प्रबंधित और कस्टम Config नियम

कॉन्फ़िगरेशन नियम यह जाँचता है कि आपके संसाधन इच्छित कॉन्फ़िगरेशन के अनुरूप हैं या नहीं और प्रत्येक को COMPLIANT या NON_COMPLIANT के रूप में रिपोर्ट करता है। स्थिति दर्ज करना निष्क्रिय प्रक्रिया है; नियम निर्णय की वह परत जोड़ते हैं जो असुरक्षित सेटिंग को अपने-आप चिह्नित करती है और कॉन्फ़िगरेशन को निरंतर अनुपालन इंजन में बदल देती है।

प्रबंधित नियम सामान्य जाँचों के लिए AWS द्वारा पहले से बनाए जाते हैं, इसलिए आप उन्हें कोड लिखे बिना सक्षम कर सकते हैं। उदाहरणों में s3-bucket-public-read-prohibited, encrypted-volumes, iam-password-policy और restricted-ssh शामिल हैं। सर्वोत्तम प्रथाओं को शामिल करने वाले सैकड़ों नियम उपलब्ध हैं, जिससे अनुपालन की आधार-रेखा स्थापित करने का यह सबसे तेज़ तरीका है।

जब कोई प्रबंधित नियम उपयुक्त न हो, तो आप कस्टम नियम लिखते हैं। ये ऐसे Lambda फ़ंक्शन के रूप में चलते हैं, जो संसाधन कॉन्फ़िगरेशन प्राप्त करके अनुपालन का निर्णय लौटाता है, या AWS की नीति-कोड भाषा का उपयोग करने वाली Guard नीति के रूप में चलते हैं। कस्टम नियम उन संगठन-विशिष्ट आवश्यकताओं को व्यक्त करते हैं जिन्हें प्रबंधित नियम व्यक्त नहीं कर सकते।

नियम दो प्रकार के ट्रिगर पर चलते हैं। कॉन्फ़िगरेशन-बदलाव ट्रिगर किसी संसाधन के बदलते ही उसका मूल्यांकन करता है और लगभग वास्तविक समय में अनुपालन की जानकारी देता है। आवधिक ट्रिगर बदलावों की परवाह किए बिना निश्चित समय-सारणी पर चलता है। यह उन जाँचों के लिए उपयोगी है जो समय या किसी एक संसाधन की घटना के बजाय खाता-स्तरीय सेटिंग पर निर्भर करती हैं।

कॉन्फ़िगरेशन डैशबोर्ड प्रत्येक नियम का अनुपालन दिखाता है और गैर-अनुपालक संसाधनों की सूची देता है। इससे असुरक्षित कॉन्फ़िगरेशन के लिए प्राथमिकता-क्रम वाली कार्यसूची मिलती है। सुरक्षा के लिए, सार्वजनिक S3 बकेट, अनएन्क्रिप्टेड वॉल्यूम और खुले सुरक्षा समूह जैसे नियम उन सटीक संसाधनों को सामने लाते हैं जिन्हें ठीक करने की आवश्यकता है।

कई नियम जाँच को अपनी आवश्यकता के अनुसार ढालने के लिए पैरामीटर स्वीकार करते हैं। उदाहरण के लिए, iam-password-policy नियम आपको न्यूनतम लंबाई और बदलाव की आवश्यकताएँ निर्दिष्ट करने देता है। पैरामीटर से एक ही प्रबंधित नियम सामान्य डिफ़ॉल्ट के बजाय आपके संगठन के विशिष्ट मानक को लागू कर सकता है, वह भी कस्टम कोड लिखे बिना।

अनुपालन पैक कई नियमों और सुधारात्मक कार्रवाइयों को एक ही परिनियोजित किए जा सकने वाले पैकेज में समेटता है, जिसे अक्सर CIS या PCI DSS जैसे फ्रेमवर्क से मैप किया जाता है। एग्रीगेटर या Organizations के माध्यम से खातों में पैक परिनियोजित करने पर नियमों को एक-एक करके सक्षम करने के बजाय पूरा अनुपालन मानक एक साथ लागू हो जाता है।

आप किसी नियम का दायरा विशिष्ट संसाधन प्रकारों या टैग तक सीमित कर सकते हैं, ताकि वह केवल प्रासंगिक चीज़ों का मूल्यांकन करे और शोर तथा लागत दोनों कम हों। Config हर नियम के मूल्यांकन के लिए शुल्क लेता है, इसलिए दायरा निर्धारित करना और सही ट्रिगर प्रकार चुनना बड़े नियम-समूह को किफायती बनाए रखता है तथा सुरक्षा के लिए महत्वपूर्ण संसाधनों का कवरेज भी सुनिश्चित करता है।

Config नियम और Security Hub मानकों में कुछ समानताएँ हैं, और Security Hub वास्तव में अपनी कई जाँचों के पीछे Config का उपयोग करता है। Config नियम आपको प्रत्येक संसाधन के अनुपालन पर सूक्ष्म स्तर का और अनुकूलन योग्य नियंत्रण देते हैं; Security Hub विभिन्न सेवाओं से मिले निष्कर्षों को एकत्र करके सुरक्षा-स्थिति का स्कोर बनाता है। परीक्षा में पूछा जा सकता है कि अनुकूलित, संसाधन-स्तरीय जाँचों के लिए किसका उपयोग करना चाहिए: इसका उत्तर Config नियम है।

restricted-ssh पर विचार कीजिए: यदि कोई सुरक्षा समूह पोर्ट 22 पर 0.0.0.0/0 से अप्रतिबंधित इनबाउंड SSH की अनुमति देता है, तो यह उसे NON_COMPLIANT चिह्नित करता है। अपने खातों में इस एकल नियम को सक्षम करने पर, बिना किसी कस्टम कोड के, सबसे आम और खतरनाक गलत कॉन्फ़िगरेशन में से एक का लगातार पता चलता रहता है।

व्यापक कवरेज के लिए प्रबंधित नियमों और अनुपालन पैक से शुरुआत कीजिए, फिर अपनी विशिष्ट नीतियों के लिए कस्टम नियम जोड़िए। सोच-समझकर दायरा निर्धारित कीजिए, उन्हें अपने मानकों के अनुसार पैरामीटराइज़ कीजिए और महत्वपूर्ण नियमों को सुधारात्मक कार्रवाइयों के साथ जोड़िए। यह परतदार तरीका निरंतर, स्वचालित आश्वासन देता है कि आपका वातावरण सुरक्षित ढंग से कॉन्फ़िगर बना रहे।

Config नियम संसाधनों को COMPLIANT या NON_COMPLIANT चिह्नित करते हैं। सैकड़ों प्रबंधित नियम वैकल्पिक पैरामीटरों के साथ सामान्य जाँचों को कवर करते हैं, जबकि कस्टम नियम (Lambda या Guard) विशिष्ट नीतियों को लागू करते हैं। नियम परिवर्तन होने पर या निर्धारित समय-सारणी के अनुसार सक्रिय होते हैं, फ्रेमवर्क के लिए अनुपालन पैक में समाहित किए जा सकते हैं और प्रत्येक संसाधन के सूक्ष्म-स्तरीय अनुपालन की सुविधा देकर Security Hub के पूरक बनते हैं।