使用 查詢 AWS 資源的目前組態狀態 AWS Config

您可以使用 根據單一帳戶和區域的組態屬性 AWS Config ，或跨多個帳戶和區域來查詢 AWS 資源的目前組態狀態。您可以跨 AWS Config 支援的資源清單，針對目前的 AWS 資源狀態中繼資料執行屬性型查詢。如需支援資源類型清單的詳細資訊，請參閱支援的資源類型。

進階查詢提供單一查詢端點和查詢語言，以取得目前的資源狀態中繼資料，而不執行服務特定的描述 API 呼叫。您可以使用組態彙總器，從多個帳戶和 AWS 區域的中央帳戶執行相同的查詢。

功能

AWS Config 使用結構化查詢語言 SELECT (SQL) 語法的子集，對目前的組態項目 (CI) 資料執行屬性型查詢和彙總。查詢的複雜性範圍從標籤和/或資源識別符的比對，到更複雜的查詢，例如檢視所有已停用版本控制的 Amazon S3 儲存貯體。這可讓您確切查詢所需的目前資源狀態，而無需執行 AWS 服務特定的 API 呼叫。

它支援 AVG、COUNT、MAX、MIN 和 SUM 等​彙總函數。

您可以將進階查詢用於：

如需有關如何使用 AWS SQL 查詢語言的資訊，請參閱什麼是 SQL （結構化查詢語言）？。

限制

做為 SQL SELECT 的子集，其查詢語法有下列限制：

進階查詢的 CIDR 表示法/IP 範圍行為

CIDR 標記法會轉換為 IP 範圍以供搜尋。

這意味著 "=" 和 "BETWEEN" 會搜尋包含所提供 IP 的任何範圍，而不是確切的 IP。

若要搜尋確切的 IP 範圍，您需要新增其他條件以排除範圍以外的 IP。

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges BETWEEN '10.0.0.0'
  AND '10.0.0.255'
  AND NOT configuration.ipPermissions.ipRanges < '10.0.0.0'
  AND NOT configuration.ipPermissions.ipRanges > '10.0.0.255'
            

SELECT * WHERE resourceType = 'AWS::EC2::SecurityGroup'
  AND configuration.ipPermissions.ipRanges = '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges > '192.168.0.2'
  AND NOT configuration.ipPermissions.ipRanges < '192.168.0.2'
            

進階查詢陣列行為內的多個屬性

查詢物件陣列內的多個屬性時，會根據所有陣列元素來計算相符項目。

例如，對於具有規則 A 和 B 的資源 R，資源符合規則 A，但不符合規則 B。則資源 R 儲存為：

{ 
    configRuleList: [ 
        {
            configRuleName: 'A', complianceType: 'compliant'
        }, 
        {   
            configRuleName: 'B', complianceType: 'non_compliant'
        } 
    ]
}

R 將通過下列查詢傳回：

SELECT configuration WHERE configuration.configRuleList.complianceType = 'non_compliant' 
AND configuration.configRuleList.configRuleName = 'A'

第一個條件configuration.configRuleList.complianceType = 'non_compliant'會套用至 R.configRuleList 中的 ALL 元素，因為 R 具有 complianceType = 'non_compliant' 的規則 （規則 B)，因此會將條件評估為 true。

第二個條件configuration.configRuleList.configRuleName會套用至 R.configRuleList 中的 ALL 元素，因為 R 具有 configRuleName = 'A' 的規則 （規則 A)，因此會將條件評估為 true。由於這兩個條件都為 True，R 將被傳回。

支援的資源類型

並非所有 AWS Config 支援 的資源類型都可以在進階查詢中查詢。此外，組態項目中的某些欄位是不可搜尋的。不可搜尋的欄位可能會在結果中傳回，並在查詢SELECT的部分中使用，但無法在查詢的其他部分中使用，例如 WHERE、 GROUP BY或 ORDER BY。

如需可搜尋欄位和資源類型的完整清單，請參閱進階查詢支援的資源類型。

區域支援

下列區域支援進階查詢：