Corrección automática mediante reglas de Config

Encontrar un recurso que no cumple las normas es solo la mitad del trabajo; la corrección automática lo soluciona automáticamente. AWS Config puede asociar una acción de corrección a una regla para que, cuando un recurso pase a ser NON_COMPLIANT, la solución se ejecute sin esperar a una persona. Esto reduce el tiempo durante el que una configuración insegura queda expuesta.

La corrección de Config funciona mediante documentos de automatización de AWS Systems Manager (SSM), también llamados runbooks. AWS proporciona muchos documentos predefinidos, como uno para deshabilitar el acceso público a un bucket de S3 o cifrar un volumen. El documento define los pasos exactos necesarios para que el recurso vuelva a cumplir las normas.

Debe asociar una acción de corrección a una regla de Config y asignar el resultado de la regla, como el ID del recurso, a los parámetros de entrada del runbook. Cuando la regla informa de un incumplimiento, Config invoca el documento de SSM para ese recurso específico, cerrando el ciclo entre la detección y la corrección.

La corrección puede ser automática, ejecutándose en cuanto se detecta el incumplimiento, o manual, cuando un operador revisa la situación y activa la solución. La opción automática es adecuada para correcciones claras y seguras; la manual, para cambios que podrían interrumpir una carga de trabajo y requieren criterio humano antes de ejecutarse.

El documento de SSM se ejecuta con un rol de IAM que usted especifica, y ese rol necesita permisos para realizar la corrección, como modificar un grupo de seguridad o habilitar el cifrado. Conforme al principio de privilegio mínimo, este rol debe conceder únicamente las acciones que requiera el runbook, ya que, en la práctica, tiene capacidad para modificar sus recursos.

Puede configurar cuántas veces se realizan reintentos de la corrección y durante qué intervalo. Si una solución falla repetidamente, el recurso sigue sin cumplir las normas y queda señalado para que una persona lo revise. Comprender este comportamiento evita sorpresas: la corrección es una automatización que se ejecuta con el mejor esfuerzo, no una garantía, por lo que sigue siendo importante supervisar los resultados.

Un patrón clásico combina la regla s3-bucket-public-read-prohibited con un runbook de corrección que aplica Block Public Access a cualquier bucket marcado como público. En cuanto alguien expone un bucket, Config lo detecta y el runbook vuelve a protegerlo, normalmente en cuestión de minutos y sin intervención de ningún operador.

La corrección reacciona después de que se produzca un estado incorrecto. Los controles preventivos, como las SCP o los límites de permisos, impiden que ese estado llegue a producirse. Los diseños más sólidos combinan ambos enfoques: prevenir lo que sea posible y corregir automáticamente las brechas. En el examen se suelen contrastar los controles preventivos con los controles detectivos y correctivos.

Las soluciones automáticas pueden tener efectos secundarios. Volver a cifrar o proteger un recurso puede interrumpir brevemente un servicio o entrar en conflicto con un cambio legítimo. Pruebe primero los runbooks en entornos que no sean de producción, limite cuidadosamente el ámbito de las reglas y considere la corrección manual para los recursos sensibles, de modo que la automatización nunca cause más daño que la configuración incorrecta que corrige.

Mediante los paquetes de conformidad, puede implementar reglas junto con sus acciones de corrección en todas las cuentas de una organización a la vez. Esto aplica una postura de autorreparación coherente en todas partes, de modo que una configuración incorrecta en cualquier cuenta sea detectada y corregida mediante el mismo estándar automatizado.

La corrección automática completa el modelo de Config: registrar el estado, evaluarlo con reglas y corregirlo automáticamente con runbooks de SSM bajo un rol con privilegios mínimos. Si se utiliza cuidadosamente junto con controles preventivos, mantiene su entorno en cumplimiento de forma continua y reduce drásticamente el tiempo durante el que puede persistir cualquier configuración insegura.

Compruebe sus conocimientos sobre la corrección automática.

La corrección automática asocia un documento de automatización de SSM a una regla de Config para que los recursos que no cumplen las normas se corrijan automáticamente o después de una revisión manual. El runbook se ejecuta con un rol de IAM con privilegios mínimos y con reintentos configurables. Combínelo con controles preventivos, pruebe primero los runbooks e impleméntelo en toda la organización mediante paquetes de conformidad para conseguir un entorno con autorreparación y cumplimiento continuo.