Jak AWS Config rejestruje stan zasobów

AWS Config to usługa, która w czasie przechowuje konfigurację zasobów AWS i pozwala oceniać, czy są one zgodne z wymaganymi ustawieniami. Podczas gdy CloudTrail rejestruje wywołania API zmieniające zasoby, Config rejestruje wynikowy stan samych zasobów. Obie usługi wzajemnie się uzupełniają.

Podstawową jednostką jest element konfiguracji (CI): migawka atrybutów, relacji i metadanych zasobu z określonego momentu. Za każdym razem, gdy zasób się zmienia, Config rejestruje nowy CI. Ten strumień elementów konfiguracji tworzy pełną historię wyglądu każdego zasobu oraz czasu, w którym dany stan występował.

Rejestrowanie odbywa się za pomocą rejestratora konfiguracji, którego ustawienia włącza się osobno w każdym regionie. Można wybrać śledzenie wszystkich obsługiwanych typów zasobów albo tylko wybranego podzbioru. W celu zapewnienia szerokiego zakresu bezpieczeństwa i zgodności typowym, zalecanym ustawieniem jest rejestrowanie wszystkich typów zasobów.

Config wysyła migawki konfiguracji i historię do kanału dostarczania, który wskazuje wiadro S3 do przechowywania danych oraz opcjonalnie temat SNS do wysyłania powiadomień. Wiadro S3 staje się trwałym rejestrem, który można później przeszukiwać, dlatego jego zabezpieczenie jest częścią ochrony ścieżki audytowej.

Config przechwytuje nie tylko ustawienia zasobu, lecz także jego relacje z innymi zasobami, na przykład grupy zabezpieczeń przypisane do instancji albo podsieć, w której znajduje się interfejs sieciowy. Ta mapa relacji jest bardzo przydatna podczas dochodzeń, ponieważ pozwala zrozumieć, jak zmiana jednego zasobu wpływa na zasoby z nim połączone.

Często sprawdzana na egzaminie różnica wygląda następująco: CloudTrail odpowiada na pytanie „kto wykonał które wywołanie API”, natomiast Config — „jak wyglądał ten zasób i jak się zmienił”. Jeśli trzeba udowodnić, że w ubiegły wtorek grupa zabezpieczeń zezwalała na otwarty dostęp SSH, Config przechowuje ten stan, a CloudTrail pokazuje, kto zatwierdził regułę.

Config działa regionalnie, dlatego należy go włączyć w każdym używanym regionie. Agregator może zbierać dane z wielu kont i regionów w jednym widoku, co jest niezbędne do raportowania zgodności w całej organizacji. Bez agregatora każde konto i każdy region trzeba sprawdzać osobno.

Funkcja advanced query w Config pozwala wykonywać zapytania podobne do SQL dotyczące bieżącej konfiguracji zasobów, na przykład znajdować wszystkie niezaszyfrowane woluminy EBS lub publicznie dostępne wiadra w ramach agregatora. Dzięki temu Config staje się narzędziem do tworzenia wykazu zasobów i oceny stanu zabezpieczeń, a nie tylko biernym rejestratorem.

Config nalicza opłaty za każdy zarejestrowany element konfiguracji oraz za każdą ocenę reguły. Rejestrowanie każdej zmiany w bardzo dynamicznych zasobach może znacząco zwiększyć koszty. Aby nimi zarządzać, można użyć wykluczeń z rejestrowania albo rejestrowania okresowego dla niektórych typów zasobów, zachowując pełne śledzenie zasobów istotnych dla bezpieczeństwa.

Config integruje się z pakietami zgodności, które łączą reguły zgodności, oraz z agregatorami, które łączą wyniki z wielu kont. Dzięki temu centralny zespół bezpieczeństwa może w jednym miejscu wyświetlać stan konfiguracji całej organizacji, zamiast logować się do każdego konta i osobno oceniać zgodność.

Config stanowi podstawę zgodności: dostarcza dowodów dotyczących stanu zasobów w czasie, których wymagają audytorzy, zasila automatyczne reguły wykrywające niezabezpieczone ustawienia i obsługuje automatyczne korygowanie. Jest systemem źródłowym odpowiadającym na pytanie: „czy moje środowisko jest skonfigurowane tak, jak powinno?”, co stanowi jeden z głównych tematów egzaminu.

Sprawdź swoją wiedzę o AWS Config.

AWS Config rejestruje stan zasobów jako elementy konfiguracji za pośrednictwem regionalnego rejestratora konfiguracji, dostarczając migawki do usługi S3 za pośrednictwem kanału dostarczania. Przechwytuje relacje między zasobami, uzupełnia CloudTrail (stan a wywołania API) i łączy dane z wielu kont za pomocą agregatora. Obsługuje zapytania dotyczące wykazu zasobów, reguły zgodności i korygowanie konfiguracji.