Автоматическое исправление с помощью правил Config

Обнаружить ресурс, не соответствующий требованиям, — лишь половина задачи; автоматическое устранение несоответствий исправляет проблему без участия человека. AWS Config может связать действие по устранению несоответствия с правилом, чтобы при переходе ресурса в состояние НЕСООТВЕТСТВИЯ исправление выполнялось автоматически. Это сокращает время, в течение которого небезопасная настройка остается уязвимой.

Устранение несоответствий в Config выполняется с помощью документов автоматизации AWS Systems Manager (SSM), также называемых сценариями выполнения. AWS предоставляет множество готовых документов, например документ для отключения публичного доступа к корзине S3 или шифрования тома. В документе точно определены шаги, необходимые для восстановления соответствия ресурса требованиям.

Вы связываете действие по устранению несоответствия с правилом Config и сопоставляете результат работы правила, например идентификатор ресурса, с входными параметрами сценария выполнения. Когда правило сообщает о несоответствии, Config запускает документ SSM для конкретного ресурса, замыкая цикл от обнаружения до исправления.

Устранение несоответствия может быть автоматическим и запускаться сразу после обнаружения несоответствия либо ручным, когда оператор сначала проверяет ситуацию, а затем запускает исправление. Автоматический вариант подходит для однозначных и безопасных исправлений, а ручной — для изменений, способных нарушить работу приложения и требующих предварительного решения человека.

Документ SSM выполняется с использованием указанной вами роли IAM, которой нужны разрешения на внесение исправлений, например на изменение группы безопасности или включение шифрования. В соответствии с принципом минимальных привилегий эта роль должна предоставлять только действия, необходимые сценарию выполнения, поскольку фактически получает возможность изменять ваши ресурсы.

Вы можете настроить количество повторных попыток устранения несоответствия и период, в течение которого они выполняются. Если исправление неоднократно завершается сбоем, ресурс остается несоответствующим требованиям и становится виден для ручной обработки. Понимание этого поведения помогает избежать неожиданностей: автоматическое устранение работает по принципу максимальных усилий и не гарантирует успех, поэтому отслеживать результаты все равно необходимо.

Классический вариант — связать правило s3-bucket-public-read-prohibited со сценарием устранения несоответствия, который применяет блокировку публичного доступа ко всем корзинам, отмеченным как публичные. Как только кто-то открывает корзину для общего доступа, Config обнаруживает это, а сценарий выполнения повторно защищает ее — часто в течение нескольких минут и без участия оператора.

Устранение несоответствия реагирует уже после возникновения неправильного состояния. Предотвращающие защитные ограничения, такие как SCP или границы разрешений, не позволяют такому состоянию возникнуть. Наиболее надежные архитектуры используют оба подхода: предотвращают все возможное и автоматически устраняют оставшиеся нарушения. На экзамене часто противопоставляются предотвращающие меры и меры обнаружения с последующим исправлением.

Автоматические исправления могут иметь побочные эффекты. Повторное шифрование или защита ресурса может кратковременно нарушить работу сервиса или вступить в конфликт с обоснованным изменением. Сначала проверяйте сценарии выполнения в непроизводственной среде, тщательно ограничивайте область действия правил и рассматривайте ручное устранение для важных ресурсов, чтобы автоматизация не нанесла больший ущерб, чем исправляемая ошибка настройки.

С помощью пакетов соответствия требованиям вы можете одновременно развернуть правила вместе с действиями по устранению несоответствий во всех учетных записях организации. Это обеспечивает единый подход к самовосстановлению повсюду: ошибка настройки в любой учетной записи будет обнаружена и исправлена по одному и тому же автоматизированному стандарту.

Автоматическое устранение несоответствий завершает общую схему работы Config: зафиксировать состояние, проверить его правилами и автоматически исправить с помощью сценариев выполнения SSM, запущенных с ролью, имеющей минимальные привилегии. При осторожном использовании вместе с предотвращающими защитными ограничениями этот подход поддерживает постоянное соответствие вашей среды требованиям и значительно сокращает время существования любой небезопасной настройки.

Проверьте свои знания об автоматическом устранении несоответствий.

Автоматическое устранение несоответствий связывает документ автоматизации SSM с правилом Config, чтобы ресурсы, не соответствующие требованиям, исправлялись автоматически или после ручной проверки. Сценарий выполнения запускается с использованием роли IAM с минимальными привилегиями и настраиваемыми повторными попытками. Сочетайте его с предотвращающими защитными ограничениями, предварительно проверяйте сценарии выполнения и развертывайте их во всей организации через пакеты соответствия требованиям, создавая самовосстанавливающуюся среду, постоянно соответствующую требованиям.