Wie AWS Config den Ressourcenzustand aufzeichnet

AWS Config ist ein Dienst, der die Konfiguration Ihrer AWS-Ressourcen im Zeitverlauf aufzeichnet und Ihnen ermöglicht zu prüfen, ob sie den gewünschten Einstellungen entsprechen. Während CloudTrail die API calls aufzeichnet, die Änderungen vornehmen, zeichnet Config den resultierenden state der Ressourcen selbst auf. Beide Dienste ergänzen sich.

Die zentrale Einheit ist das configuration item (CI): eine Momentaufnahme der Attribute, Beziehungen und Metadaten einer Ressource. Bei jeder Änderung einer Ressource zeichnet Config ein neues CI auf. Dieser Strom von CIs bildet eine vollständige Historie darüber, wie jede Ressource aussah und wann.

Die Aufzeichnung erfolgt durch den configuration recorder, den Sie pro Region aktivieren. Sie wählen, ob er all supported resource types oder nur eine ausgewählte Teilmenge erfasst. Für eine umfassende Abdeckung von Sicherheit und Compliance ist die Aufzeichnung aller Ressourcentypen die übliche und empfohlene Einstellung.

Config sendet Konfigurations-Snapshots und die Historie an einen delivery channel, der für die Speicherung auf einen S3 bucket und optional für Benachrichtigungen auf ein SNS topic verweist. Der S3-Bucket wird zum dauerhaften Datensatz, den Sie später abfragen können. Ihn abzusichern gehört daher zum Schutz Ihrer Prüfspur.

Config erfasst nicht nur die Einstellungen einer Ressource, sondern auch ihre relationships zu anderen Ressourcen, etwa welche Sicherheitsgruppen an eine Instance angehängt sind oder in welchem Subnetz sich eine Netzwerkschnittstelle befindet. Diese Beziehungskarte ist bei Untersuchungen besonders hilfreich, weil Sie nachvollziehen können, wie sich eine Änderung an einer Ressource auf verbundene Ressourcen auswirkt.

Eine häufige Prüfungsunterscheidung: CloudTrail beantwortet die Frage „wer hat welchen API-Aufruf ausgeführt?“, während Config beantwortet, „wie sah diese Ressource aus und wie hat sie sich verändert?“. Wenn Sie nachweisen müssen, dass eine Sicherheitsgruppe letzten Dienstag offenen SSH-Zugriff erlaubte, enthält Config diesen Zustand; CloudTrail zeigt, wer die Regel autorisiert hat.

Config ist regional, daher aktivieren Sie es in jeder von Ihnen verwendeten Region. Ein aggregator kann Daten aus vielen Konten und Regionen in einer einzigen Ansicht zusammenführen. Das ist für Compliance-Berichte auf Organisationsebene unverzichtbar. Ohne einen Aggregator müssten Sie jedes Konto und jede Region einzeln prüfen.

Mit der Funktion advanced query von Config können Sie SQL-ähnliche Abfragen über aktuelle Ressourcenkonfigurationen ausführen, etwa um alle unverschlüsselten EBS-Volumes oder öffentlich zugänglichen Buckets über einen Aggregator hinweg zu finden. Dadurch wird Config zu einem Tool für Inventarisierung und Sicherheitsstatus und nicht nur zu einem passiven Aufzeichnungsdienst.

Config berechnet Gebühren pro aufgezeichnetem Konfigurationselement und pro Regelauswertung. Die Aufzeichnung jeder Änderung an sehr dynamischen Ressourcen kann sich summieren. Sie können exclusions bei der Aufzeichnung oder eine regelmäßige Aufzeichnung für bestimmte Ressourcentypen verwenden, um die Kosten zu steuern und sicherheitsrelevante Ressourcen dennoch vollständig zu überwachen.

Config lässt sich mit conformance packs integrieren, die Compliance-Regeln bündeln, sowie mit aggregators, die Ergebnisse kontenübergreifend zusammenführen. Dadurch kann ein zentrales Sicherheitsteam den Konfigurationsstatus einer gesamten Organisation an einem Ort einsehen, anstatt sich zur getrennten Compliance-Prüfung bei jedem Konto anzumelden.

Config bildet eine Grundlage für Compliance: Der Dienst liefert den von Prüfern geforderten Nachweis über den Ressourcenzustand im Zeitverlauf, versorgt automatisierte rules zur Erkennung unsicherer Einstellungen und unterstützt auto-remediation. Er ist das führende Aufzeichnungssystem für die Frage „Ist meine Umgebung so konfiguriert, wie sie sein sollte?“ – ein zentrales Prüfungsthema.

Testen Sie Ihr Verständnis von AWS Config.

AWS Config zeichnet den state von Ressourcen über configuration items mithilfe eines regionalen configuration recorder auf und übermittelt Snapshots an einen S3-delivery channel. Der Dienst erfasst relationships zwischen Ressourcen, ergänzt CloudTrail (Zustand im Vergleich zu API-Aufrufen) und führt Daten über mehrere Konten hinweg mit einem aggregator zusammen. Er ermöglicht Inventarabfragen, Compliance-rules und Fehlerbehebung.