本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 的手動設定 AWS Config
<a name="manual-setup.title"></a>

使用**入門**工作流程，您可以完成設定程序的所有手動選擇，以開始使用 AWS Config 主控台。如需簡化的入門程序，請參閱[一鍵式設定](https://docs.aws.amazon.com/config/latest/developerguide/1-click-setup.html)。

**使用**入門** AWS Config 設定 主控台**

1. 登入 AWS 管理主控台 並在 https：//[https://console.aws.amazon.com/config/home](https://console.aws.amazon.com/config/home) 開啟 AWS Config 主控台。

1. 選擇**開始使用**。

設定頁面包含三個步驟。以下提供在您選擇 **開始** 之後，該程序的細節。
+ **設定**：選取 AWS Config 主控台記錄資源和角色的方式，然後選擇組態歷史記錄和組態快照檔案的傳送位置。
+ **規則**：對於 AWS 區域 該支援 AWS Config 規則，此步驟可供您設定可新增至帳戶的初始受管規則。設定後， AWS Config 會根據您選擇的規則評估您的 AWS 資源。您可以建立其他規則，以及在設定後更新帳戶中的現有規則。
+ **檢閱**：驗證您的設定詳細資訊。

## 步驟 1：設定
<a name="gs-settings.title"></a>

### 記錄策略
<a name="manual-setup-settings-recording-strategy.title"></a>

在**記錄方法**區段中，選擇記錄策略。您可以指定 AWS Config 要記錄 AWS 的資源。

------
#### [ All resource types with customizable overrides ]

設定 AWS Config 以記錄此區域中所有目前和未來支援的資源類型的組態變更。您可以覆寫特定資源類型的記錄頻率，或從記錄中排除特定資源類型。如需詳細資訊，請參閱《[支援的資源類型](https://docs.aws.amazon.com/config/latest/developerguide/resource-config-reference.html)》。
+ **預設設定**

  為所有目前和未來支援的資源類型設定預設記錄頻率。如需詳細資訊，請參閱[記錄頻率](https://docs.aws.amazon.com/config/latest/developerguide/select-resources.html#select-resources-recording-frequency)。
  + 持續記錄 – 每當發生變更時， AWS Config 都會持續記錄組態變更。
  + 每日記錄 – 您可接收代表過去 24 小時期間內資源最新狀態的組態項目 (CI)，前提是該項目必須與先前的 CI 記錄不同。
**注意**  
AWS Firewall Manager 依賴持續記錄來監控您的 資源。如果您使用的是 Firewall Manager，建議您將記錄頻率設定為「持續」。
+ **覆寫設定**

  覆寫特定資源類型的記錄頻率，或從記錄中排除特定資源類型。如果您變更某資源類型的記錄頻率，則已記錄的組態項目會保持不變。

------
#### [ Specific resource types ]

 AWS Config 設定為僅記錄您指定的資源類型的組態變更。
+ **特定資源類型**

  選擇要記錄的資源類型及其頻率。如需詳細資訊，請參閱[記錄頻率](https://docs.aws.amazon.com/config/latest/developerguide/select-resources.html#select-resources-recording-frequency)。
  + 持續記錄 – 每當發生變更時， AWS Config 都會持續記錄組態變更。
  + 每日記錄 – 您可接收代表過去 24 小時期間內資源最新狀態的組態項目 (CI)，前提是該項目必須與先前的 CI 記錄不同。
**注意**  
AWS Firewall Manager 依賴持續記錄來監控您的 資源。如果您使用的是 Firewall Manager，建議您將記錄頻率設定為「持續」。

  如果您變更某資源類型的記錄頻率，則已記錄的組態項目會保持不變。

------

#### 記錄 資源時的考量事項
<a name="manual-setup-considerations"></a>

** 大量 AWS Config 評估**

與後續月份相比，使用 AWS Config 的初始月份記錄期間，您可能會注意到帳戶中的活動增加。在初始引導程序期間， 會對您帳戶中已選取要 AWS Config 記錄的所有資源 AWS Config 執行評估。

如果您正在執行暫時工作負載，可能會看到來自 AWS Config 的活動增加，因其會記錄與建立和刪除這些暫時資源相關聯的組態變更。*暫時性工作負載*是暫時使用因需要而載入和執行的運算資源。範例包括 Amazon Elastic Compute Cloud (Amazon EC2) Spot 執行個體、Amazon EMR 任務和 AWS Auto Scaling。如果您想要避免增加執行暫時性工作負載的活動，您可以設定組態記錄器來排除這些資源類型，或在關閉的個別帳戶中 AWS Config 執行這些類型的工作負載，以避免增加組態記錄和規則評估。

------
#### [ Considerations: All resource types with customizable overrides ]

**全域記錄的資源類型 \$1 Aurora 全域叢集最初包含在記錄中**

`AWS::RDS::GlobalCluster` 資源類型將記錄在已啟用組態記錄器的所有支援 AWS Config 區域中。

如果您不想在所有已啟用的區域中記錄 `AWS::RDS::GlobalCluster`，請選擇「AWS RDS GlobalCluster」，然後選擇覆寫「從記錄中排除」。

**全域資源類型 \$1 IAM 資源類型最初會從記錄中排除**

全域 IAM 資源類型一開始會從記錄中排除，以協助您降低成本。此配套包含 IAM 使用者、群組、角色和客戶管理政策。選擇**移除**以移除覆寫，並將這些資源包含在您的記錄中。

此外，2022 年 2 月 AWS Config 之後，無法在 支援的區域中記錄全域 IAM 資源類型 (`AWS::IAM::User``AWS::IAM::Group`、`AWS::IAM::Role`、 和 `AWS::IAM::Policy`)。如需這些區域的清單，請參閱[錄製 AWS 資源 \$1 全域資源](https://docs.aws.amazon.com/config/latest/developerguide/select-resources.html#select-resources-all)。

**限制**

您最多可以增加到 100 個頻率覆寫及 600 個排除覆寫。

下列資源類型無法指定每日記錄：
+ `AWS::Config::ResourceCompliance`
+ `AWS::Config::ConformancePackCompliance`
+ `AWS::Config::ConfigurationRecorder`

------
#### [ Considerations: Specific resource types ]

**區域可用性**

在指定 AWS Config 要追蹤的資源類型之前，請檢查[依區域可用性列出的資源涵蓋](https://docs.aws.amazon.com/config/latest/developerguide/what-is-resource-config-coverage.html)範圍，以查看您設定 AWS 的區域是否支援該資源類型 AWS Config。如果至少一個 AWS Config 區域中支援 資源類型，您可以在 支援的所有區域中啟用該資源類型的記錄 AWS Config，即使您設定 AWS 的區域不支援指定的資源類型 AWS Config。

**限制**

如果所有資源類型具有相同頻率，則無限制。如果至少有一種資源類型設定為「持續」，您最多可以使用「每日」頻率增加 100 個資源類型。

以下資源類型不支援每日頻率：
+ `AWS::Config::ResourceCompliance`
+ `AWS::Config::ConformancePackCompliance`
+ `AWS::Config::ConfigurationRecorder`

------

### 資料控管
<a name="manual-setup-data-governance"></a>
+ 對於**資料保留期**，請選擇預設保留期以保留 AWS Config 資料 7 年 (2557)，或為 記錄的項目設定自訂租用期 AWS Config。

  AWS Config 可讓您透過指定 的保留期間來刪除資料`ConfigurationItems`。指定保留期後， AWS Config 就會在該段時間內保留您的 `ConfigurationItems`。您可以選擇介於最短 30 天到最長 7 年 (2557 天） 之間的期間。 會 AWS Config 刪除早於您指定保留期間的資料。
+ 針對 **的 IAM 角色 AWS Config**，從您的帳戶選擇現有的 AWS Config 服務連結角色或 IAM 角色。
  + 服務連結角色由 預先定義， AWS Config 並包含服務呼叫其他 AWS 服務所需的所有許可。
**注意**  
**建議：使用服務連結角色**  
建議您使用 服務連結角色。服務連結角色會新增所有必要的許可，讓 AWS Config 如預期般執行。
  + 否則，請從其中一個預先存在的角色和許可政策中選擇 IAM 角色。
**注意**  
**政策和合規結果**  
在 中管理的 [IAM 政策](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)和其他政策可能會影響 是否 AWS Config 具有記錄 資源組態變更的許可。 [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies.html)此外，規則會直接評估資源的組態，而且在執行評估時，規則不會考慮這些政策。確定有效政策符合您打算使用的方式 AWS Config。  
**重複使用 IAM 角色時保持最低權限**  
如果您使用 AWS 的服務 AWS Config，例如 AWS Security Hub CSPM 或 AWS Control Tower，且已建立 IAM 角色，請確定您在設定 AWS Config 時所使用的 IAM 角色與預先存在的 IAM 角色保持相同的最低許可。您必須執行此操作，以確保其他服務 AWS 繼續如預期般執行。  
例如，如果 AWS Control Tower 的 IAM 角色允許 AWS Config 讀取 S3 物件，請確保將相同的許可授予您在設定時使用的 IAM 角色 AWS Config。否則可能會干擾 AWS Control Tower 的操作。

### 交付方法
<a name="manue-setup-data-delivery-method"></a>
+ 請為 **交付方法** 選擇 AWS Config 傳送組態歷史記錄和組態快照檔案的目標 S3 儲存貯體：
  + **建立儲存貯體**：在 **S3 儲存貯體名稱** 中輸入您的 S3 儲存貯體名稱。

    您輸入的名稱在 Amazon S3 所有的現有儲存貯體名稱中必須是唯一的。其中一種協助確保唯一性的方法是在儲存貯體名稱的前面加上前綴。例如：您組織的名稱。您無法在建立之後變更儲存貯體的名稱。如需詳細資訊，請參閱《Amazon Simple Storage Service 使用者指南》**中的[儲存貯體限制](https://docs.aws.amazon.com/AmazonS3/latest/userguide/BucketRestrictions.html)。
  + **選擇您帳戶的儲存貯體**：在 **S3 儲存貯體名稱** 中選擇您慣用的儲存貯體。
  + **從其他帳戶選擇儲存貯體**：在 **S3 儲存貯體名稱** 中輸入儲存貯體名稱。
**注意**  
**儲存貯體許可**  
如果您從另一個帳戶選擇儲存貯體，則該儲存貯體必須具有授予存取許可的政策 AWS Config。如需詳細資訊，請參閱[AWS Config 交付管道的 Amazon S3 儲存貯體許可](s3-bucket-policy.md)。
+ 針對 **Amazon SNS 主題**，選擇將**組態變更和通知串流至 Amazon SNS 主題**，讓 AWS Config 傳送通知，例如組態歷史記錄交付、組態快照交付和合規。
+ 如果您選擇讓 AWS Config 串流到 Amazon SNS 主題，請選擇目標主題：
  + **建立主題**：在 **主題名稱** 中輸入 SNS 主題的名稱。
  + **選擇您帳戶中的主題**：為 **主題名稱** 選取您偏好的主題。
  + **從其他帳戶選擇主題**：在 **主題 ARN** 中輸入主題的 Amazon Resource Name (ARN)。如果您從另一個帳戶選擇主題，該主題必須具有授予存取許可的政策 AWS Config。如需詳細資訊，請參閱[Amazon SNS 主題的許可](sns-topic-policy.md)。
**注意**  
**Amazon SNS 主題的區域**  
Amazon SNS 主題必須與您設定的 區域位於相同的 區域中 AWS Config。

## 步驟 2：規則
<a name="manual-setup-rules.title"></a>

如果您要 AWS Config 在支援規則的區域中設定 ，請選擇**下一步**。

## 步驟 3：檢閱
<a name="manual-setup-review.title"></a>

檢閱您的 AWS Config 設定詳細資訊。您可以返回編輯每個區段的變更。選擇**確認**以完成設定 AWS Config。

## 如需詳細資訊
<a name="manual-setup-more-info.title"></a>

如需查詢帳戶中現有資源並了解資源組態的相關資訊，請參閱[查詢資源](https://docs.aws.amazon.com/config/latest/developerguide/looking-up-discovered-resources.html)、[檢視合規資訊](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config_view-compliance.html)以及[檢視合規歷史記錄](https://docs.aws.amazon.com/config/latest/developerguide/view-manage-resource-console.html)。

您也可以使用 Amazon Simple Queue Service 以程式設計方式監控 AWS 資源。如需詳細資訊，請參閱[使用 Amazon SQS 監控 AWS 資源變更](monitor-resource-changes.md)。