AWS Config-regels en herstelmaatregelen

Als je AWS Config wilt gaan gebruiken, maak je een configuratierecorder (waarmee je opgeeft welke resourcetypen moeten worden vastgelegd) en een afleveringskanaal (waarmee je een S3-bucket en optioneel SNS-topic opgeeft voor meldingen over wijzigingen). Je kunt alle ondersteunde resourcetypen vastleggen of een specifieke subset. Met een configuratieaggregator kun je Config-gegevens uit meerdere accounts en regio's samenvoegen in één overzicht voor nalevingsrapportage voor de hele organisatie.

Config-regels definiëren de gewenste configuratiestatus voor je resources. Door AWS beheerde Config-regels zijn vooraf gebouwde regels van AWS voor veelvoorkomende nalevingscontroles. Zo controleert s3-bucket-public-read-prohibited of S3-buckets niet openbaar leesbaar zijn, controleert ec2-instance-no-public-ip of EC2-instanties geen openbare IP-adressen hebben, en verifieert iam-password-policy of het wachtwoordbeleid van je account aan de complexiteitsvereisten voldoet. Er zijn meer dan 300 beheerde regels beschikbaar.

Als geen door AWS beheerde regel aan je vereiste voldoet, kun je een aangepaste Config-regel schrijven met een AWS Lambda-functie. Lambda ontvangt configuratie-items als gebeurtenisladingen en moet een oordeel COMPLIANT of NON_COMPLIANT retourneren. Met aangepaste regels kun je naamgevingsconventies voor de organisatie, vereiste tags, goedgekeurde AMI-ID's of elke andere logica afdwingen die je nalevingsteam nodig heeft. Regels kunnen bij wijziging (wanneer de resource verandert), periodiek (elke 1, 3, 6, 12 of 24 uur) of op beide manieren evalueren.

Config ondersteunt ook proactieve regels met AWS CloudFormation Guard — een beleid-als-code-taal. Proactieve regels evalueren resources voordat ze via CloudFormation, AWS CDK of Terraform Cloud worden aangemaakt. Zo worden niet-conforme configuraties tijdens het implementeren ontdekt in plaats van nadat ze in productie bestaan. Hiermee verschuift naleving naar een eerder punt in je infrastructuurpijplijn. Proactieve evaluatie is een nieuwere functie waarnaar het SAA-C03-examen kan verwijzen in scenario's over governance volgens het shift-left-principe.

Config-regels kunnen worden gekoppeld aan automatische herstelacties, zodat niet-conforme resources zonder menselijke tussenkomst worden gecorrigeerd. Herstelacties zijn AWS Systems Manager (SSM) Automation-documenten. Als een S3-bucket bijvoorbeeld niet-conform wordt doordat iemand openbare toegang heeft ingeschakeld, kan Config automatisch het SSM-document AWS-DisableS3BucketPublicReadWrite uitvoeren om de blokkering van openbare toegang voor de bucket opnieuw in te schakelen. Herstel kan automatisch (direct) of handmatig (op aanvraag geactiveerd) plaatsvinden.

De tijdlijn van resources van AWS Config in de console toont elke configuratiewijziging voor een resource als een tijdlijn — je kunt terugscrollen naar elk moment en precies zien hoe de resource er toen uitzag, inclusief de relaties met andere resources (bijvoorbeeld welke beveiligingsgroepen eraan waren gekoppeld en welke IAM-rol ermee was geassocieerd). Als je op een relatie klikt, ga je naar de tijdlijn van de gerelateerde resource. Hierdoor is Config onmisbaar voor analyse van de hoofdoorzaak: je kunt precies vaststellen welke wijziging de productieomgeving heeft verstoord.

Een configuratieaggregator verzamelt Config-gegevens uit meerdere AWS-accounts en regio's in één account voor centrale rapportage over naleving. In een AWS-organisatie kun je een aggregator maken in het beheerdersaccount die automatisch alle lidaccounts opneemt, zonder dat voor elk account afzonderlijke autorisatie nodig is. Aggregators ondersteunen query's met geavanceerde query's — een SQL-achtige interface waarmee je binnen enkele seconden alle resources die niet aan de regels voldoen in de hele organisatie kunt vinden.

Wanneer je duizenden resources hebt die niet aan de regels voldoen, kun je met de uitzonderingen voor herstel van Config specifieke resources gedurende een bepaalde periode vrijstellen, met een gedocumenteerde reden — zo voorkom je onterecht herstel van legitieme uitzonderingssituaties. Voor opschoning op grote schaal kun je handmatig herstel voor meerdere resources tegelijk starten vanuit de console, of associaties van Systems Manager State Manager gebruiken om gewenste configuraties volgens een schema toe te passen op groepen EC2-instanties, waarbij je de detectie van Config combineert met de handhaving van SSM.

Een veelgestelde vraag op het SAA-C03-examen is het onderscheid tussen Config en CloudTrail. CloudTrail beantwoordt de vragen: wie heeft wat gedaan, wanneer en vanaf welke locatie (auditlogboek van API-aanroepen). AWS Config beantwoordt de vragen: hoe ziet de resource er nu uit en hoe heeft die er in de loop der tijd uitgezien (historie van de configuratiestatus en naleving). Ze vullen elkaar aan — CloudTrail laat zien dat iemand om 15.00 uur ModifySecurityGroup heeft aangeroepen, terwijl Config de status van de beveiligingsgroep voor en na de wijziging toont. Gebruik beide samen voor volledig beveiligingsbeheer.

In deze les heb je geleerd dat AWS Config de configuratiestatus in de loop der tijd vastlegt en resources toetst aan nalevingsregels, dat beheerde en aangepaste regels honderden resourcekenmerken controleren met automatische of op aanvraag uitgevoerde evaluatie, en dat herstel met SSM Automation resources die niet aan de regels voldoen automatisch kan corrigeren zonder menselijke tussenkomst. Hierna bekijken we Conformance Packs en organisatietraces voor beheer op ondernemingsschaal.