Regole e correzione di AWS Config

AWS Config è un servizio di audit continuo della configurazione che registra nel tempo lo stato di configurazione delle risorse AWS e valuta tali configurazioni rispetto alle regole desiderate. A differenza di CloudTrail (che registra chi ha fatto cosa), AWS Config risponde alle domande come si presenta questa risorsa in questo momento? e come si presentava in un determinato momento del passato?. Risponde inoltre alla domanda: questa configurazione è conforme alla mia policy? — diventando così il servizio di riferimento per governance e conformità.

Quando AWS Config registra una risorsa, crea un elemento di configurazione (CI) — un'istantanea degli attributi, delle relazioni e dei metadati della risorsa in un determinato momento. Ogni volta che una risorsa cambia, viene registrato un nuovo CI. AWS Config conserva una cronologia completa della configurazione per ogni risorsa, consentendo di vedere come si è evoluto un security group nel corso dei mesi e di sapere esattamente quando una regola è stata aggiunta o rimossa. I CI vengono consegnati in un bucket S3 e, facoltativamente, a CloudWatch Events.

Per iniziare a utilizzare AWS Config, si crea un registratore di configurazione (specificando i tipi di risorse da registrare) e un canale di distribuzione (specificando un bucket S3 e, facoltativamente, un argomento SNS per le notifiche delle modifiche). È possibile registrare tutti i tipi di risorse supportati oppure un sottoinsieme specifico. Un aggregatore di configurazione consente di consolidare i dati di Config provenienti da più account e Regioni in un'unica vista per i report di conformità dell'organizzazione.

Le regole Config definiscono lo stato di configurazione desiderato per le risorse. Le regole Config gestite da AWS sono regole predefinite fornite da AWS che coprono i controlli di conformità più comuni — ad esempio, s3-bucket-public-read-prohibited verifica che i bucket S3 non siano leggibili pubblicamente, ec2-instance-no-public-ip verifica che le istanze EC2 non dispongano di IP pubblici e iam-password-policy verifica che la policy delle password dell'account soddisfi i requisiti di complessità. Sono disponibili oltre 300 regole gestite.

Quando nessuna regola gestita da AWS soddisfa il requisito, è possibile scrivere una regola Config personalizzata utilizzando una funzione AWS Lambda. Lambda riceve gli elementi di configurazione come payload dell'evento e deve restituire un verdetto COMPLIANT o NON_COMPLIANT. Le regole personalizzate possono imporre convenzioni di denominazione specifiche dell'organizzazione, tag obbligatori, ID AMI approvati o qualsiasi logica richiesta dal team responsabile della conformità. Le regole possono essere valutate alla modifica (quando la risorsa cambia), periodicamente (ogni 1/3/6/12/24 ore) oppure in entrambi i modi.

Config supporta anche regole proattive che utilizzano AWS CloudFormation Guard, un linguaggio di policy-as-code. Le regole proattive valutano le risorse prima che vengano create tramite CloudFormation, AWS CDK o Terraform Cloud, rilevando le configurazioni non conformi al momento della distribuzione anziché dopo la loro creazione in produzione. Ciò sposta i controlli di conformità a sinistra nella pipeline dell'infrastruttura. La valutazione proattiva è una funzionalità più recente che l'esame SAA-C03 potrebbe citare negli scenari di governance shift-left.

Le regole Config possono essere associate ad azioni di correzione automatica, affinché le risorse non conformi vengano corrette senza intervento umano. Le azioni di correzione sono documenti di automazione di AWS Systems Manager (SSM). Ad esempio, se un bucket S3 diventa non conforme perché qualcuno ha abilitato l'accesso pubblico, Config può eseguire automaticamente il documento SSM AWS-DisableS3BucketPublicReadWrite per riabilitare il blocco dell'accesso pubblico del bucket. La correzione può essere automatica (immediata) o manuale (attivata su richiesta).

La cronologia della risorsa di AWS Config nella console mostra ogni modifica alla configurazione di una risorsa sotto forma di sequenza temporale: è possibile tornare indietro fino a qualsiasi momento e vedere esattamente l'aspetto che aveva la risorsa, comprese le relazioni con altre risorse, ad esempio quali gruppi di sicurezza erano associati o quale ruolo IAM era collegato. Facendo clic su una relazione si accede alla cronologia della risorsa correlata. Questo rende Config uno strumento prezioso per l'analisi della causa principale: è possibile individuare esattamente quale modifica ha causato il malfunzionamento dell'ambiente di produzione.

Un aggregatore di configurazione raccoglie i dati di Config da più account e Regioni AWS in un unico account, per consentire la generazione centralizzata di report sulla conformità. In un'organizzazione AWS è possibile creare un aggregatore nell'account di gestione che includa automaticamente tutti gli account membri, senza richiedere autorizzazioni individuali. Gli aggregatori supportano le query tramite Advanced Queries, un'interfaccia simile a SQL che consente di trovare in pochi secondi tutte le risorse non conformi dell'organizzazione.

Quando si hanno migliaia di risorse non conformi, le eccezioni di correzione di Config consentono di esentare risorse specifiche per un periodo definito, indicando un motivo documentato ed evitando così correzioni errate di casi limite legittimi. Per le attività di pulizia su larga scala è possibile avviare correzioni manuali in blocco dalla console oppure usare le associazioni di Systems Manager State Manager per applicare secondo una pianificazione le configurazioni desiderate a gruppi di istanze EC2, combinando il rilevamento di Config con l'applicazione delle configurazioni tramite SSM.

Una domanda comune dell'esame SAA-C03 consiste nel distinguere Config da CloudTrail. CloudTrail risponde alla domanda: chi ha fatto cosa, quando e da dove (registro di audit delle chiamate API). AWS Config risponde invece alle domande: qual è l'aspetto attuale della risorsa e quale aspetto ha avuto nel tempo (cronologia dello stato della configurazione e della conformità). I due servizi sono complementari: CloudTrail indica che qualcuno ha chiamato ModifySecurityGroup alle 15:00, mentre Config mostra lo stato del gruppo di sicurezza prima e dopo la modifica. Usateli insieme per una governance della sicurezza completa.

Verificate la vostra comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione avete imparato che AWS Config registra nel tempo lo stato della configurazione e valuta le risorse rispetto alle regole di conformità, che le regole gestite e personalizzate controllano centinaia di attributi delle risorse con valutazioni automatiche o su richiesta e che la correzione tramite SSM Automation può correggere automaticamente le risorse non conformi senza intervento umano. Ora analizzeremo i Conformance Pack e gli Organisation Trail per la governance su scala aziendale.