Regras e correção do AWS Config

O AWS Config é um serviço de auditoria contínua de configurações que registra o estado de configuração dos seus recursos da AWS ao longo do tempo e avalia essas configurações em relação às regras desejadas. Diferentemente do CloudTrail (que registra quem fez o quê), o AWS Config responde como este recurso está configurado agora? e como ele estava configurado em qualquer momento do passado?. Ele também responde: essa configuração está em conformidade com minha política? — o que o torna o serviço principal para governança e conformidade.

Quando o AWS Config registra um recurso, ele cria um item de configuração (CI) — um instantâneo dos atributos, relacionamentos e metadados do recurso em determinado momento. Sempre que um recurso muda, um novo CI é registrado. O AWS Config mantém um histórico completo de configuração para cada recurso, permitindo ver como um grupo de segurança evoluiu ao longo dos meses e exatamente quando uma regra foi adicionada ou removida. Os CIs são entregues a um bucket do S3 e, opcionalmente, ao CloudWatch Events.

Para começar a usar o AWS Config, você cria um registrador de configuração (especificando quais tipos de recursos registrar) e um canal de entrega (especificando um bucket do S3 e um tópico SNS opcional para notificações de alterações). Você pode registrar todos os tipos de recursos compatíveis ou um subconjunto específico. Um agregador de configuração permite consolidar dados do Config de várias contas e Regiões em uma única visualização para relatórios de conformidade de toda a organização.

As regras do Config definem o estado de configuração desejado para seus recursos. As regras gerenciadas do AWS Config são regras pré-criadas fornecidas pela AWS para verificações comuns de conformidade — por exemplo, s3-bucket-public-read-prohibited verifica se os buckets do S3 não podem ser lidos publicamente; ec2-instance-no-public-ip verifica se as instâncias do EC2 não têm IPs públicos; e iam-password-policy verifica se a política de senhas da sua conta atende aos requisitos de complexidade. Há mais de 300 regras gerenciadas disponíveis.

Quando nenhuma regra gerenciada pela AWS atende ao seu requisito, você pode escrever uma regra personalizada do Config usando uma função do AWS Lambda. O Lambda recebe itens de configuração como dados da carga do evento e deve retornar um veredito COMPLIANT ou NON_COMPLIANT. As regras personalizadas podem impor convenções de nomenclatura específicas da organização, tags obrigatórias, IDs de AMIs aprovadas ou qualquer lógica exigida pela sua equipe de conformidade. As regras podem avaliar quando houver alteração (quando o recurso mudar), periodicamente (a cada 1, 3, 6, 12 ou 24 horas) ou em ambos os momentos.

O Config também oferece suporte a regras proativas usando o AWS CloudFormation Guard — uma linguagem de política como código. As regras proativas avaliam os recursos antes que sejam criados por meio do CloudFormation, do AWS CDK ou do Terraform Cloud, identificando configurações fora de conformidade no momento da implantação, em vez de fazê-lo depois que elas existirem em produção. Isso antecipa a conformidade no pipeline de infraestrutura. A avaliação proativa é um recurso mais recente que pode ser mencionado no exame SAA-C03 em cenários de governança com antecipação de controles.

As regras do Config podem ser associadas a ações de remediação automática para que recursos fora de conformidade sejam corrigidos sem intervenção humana. As ações de remediação são documentos de automação do AWS Systems Manager (SSM). Por exemplo, se um bucket do S3 ficar fora de conformidade porque alguém habilitou o acesso público, o Config poderá executar automaticamente o documento do SSM AWS-DisableS3BucketPublicReadWrite para reabilitar o bloqueio de acesso público do bucket. A remediação pode ser automática (imediata) ou manual (acionada sob demanda).

A Linha do tempo do recurso do AWS Config no console mostra cada alteração de configuração de um recurso em uma linha do tempo — pode voltar a qualquer momento e ver exatamente como o recurso estava, incluindo as relações com outros recursos (por exemplo, quais grupos de segurança estavam associados e qual função do IAM estava vinculada). Ao clicar em uma relação, é aberta a linha do tempo do recurso relacionado. Isso torna o Config indispensável para a análise da causa raiz: pode identificar exatamente qual alteração interrompeu o ambiente de produção.

Um agregador de configurações reúne dados do Config de várias contas e Regiões AWS em uma única conta para gerar relatórios de conformidade centralizados. Em uma AWS Organisation, pode criar um agregador na conta de gerenciamento que inclua automaticamente todas as contas-membro, sem exigir autorização individual. Os agregadores são compatíveis com consultas usando Advanced Queries — uma interface semelhante a SQL para localizar, em segundos, todos os recursos não conformes na organização.

Quando há milhares de recursos não conformes, as exceções de correção do Config permitem isentar recursos específicos por um período definido, com um motivo documentado — evitando a correção indevida de casos excepcionais legítimos identificados como falsos positivos. Para a limpeza em grande escala, pode acionar a correção manual em massa no console ou usar associações do Systems Manager State Manager para aplicar configurações desejadas a conjuntos de instâncias EC2 conforme uma programação, combinando a detecção do Config com a aplicação do SSM.

Uma pergunta comum do SAA-C03 é diferenciar o Config do CloudTrail. O CloudTrail responde: quem fez o quê, quando e de onde (registro de auditoria de chamadas de API). O AWS Config responde: qual é o estado atual do recurso e como ele se apresentou ao longo do tempo (histórico do estado da configuração e da conformidade). Eles são complementares — o CloudTrail informa que alguém chamou ModifySecurityGroup às 15h, enquanto o Config mostra o estado do grupo de segurança antes e depois da alteração. Use ambos em conjunto para obter uma governança de segurança completa.

Teste sua compreensão dos conceitos de AWS Solutions Architect (SAA-C03) desta lição.

Nesta lição, você aprendeu que o AWS Config registra o estado da configuração ao longo do tempo e avalia os recursos de acordo com regras de conformidade; que as regras gerenciadas e personalizadas verificam centenas de atributos de recursos com avaliação automática ou sob demanda; e que a correção com o SSM Automation pode corrigir automaticamente recursos não conformes sem intervenção humana. A seguir, exploraremos os Conformance Packs e os Organisation Trails para a governança em escala empresarial.