Consultar o estado da configuração atual dos recursos da AWS com o AWS Config

É possível usar o AWS Config para consultar o estado de configuração atual dos recursos da AWS com base nas propriedades de configuração de uma única conta e região ou em várias contas e regiões. Você pode executar consultas baseadas em propriedade em relação aos metadados do estado atual de recursos da AWS em uma lista de recursos que o AWS Config oferece suporte. Para obter mais informações sobre a lista de tipos de recursos compatíveis, consulte Supported Resource Types for Advanced Queries.

Consultas avançadas fornece um endpoint de consulta único e uma linguagem de consulta avançada para obter os metadados do estado atual do recurso, sem realizar chamadas da API de descrição específicas do serviço. É possível usar agregadores de configuração para executar as mesmas consultas de uma conta central em várias contas e regiões da AWS.

Atributos

O AWS Config usa um subconjunto da sintaxe de SELECT da linguagem de consulta estruturada (SQL) para executar consultas baseadas em propriedade e agregações nos dados do item de configuração (CI) atual. As consultas variam em complexidade desde correspondências em relação à tag e/ou aos identificadores de recursos, até consultas mais complexas, como visualizar todos os buckets do S3 com versionamento desabilitado. Isso permite que você consulte exatamente o estado atual do recurso de que você precisa sem realizar chamadas de API para serviços específicos da AWS.

Ele oferece suporte a funções de agregação, como AVG, COUNT, MAX, MIN, e SUM.

Você pode usar as consultas avançadas para:

Para obter informações sobre como usar a linguagem de consulta SQL da AWS, consulte O que é SQL (linguagem de consulta estruturada)?

Limitações

Como um subconjunto do SQL SELECT, a de sintaxe de consulta tem as seguintes limitações:

Comportamento de notação CIDR/intervalo de IP para consultas avançadas

A notação CIDR é convertida em intervalos de IP para pesquisa.

Isso significa que "=" e "BETWEEN" faz a pesquisa de qualquer intervalo que inclua o IP fornecido, em vez de um exato.

Para pesquisar um intervalo de IP exato, você precisa inserir condições adicionais para excluir IPs fora do intervalo.

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
            

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
            

Várias propriedades em um comportamento de matriz para consultas avançadas

Ao consultar várias propriedades dentro de uma matriz de objetos, as correspondências são calculadas em relação a todos os elementos da matriz.

Por exemplo, para um recurso R com as regras A e B, o recurso está em conformidade com a regra A, mas não está em conformidade com a regra B. O recurso R é armazenado como:

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

R será retornado por esta consulta:

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

A primeira condição configuration.configRuleList.complianceType = 'non_compliant' é aplicada a TODOS os elementos em R.configRuleList, porque R tem uma regra (regra B) com complianceType = 'non_compliant', caso em que a condição é avaliada como verdadeira.

A segunda condição configuration.configRuleList.configRuleName é aplicada a TODOS os elementos em R.configRuleList, porque R tem uma regra (regra A) com configRuleName = 'A', caso em que a condição é avaliada como verdadeira. Como ambas as condições são verdadeiras, R será retornado.

Suporte regional

As consultas avançadas têm suporte nas seguintes regiões: