificados no arquivo JSON para a opção --recording-group:

aws configservice put-configuration-recorder \
    --configuration-recorder name=default,roleARN=arn:aws:iam::123456789012:role/config-role \
    --recording-group file://recordingGroup.json

RecordingGroup.json é um arquivo JSON que especifica os tipos de recursos que o Config registrará: AWS

{
    "allSupported": false,
    "exclusionByResourceTypes": {
        "resourceTypes": [
        "AWS::Redshift::ClusterSnapshot",
        "AWS::RDS::DBClusterSnapshot",
        "AWS::CloudFront::StreamingDistribution"
    ]
    },
        "includeGlobalResourceTypes": false,
        "recordingStrategy": {
        "useOnly": "EXCLUSION_BY_RESOURCE_TYPES"
    },
}

Antes de especificar os tipos de recursos a serem excluídos da gravação: 1) Você deve definir as opções AllSupported e includeGlobalResource Types como false ou omiti-las e 2) Definir o campo useOnly como EXCLUSION_BY_RESOURCE_TYPES. RecordingStrategy

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar as configurações do seu gravador de configuração, execute o describe-configuration-recorders comando.

Para criar um canal de entrega

O seguinte comando fornece as configurações do canal de entrega como código JSON:

aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

O arquivo deliveryChannel.json especifica os atributos do canal de entrega:

{
    "name": "default",
    "s3BucketName": "config-bucket-123456789012",
    "snsTopicARN": "arn:aws:sns:us-east-1:123456789012:config-topic",
    "configSnapshotDeliveryProperties": {
        "deliveryFrequency": "Twelve_Hours"
    }
}

Este exemplo define os seguintes atributos:

name: o nome do canal de entrega. Por padrão, o AWS Config atribui o nome default a um novo canal de entrega. Você não pode atualizar o nome do canal de entrega com o comando. put-delivery-channel Para ver as etapas para alterar o nome, consulte Como renomear o canal de entrega.s3BucketName - O nome do bucket do Amazon S3 para o qual o AWS Config entrega snapshots de configuração e arquivos de histórico de configuração. Se você especificar um bucket que pertença a outra AWS conta, esse bucket deve ter políticas que concedam permissões de acesso ao Config. AWS Para obter mais informações, consulte Permissões para o bucket do Amazon S3.

snsTopicARN- O Amazon Resource Name (ARN) do tópico do Amazon SNS para o qual o AWS Config envia notificações sobre alterações na configuração. Se você escolher um tópico de outra conta, o tópico deve ter políticas que concedam permissões de acesso ao Config. AWS Para obter mais informações, consulte o tópico Permissões para o Amazon SNS.

configSnapshotDeliveryProperties- Contém o deliveryFrequency atributo, que define com que frequência o AWS Config fornece instantâneos de configuração e com que frequência ele invoca avaliações para regras periódicas do Config.

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar as configurações do seu canal de entrega, execute o describe-delivery-channels comando.

Para executar uma avaliação sob demanda das regras do AWS Config

O comando a seguir inicia uma avaliação para duas regras AWS gerenciadas:

aws configservice start-config-rules-evaluation --config-rule-names s3-bucket-versioning-enabled cloudtrail-enabled

Para iniciar o gravador de configuração

O comando a seguir inicia o gravador de configuração padrão:

aws configservice start-configuration-recorder --configuration-recorder-name default

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar se o AWS Config está gravando seus recursos, execute o comando get-status.

Para interromper o gravador de configuração

O comando a seguir interrompe o gravador de configuração padrão:

aws configservice stop-configuration-recorder --configuration-recorder-name default

Se o comando for bem-sucedido, o AWS Config não retornará nenhuma saída. Para verificar se o AWS Config não está gravando seus recursos, execute o comando get-status.

Para assinar o AWS Config

O comando a seguir cria o canal de entrega e o gravador de configuração padrão. O comando também especifica o bucket do Amazon S3 e o tópico do Amazon SNS para os quais o AWS Config fornecerá as informações de configuração:

aws configservice subscribe --s3-bucket config-bucket-123456789012 --sns-topic arn:aws:sns:us-east-1:123456789012:config-topic --iam-role arn:aws:iam::123456789012:role/ConfigRole-A1B2C3D4E5F6

Saída:

Using existing S3 bucket: config-bucket-123456789012
Using existing SNS topic: arn:aws:sns:us-east-1:123456789012:config-topic
Subscribe succeeded:

Configuration Recorders: [
    {
        "recordingGroup": {
            "allSupported": true,
            "resourceTypes": [],
            "includeGlobalResourceTypes": false
        },
        "roleARN": "arn:aws:iam::123456789012:role/ConfigRole-A1B2C3D4E5F6",
        "name": "default"
    }
]

Delivery Channels: [
    {
        "snsTopicARN": "arn:aws:sns:us-east-1:123456789012:config-topic",
        "name": "default",
        "s3BucketName": "config-bucket-123456789012"
    }
]