Règles AWS Config et remédiation

AWS Config est un service d’audit continu des configurations qui enregistre au fil du temps l’état de configuration de vos ressources AWS et évalue ces configurations par rapport aux règles souhaitées. Contrairement à CloudTrail (qui enregistre qui a fait quoi), AWS Config répond aux questions : à quoi ressemble cette ressource actuellement ? et à quoi ressemblait-elle à un moment donné dans le passé ?. Il répond également à la question : cette configuration respecte-t-elle ma politique ? — ce qui en fait le service de référence pour la gouvernance et la conformité.

Lorsque AWS Config enregistre une ressource, il crée un élément de configuration (CI) — un instantané des attributs, des relations et des métadonnées de la ressource à un moment donné. Chaque fois qu’une ressource est modifiée, un nouveau CI est enregistré. AWS Config conserve un historique complet de configuration pour chaque ressource, ce qui vous permet de voir comment un groupe de sécurité a évolué au fil des mois et de savoir exactement quand une règle a été ajoutée ou supprimée. Les CI sont remis dans un compartiment S3 et, facultativement, dans CloudWatch Events.

Pour commencer à utiliser AWS Config, vous créez un enregistreur de configuration (en indiquant les types de ressources à enregistrer) et un canal de remise (en indiquant un compartiment S3 et, facultativement, une rubrique SNS pour les notifications de modification). Vous pouvez enregistrer tous les types de ressources pris en charge ou un sous-ensemble précis. Un agrégateur de configuration vous permet de regrouper les données Config de plusieurs comptes et Régions dans une vue unique pour établir des rapports de conformité à l’échelle de l’organisation.

Les règles Config définissent l’état de configuration souhaité pour vos ressources. Les règles Config gérées par AWS sont des règles prédéfinies fournies par AWS pour effectuer des contrôles de conformité courants — par exemple, s3-bucket-public-read-prohibited vérifie que les compartiments S3 ne sont pas accessibles publiquement en lecture, ec2-instance-no-public-ip vérifie que les instances EC2 n’ont pas d’adresses IP publiques et iam-password-policy vérifie que la politique de mots de passe de votre compte respecte les exigences de complexité. Plus de 300 règles gérées sont disponibles.

Lorsqu’aucune règle gérée par AWS ne couvre votre exigence, vous pouvez écrire une règle Config personnalisée à l’aide d’une fonction AWS Lambda. Lambda reçoit les éléments de configuration comme données d’événement et doit renvoyer une décision COMPLIANT ou NON_COMPLIANT. Les règles personnalisées peuvent imposer des conventions de nommage propres à l’organisation, des balises obligatoires, des identifiants AMI approuvés ou toute logique requise par votre équipe de conformité. Les règles peuvent être évaluées à chaque modification (lorsque la ressource change), périodiquement (toutes les 1, 3, 6, 12 ou 24 heures) ou selon les deux modes.

Config prend également en charge les règles proactives utilisant AWS CloudFormation Guard — un langage de politique sous forme de code. Les règles proactives évaluent les ressources avant leur création via CloudFormation, AWS CDK ou Terraform Cloud, et détectent les configurations non conformes au moment du déploiement plutôt qu’après leur mise en production. Cela déplace la conformité vers l’amont dans votre pipeline d’infrastructure. L’évaluation proactive est une fonctionnalité plus récente que l’examen SAA-C03 peut mentionner dans des scénarios de gouvernance avec approche shift-left.

Les règles Config peuvent être associées à des actions de correction automatiques afin que les ressources non conformes soient corrigées sans intervention humaine. Les actions de correction sont des documents AWS Systems Manager (SSM) Automation. Par exemple, si un compartiment S3 devient non conforme parce qu’une personne a activé l’accès public, Config peut exécuter automatiquement le document SSM AWS-DisableS3BucketPublicReadWrite pour réactiver le blocage de l’accès public du compartiment. La correction peut être automatique (immédiate) ou manuelle (déclenchée à la demande).

La chronologie des ressources AWS Config dans la console affiche chaque modification de configuration d'une ressource sous forme de chronologie : vous pouvez revenir à n'importe quel moment et voir exactement à quoi ressemblait la ressource, y compris ses relations avec d'autres ressources (par exemple, les groupes de sécurité qui lui étaient associés ou le rôle IAM qui lui était attribué). Cliquer sur une relation vous redirige vers la chronologie de la ressource associée. Config est ainsi indispensable pour l'analyse des causes profondes : vous pouvez identifier précisément la modification qui a interrompu la production.

Un agrégateur de configuration collecte les données Config de plusieurs comptes et Régions AWS dans un compte unique afin de centraliser les rapports de conformité. Dans une AWS Organisation, vous pouvez créer un agrégateur dans le compte de gestion qui inclut automatiquement tous les comptes membres, sans nécessiter d'autorisation individuelle. Les agrégateurs prennent en charge les requêtes à l'aide des Advanced Queries, une interface similaire à SQL qui permet de trouver en quelques secondes toutes les ressources non conformes de l'organisation.

Lorsque vous avez des milliers de ressources non conformes, les exceptions de remédiation de Config vous permettent d'exempter certaines ressources pendant une période définie, avec un motif documenté, afin d'éviter une remédiation erronée de cas particuliers légitimes. Pour un nettoyage à grande échelle, vous pouvez déclencher manuellement une remédiation groupée depuis la console ou utiliser les associations de Systems Manager State Manager pour appliquer selon un calendrier les configurations souhaitées à des flottes d'instances EC2, en combinant la détection de Config avec l'application des mesures par SSM.

Une question fréquente du SAA-C03 consiste à distinguer Config de CloudTrail. CloudTrail répond à la question suivante : qui a fait quoi, quand et depuis où (journal d'audit des appels d'API). AWS Config répond à ces questions : à quoi ressemble la ressource actuellement et à quoi a-t-elle ressemblé au fil du temps (historique de l'état de configuration et de la conformité). Ces services sont complémentaires : CloudTrail vous indique qu'une personne a appelé ModifySecurityGroup à 15 h, tandis que Config affiche l'état du groupe de sécurité avant et après cette action. Utilisez-les ensemble pour assurer une gouvernance complète de la sécurité.

Vérifiez votre compréhension des concepts AWS Solutions Architect (SAA-C03) abordés dans cette leçon.

Dans cette leçon, vous avez appris que AWS Config enregistre l'état de la configuration au fil du temps et évalue les ressources selon des règles de conformité, que les règles gérées et personnalisées vérifient des centaines d'attributs de ressources au moyen d'évaluations automatiques ou à la demande, et que la remédiation par SSM Automation peut corriger automatiquement les ressources non conformes sans intervention humaine. Nous allons maintenant découvrir les Conformance Packs et les Organisation Trails pour la gouvernance à l'échelle de l'entreprise.