Automatisk utbedring gjennom Config-regler

Å finne en ressurs som ikke er i samsvar, er bare halve jobben; automatisk utbedring løser problemet automatisk. AWS Config kan knytte et utbedringstiltak til en regel, slik at korrigeringen kjøres uten å vente på et menneske når en ressurs blir NON_COMPLIANT. Dette reduserer tiden en usikker konfigurasjon er eksponert.

Config-utbedring drives av AWS Systems Manager (SSM) Automation-dokumenter, også kalt runbooks. AWS tilbyr mange forhåndsdefinerte dokumenter, for eksempel ett som deaktiverer offentlig tilgang til en S3-bøtte, eller ett som krypterer et volum. Dokumentet definerer de nøyaktige trinnene som utføres for å bringe ressursen tilbake i samsvar.

Du knytter et utbedringstiltak til en Config-regel og kobler regelens resultat, for eksempel ressurs-ID-en, til runbookens inndataparametere. Når regelen rapporterer manglende samsvar, starter Config SSM-dokumentet for den aktuelle ressursen. Dermed lukkes kretsen fra oppdagelse til korrigering.

Utbedring kan være automatisk og starte så snart manglende samsvar oppdages, eller manuell, der en operatør vurderer situasjonen og deretter starter korrigeringen. Automatisk utbedring passer for klare og trygge korrigeringer, mens manuell utbedring passer for endringer som kan forstyrre en arbeidsbelastning og krever menneskelig vurdering før de utføres.

SSM-dokumentet kjører under en IAM-rolle som du angir, og denne rollen trenger tillatelse til å utføre korrigeringen, for eksempel å endre en sikkerhetsgruppe eller aktivere kryptering. I tråd med prinsippet om minste privilegium bør rollen bare gi tillatelse til handlingene runbooken krever, siden den i praksis har mulighet til å endre ressursene deres.

Du kan konfigurere hvor mange ganger utbedringen skal gjøre nye forsøk, og innenfor hvilket tidsrom. Hvis en korrigering mislykkes gjentatte ganger, forblir ressursen uten samsvar og blir synlig for menneskelig oppfølging. Når du forstår denne oppførselen, unngår du overraskelser: Utbedring er automatisering etter beste evne, ikke en garanti, så det er fortsatt viktig å overvåke resultatene.

Et klassisk mønster kombinerer regelen s3-bucket-public-read-prohibited med en utbedrings-runbook som aktiverer Block Public Access for alle bøtter som er merket som offentlige. Så snart noen gjør en bøtte offentlig, oppdager Config det, og runbooken sikrer den på nytt – ofte i løpet av få minutter og uten at en operatør trenger å gjøre noe.

Utbedring reagerer etter at en uønsket tilstand har oppstått. Forebyggende beskyttelsestiltak, som SCP-er eller tillatelsesgrenser, hindrer at tilstanden oppstår i utgangspunktet. De beste løsningene kombinerer begge deler: Forebygg det dere kan, og utfør automatisk utbedring av resten. Eksamen setter ofte forebyggende kontroller opp mot deteksjonskontroller kombinert med korrigerende kontroller.

Automatiske korrigeringer kan ha bivirkninger. Hvis en ressurs krypteres eller sikres på nytt, kan en tjeneste bli midlertidig forstyrret, eller korrigeringen kan komme i konflikt med en legitim endring. Test runbooks i et ikke-produksjonsmiljø først, avgrens reglene nøye, og vurder manuell utbedring for sensitive ressurser, slik at automatiseringen aldri forårsaker større skade enn feilkonfigurasjonen den korrigerer.

Ved hjelp av samsvarspakker kan du distribuere regler med tilhørende utbedringstiltak til alle kontoene i en organisasjon samtidig. Dette håndhever en konsekvent, selvreparerende sikkerhetstilstand overalt, slik at en feilkonfigurasjon i enhver konto oppdages og korrigeres etter den samme automatiserte standarden.

Automatisk utbedring fullfører Config-fortellingen: Registrer tilstanden, evaluer den med regler, og korriger den automatisk med SSM-runbooks under en rolle med minste privilegium. Brukt med omtanke sammen med forebyggende beskyttelsestiltak holder dette miljøet kontinuerlig i samsvar og reduserer kraftig hvor lenge en usikker innstilling kan bli værende.

Automatisk utbedring knytter et SSM Automation-dokument til en Config-regel, slik at ressurser uten samsvar korrigeres automatisk eller etter en manuell vurdering. Runbooken kjører under en IAM-rolle med minste privilegium og kan konfigureres med flere nye forsøk. Kombiner dette med forebyggende beskyttelsestiltak, test runbooks først, og distribuer løsningen i hele organisasjonen via samsvarspakker for et selvreparerende miljø som kontinuerlig er i samsvar.