Hvordan AWS Config registrerer ressursstatus

AWS Config er en tjeneste som registrerer konfigurasjonen til AWS-ressursene dine over tid og lar deg vurdere om de samsvarer med ønskede innstillinger. Mens CloudTrail registrerer API-kallene som endrer ting, registrerer Config den resulterende tilstanden til selve ressursene. De to tjenestene utfyller hverandre.

Grunnenheten er configuration item (CI): et øyeblikksbilde av en ressurs sine attributter, relasjoner og metadata på et bestemt tidspunkt. Hver gang en ressurs endres, registrerer Config et nytt CI. Denne strømmen av C-er danner en fullstendig historikk over hvordan hver ressurs så ut, og når.

Registreringen utføres av configuration recorder, som du aktiverer per region. Du velger om den skal spore all supported resource types eller et utvalg. For bred dekning av sikkerhet og samsvar er registrering av alle ressurstyper den vanlige og anbefalte innstillingen.

Config sender konfigurasjonsøyeblikksbilder og historikk til en delivery channel, som peker til en S3 bucket for lagring og eventuelt et SNS topic for varsler. S3-bøtten blir den varige posten du kan spørre mot senere, så å sikre den er en del av beskyttelsen av revisjonssporet ditt.

Config registrerer ikke bare innstillingene til en ressurs, men også dens relasjoner til andre ressurser, for eksempel hvilke sikkerhetsgrupper som er knyttet til en instans, eller hvilket subnett et nettverksgrensesnitt befinner seg i. Dette relasjonskartet er svært nyttig under undersøkelser, fordi det lar deg forstå hvordan en endring i én ressurs påvirker tilknyttede ressurser.

Et vanlig eksamensskille er at CloudTrail svarer på «hvem utførte hvilket API-kall», mens Config svarer på «hvordan så denne ressursen ut, og hvordan ble den endret». Hvis du må bevise at en sikkerhetsgruppe tillot åpen SSH-tilgang forrige tirsdag, inneholder Config denne tilstanden, mens CloudTrail viser hvem som godkjente regelen.

Config er regional, så du må aktivere den i hver region du bruker. En aggregator kan samle data fra mange kontoer og regioner i én visning, noe som er avgjørende for samsvarsrapportering i hele organisasjonen. Uten en aggregator måtte du kontrollere hver konto og region separat.

Configs funksjon for advanced query lar deg kjøre SQL-lignende spørringer mot gjeldende ressurskonfigurasjoner, for eksempel for å finne alle ukrypterte EBS-volumer eller offentlig tilgjengelige bøtter på tvers av en aggregator. Dermed blir Config et verktøy for inventar og sikkerhetsstatus, ikke bare en passiv registreringstjeneste.

Config faktureres per registrerte konfigurasjonselement og per regelvurdering. Registrering av enhver endring i svært dynamiske ressurser kan bli kostbart. Du kan bruke exclusions i registreringen eller periodisk registrering for enkelte ressurstyper for å håndtere kostnadene, samtidig som sikkerhetsrelevante ressurser spores fullstendig.

Config integreres med conformance packs, som samler samsvarsregler, og med aggregators, som kombinerer resultater på tvers av kontoer. Dermed kan et sentralt sikkerhetsteam se konfigurasjonsstatusen for en hel organisasjon på ett sted, i stedet for å logge på hver konto for å vurdere samsvar separat.

Config er grunnleggende for samsvar: Tjenesten gir dokumentasjon på ressursenes tilstand over tid, slik revisorer krever, mater automatiserte rules som oppdager usikre innstillinger, og støtter auto-remediation. Den er systemet som inneholder fasiten på spørsmålet «er miljøet mitt konfigurert slik det skal være?», som er et sentralt tema på eksamen.

AWS Config registrerer ressursenes tilstand som configuration items via en regional configuration recorder, som leverer øyeblikksbilder til en S3-delivery channel. Tjenesten registrerer relasjoner mellom ressurser, utfyller CloudTrail (tilstand kontra API-kall) og samler data på tvers av kontoer med en aggregator. Den muliggjør spørringer mot inventaret, samsvars-rules og utbedring.