Correction automatique avec les règles Config

Identifier une ressource non conforme ne constitue que la moitié du travail ; la correction automatique la répare automatiquement. AWS Config peut associer une action de correction à une règle afin que, lorsqu'une ressource devient NON_COMPLIANT, la correction soit exécutée sans attendre l'intervention d'une personne. Cela réduit la durée pendant laquelle une configuration non sécurisée reste exposée.

La correction Config repose sur les documents d'automatisation AWS Systems Manager (SSM), également appelés runbooks. AWS fournit de nombreux documents prédéfinis, par exemple pour désactiver l'accès public à un compartiment S3 ou chiffrer un volume. Le document définit précisément les étapes à suivre pour remettre la ressource en conformité.

Vous associez une action de correction à une règle Config et mappez la sortie de la règle, comme l'ID de la ressource, aux paramètres d'entrée du runbook. Lorsque la règle signale une non-conformité, Config appelle le document SSM pour cette ressource précise, fermant ainsi la boucle entre détection et correction.

La correction peut être automatique, et s'exécuter dès que la non-conformité est détectée, ou manuelle, lorsqu'un opérateur l'examine avant de déclencher la correction. L'automatisation convient aux corrections claires et sûres ; une intervention manuelle est préférable lorsque la modification risque de perturber une charge de travail et nécessite un jugement humain.

Le document SSM s'exécute sous un rôle IAM que vous spécifiez. Ce rôle doit être autorisé à effectuer la correction, par exemple à modifier un groupe de sécurité ou à activer le chiffrement. Conformément au principe du moindre privilège, il ne doit accorder que les actions requises par le runbook, puisqu'il peut effectivement modifier vos ressources.

Vous pouvez configurer le nombre de nouvelles tentatives de correction ainsi que la période concernée. Si une correction échoue à plusieurs reprises, la ressource reste non conforme et est signalée à l'attention d'une personne. Comprendre ce comportement évite les surprises : la correction est une automatisation basée sur les meilleurs efforts, et non une garantie ; il reste donc important d'en surveiller les résultats.

Un schéma classique associe la règle s3-bucket-public-read-prohibited à un runbook de correction qui applique le blocage de l'accès public à tout compartiment signalé comme public. Dès qu'une personne expose un compartiment, Config le détecte et le runbook le sécurise à nouveau, souvent en quelques minutes, sans intervention d'un opérateur.

La correction intervient après l'apparition d'un état incorrect. Les garde-fous préventifs, comme les SCP ou les limites d'autorisation, empêchent cet état de se produire. Les conceptions les plus robustes combinent les deux : prévenir ce qui peut l'être et corriger automatiquement les écarts. L'examen oppose souvent les contrôles préventifs aux contrôles de détection suivis d'une correction.

Les corrections automatiques peuvent avoir des effets secondaires. Chiffrer à nouveau ou resécuriser une ressource peut perturber brièvement un service ou entrer en conflit avec une modification légitime. Testez d'abord les runbooks hors production, définissez soigneusement le périmètre des règles et envisagez une correction manuelle pour les ressources sensibles, afin que l'automatisation ne cause jamais plus de dommages que la configuration incorrecte qu'elle corrige.

Grâce aux packs de conformité, vous pouvez déployer simultanément des règles et leurs actions de correction sur chaque compte d'une organisation. Cela impose partout une posture cohérente d'auto-rétablissement : toute configuration incorrecte est détectée et corrigée dans chaque compte selon la même norme automatisée.

La correction automatique complète le fonctionnement de Config : enregistrer l'état, l'évaluer avec des règles, puis le corriger automatiquement à l'aide de runbooks SSM exécutés sous un rôle respectant le moindre privilège. Utilisée avec précaution et en complément de garde-fous préventifs, elle maintient votre environnement en conformité permanente et réduit considérablement la durée pendant laquelle un paramètre non sécurisé peut persister.

La correction automatique associe un document d'automatisation SSM à une règle Config afin que les ressources non conformes soient corrigées automatiquement ou après un examen manuel. Le runbook s'exécute sous un rôle IAM respectant le moindre privilège, avec un nombre configurable de nouvelles tentatives. Associez-le à des garde-fous préventifs, testez d'abord les runbooks et déployez-les dans toute l'organisation via des packs de conformité pour obtenir un environnement capable de s'auto-rétablir et continuellement conforme.