Automatisk afhjælpning via Config-regler

At finde en ressource, der ikke overholder kravene, er kun halvdelen af arbejdet; automatisk afhjælpning løser problemet automatisk. AWS Config kan knytte en afhjælpningshandling til en regel, så løsningen kører uden at vente på et menneske, når en ressource bliver NON_COMPLIANT. Det forkorter den tid, hvor en usikker konfiguration er eksponeret.

Config-afhjælpning drives af AWS Systems Manager (SSM) Automation-dokumenter, også kaldet runbooks. AWS leverer mange foruddefinerede dokumenter, f.eks. et til at deaktivere offentlig adgang til en S3-bucket eller kryptere en diskenhed. Dokumentet definerer de præcise trin, der udføres for at bringe ressourcen tilbage i overensstemmelse med kravene.

Du knytter en afhjælpningshandling til en Config-regel og mapper regelens output, f.eks. ressource-id'et, til runbokens inputparametre. Når reglen rapporterer manglende overensstemmelse, kalder Config SSM-dokumentet for den specifikke ressource og lukker dermed kredsløbet fra registrering til korrektion.

Afhjælpning kan være automatisk og starte, så snart manglende overensstemmelse registreres, eller manuel, hvor en operatør gennemgår problemet og derefter udløser løsningen. Automatisk afhjælpning egner sig til klare og sikre rettelser, mens manuel afhjælpning egner sig til ændringer, der kan forstyrre en arbejdsbelastning og kræver menneskelig vurdering, før de udføres.

SSM-dokumentet kører under en IAM-rolle, som du angiver, og rollen skal have tilladelse til at udføre rettelsen, f.eks. ændre en sikkerhedsgruppe eller aktivere kryptering. Efter princippet om mindst mulige privilegier bør rollen kun give adgang til de handlinger, runboken kræver, eftersom den reelt har mulighed for at ændre dine ressourcer.

Du kan konfigurere, hvor mange gange afhjælpningen skal prøve igen, og inden for hvilket tidsrum. Hvis en rettelse gentagne gange mislykkes, forbliver ressourcen ikke-overensstemmende og vises, så et menneske kan reagere. Hvis du forstår denne adfærd, undgår du overraskelser: Afhjælpning er automatisering efter bedste evne, ikke en garanti, så det er stadig vigtigt at overvåge resultaterne.

Et klassisk mønster kombinerer reglen s3-bucket-public-read-prohibited med en afhjælpningsrunbook, der anvender Block Public Access på enhver bucket, der er markeret som offentlig. Så snart nogen gør en bucket offentlig, registrerer Config det, og runboken sikrer den igen, ofte inden for få minutter og uden en involveret operatør.

Afhjælpning reagerer, efter at en dårlig tilstand er opstået. Forebyggende sikkerhedsbarrierer som SCP'er eller tilladelsesgrænser forhindrer, at den dårlige tilstand overhovedet opstår. De stærkeste designs kombinerer begge dele: Forebyg det, du kan, og afhjælp automatisk de resterende huller. Eksamen sammenligner ofte forebyggende kontroller med detekterende og korrigerende kontroller.

Automatiske rettelser kan have bivirkninger. Genkryptering eller ny sikring af en ressource kan kortvarigt forstyrre en tjeneste eller være i konflikt med en legitim ændring. Test runbooks i et ikke-produktionsmiljø først, afgræns reglerne omhyggeligt, og overvej manuel afhjælpning for følsomme ressourcer, så automatiseringen aldrig forårsager større skade end den fejlkonfiguration, den retter.

Via overensstemmelsespakker kan du implementere regler med deres afhjælpningshandlinger på én gang på alle konti i en organisation. Det håndhæver en ensartet, selvhelende sikkerhedstilstand overalt, så en fejlkonfiguration på enhver konto registreres og rettes efter den samme automatiserede standard.

Automatisk afhjælpning fuldender Config-fortællingen: Registrer tilstanden, evaluer med regler, og ret automatisk med SSM-runbooks under en rolle med mindst mulige privilegier. Brugt omhyggeligt sammen med forebyggende sikkerhedsbarrierer holder det dit miljø løbende i overensstemmelse med kravene og reducerer markant, hvor længe en usikker indstilling kan eksistere.

Automatisk afhjælpning knytter et SSM Automation-dokument til en Config-regel, så ressourcer, der ikke overholder kravene, rettes automatisk eller efter manuel gennemgang. Runboken kører under en IAM-rolle med mindst mulige privilegier og med konfigurerbare gentagelser. Kombiner den med forebyggende sikkerhedsbarrierer, test runbooks først, og implementer på tværs af organisationen via overensstemmelsespakker for et selvhelende miljø, der løbende overholder kravene.