Reglas y corrección de AWS Config

AWS Config es un servicio de auditoría continua de configuraciones que registra a lo largo del tiempo el estado de configuración de sus recursos de AWS y evalúa esas configuraciones según las reglas deseadas. A diferencia de CloudTrail (que registra quién hizo qué), AWS Config responde a ¿cómo es este recurso ahora mismo? y ¿cómo era en cualquier momento del pasado?. También responde a la pregunta ¿cumple esta configuración mi política?, lo que lo convierte en el servicio de referencia para la gobernanza y el cumplimiento.

Cuando AWS Config registra un recurso, crea un elemento de configuración (CI): una instantánea de los atributos, las relaciones y los metadatos del recurso en un momento determinado. Cada vez que cambia un recurso, se registra un nuevo CI. AWS Config mantiene un historial de configuración completo de cada recurso, lo que le permite ver cómo evolucionó un grupo de seguridad durante meses y exactamente cuándo se añadió o eliminó una regla. Los CI se entregan a un bucket de S3 y, opcionalmente, a CloudWatch Events.

Para empezar a utilizar AWS Config, debe crear un registrador de configuración (especificando qué tipos de recursos se registrarán) y un canal de entrega (especificando un bucket de S3 y, opcionalmente, un tema de SNS para las notificaciones de cambios). Puede registrar todos los tipos de recursos compatibles o un subconjunto específico. Un agregador de configuración permite consolidar los datos de Config de varias cuentas y regiones en una sola vista para elaborar informes de cumplimiento de toda la organización.

Las reglas de Config definen el estado de configuración deseado para sus recursos. Las reglas administradas de AWS Config son reglas prediseñadas proporcionadas por AWS que cubren comprobaciones de cumplimiento habituales; por ejemplo, s3-bucket-public-read-prohibited comprueba que los buckets de S3 no sean legibles públicamente, ec2-instance-no-public-ip comprueba que las instancias de EC2 no tengan direcciones IP públicas y iam-password-policy verifica que la política de contraseñas de su cuenta cumpla los requisitos de complejidad. Hay más de 300 reglas administradas disponibles.

Cuando ninguna regla administrada de AWS cubre su requisito, puede escribir una regla personalizada de Config mediante una función de AWS Lambda. Lambda recibe los elementos de configuración como cargas de eventos y debe devolver un veredicto COMPLIANT o NON_COMPLIANT. Las reglas personalizadas pueden imponer convenciones de nomenclatura específicas de la organización, etiquetas obligatorias, ID de AMI aprobados o cualquier lógica que requiera su equipo de cumplimiento. Las reglas pueden evaluarse al producirse un cambio (cuando cambia el recurso), periódicamente (cada 1/3/6/12/24 horas) o de ambas formas.

Config también admite reglas proactivas mediante AWS CloudFormation Guard, un lenguaje de políticas como código. Las reglas proactivas evalúan los recursos antes de que se creen mediante CloudFormation, AWS CDK o Terraform Cloud, y detectan las configuraciones que no cumplen los requisitos en el momento de la implementación, en lugar de hacerlo después de que existan en producción. Esto desplaza el cumplimiento hacia fases más tempranas de la canalización de infraestructura. La evaluación proactiva es una función más reciente que el examen SAA-C03 puede mencionar en situaciones de gobernanza con enfoque shift-left.

Las reglas de Config pueden combinarse con acciones de corrección automática para reparar los recursos que no cumplen los requisitos sin intervención humana. Las acciones de corrección son documentos de automatización de AWS Systems Manager (SSM). Por ejemplo, si un bucket de S3 deja de cumplir los requisitos porque alguien habilita el acceso público, Config puede ejecutar automáticamente el documento de SSM AWS-DisableS3BucketPublicReadWrite para volver a habilitar el bloqueo del acceso público del bucket. La corrección puede ser automática (inmediata) o manual (activada bajo demanda).

La línea de tiempo del recurso de AWS Config en la consola muestra cada cambio de configuración de un recurso en forma de línea de tiempo; puede retroceder hasta cualquier momento y ver exactamente cómo era el recurso, incluidas sus relaciones con otros recursos (por ejemplo, qué grupos de seguridad estaban asociados y qué rol de IAM estaba vinculado). Al hacer clic en una relación, se accede a la línea de tiempo del recurso relacionado. Esto hace que Config sea invaluable para el análisis de causa raíz: puede determinar exactamente qué cambio provocó la interrupción en producción.

Un agregador de configuración recopila datos de Config de varias cuentas y Regiones de AWS en una sola cuenta para generar informes de cumplimiento centralizados. En una AWS Organization, puede crear un agregador en la cuenta de administración que incluya automáticamente todas las cuentas miembro sin requerir autorización individual. Los agregadores admiten consultas mediante Advanced Queries, una interfaz similar a SQL que permite encontrar en cuestión de segundos todos los recursos que no cumplen las normas en toda la organización.

Cuando tiene miles de recursos que no cumplen las normas, las excepciones de corrección de Config le permiten eximir recursos específicos durante un periodo definido y con un motivo documentado, lo que evita corregir falsos positivos en casos límite legítimos. Para la limpieza a gran escala, puede activar manualmente la corrección masiva desde la consola o utilizar asociaciones de Systems Manager State Manager para aplicar las configuraciones deseadas a flotas de instancias EC2 según una programación, combinando la detección de Config con la aplicación de SSM.

Una pregunta habitual del examen SAA-C03 consiste en distinguir Config de CloudTrail. CloudTrail responde a las preguntas: quién hizo qué, cuándo y desde dónde (registro de auditoría de llamadas a la API). AWS Config responde a estas otras: ¿cómo es el recurso ahora y cómo ha sido a lo largo del tiempo? (historial del estado de configuración y cumplimiento). Son servicios complementarios: CloudTrail le indica que alguien llamó a ModifySecurityGroup a las 15:00, mientras que Config muestra el estado del grupo de seguridad antes y después. Utilice ambos conjuntamente para una gobernanza de seguridad completa.

Compruebe su comprensión de los conceptos de AWS Solutions Architect (SAA-C03) de esta lección.

En esta lección ha aprendido que AWS Config registra el estado de la configuración a lo largo del tiempo y evalúa los recursos según las reglas de cumplimiento; las reglas administradas y personalizadas comprueban cientos de atributos de recursos mediante evaluaciones automáticas o bajo demanda; y la corrección mediante SSM Automation puede reparar automáticamente los recursos que no cumplen las normas sin intervención humana. A continuación, exploraremos Conformance Packs y Organisation Trails para la gobernanza a escala empresarial.