Как AWS Config записывает состояние ресурсов

AWS Config — это сервис, который с течением времени записывает конфигурацию ваших ресурсов AWS и позволяет оценить, соответствуют ли они желаемым настройкам. Если CloudTrail записывает вызовы API, изменяющие ресурсы, то Config записывает их итоговое состояние. Эти сервисы дополняют друг друга.

Основной единицей является элемент конфигурации (CI) — снимок атрибутов, связей и метаданных ресурса на определённый момент времени. Каждый раз при изменении ресурса Config записывает новый CI. Этот поток CI формирует полную историю того, как выглядел каждый ресурс и когда.

Запись выполняется с помощью регистратора конфигурации, которого необходимо включить в каждом регионе. Вы выбираете, отслеживать ли все поддерживаемые типы ресурсов или только выбранное подмножество. Для широкого охвата безопасности и соответствия требованиям обычно рекомендуется записывать все типы ресурсов.

Config отправляет снимки конфигурации и историю в канал доставки, который указывает на бакет S3 для хранения и, при необходимости, на тему SNS для уведомлений. Бакет S3 становится долговечной записью, которую можно запросить позднее, поэтому его защита — часть защиты журнала аудита.

Config фиксирует не только настройки ресурса, но и его связи с другими ресурсами: например, какие группы безопасности подключены к экземпляру или в какой подсети находится сетевой интерфейс. Эта карта связей особенно полезна при расследованиях и помогает понять, как изменение одного ресурса влияет на связанные с ним ресурсы.

Часто встречающееся на экзамене различие: CloudTrail отвечает на вопрос «кто выполнил какой вызов API», а Config — «как выглядел этот ресурс и как он изменился». Если нужно доказать, что во вторник прошлого года группа безопасности разрешала открытый доступ по SSH, состояние хранится в Config, а CloudTrail показывает, кто авторизовал это правило.

Config работает на уровне региона, поэтому его нужно включить в каждом используемом регионе. Агрегатор может объединять данные из множества аккаунтов и регионов в одном представлении, что необходимо для формирования отчётов о соответствии требованиям во всей организации. Без агрегатора каждый аккаунт и регион пришлось бы проверять отдельно.

Функция расширенных запросов Config позволяет выполнять запросы, подобные SQL, к текущим конфигурациям ресурсов — например, находить все незашифрованные тома EBS или общедоступные бакеты во всех аккаунтах агрегатора. Благодаря этому Config становится инструментом инвентаризации и оценки защищённости, а не только пассивным регистратором.

Config взимает плату за каждый записанный элемент конфигурации и каждую проверку правила. Запись каждого изменения в ресурсах с высокой динамикой может привести к заметным расходам. Для некоторых типов ресурсов можно использовать исключения из записи или периодическую запись, контролируя стоимость и при этом обеспечивая полное отслеживание ресурсов, важных для безопасности.

Config интегрируется с пакетами соответствия, объединяющими правила соответствия, и с агрегаторами, объединяющими результаты из разных аккаунтов. Благодаря этому центральная команда безопасности видит состояние конфигурации всей организации в одном месте, вместо того чтобы входить в каждый аккаунт и отдельно оценивать соответствие требованиям.

Config имеет фундаментальное значение для соответствия требованиям: он предоставляет доказательства состояния ресурсов во времени, которые требуются аудиторам, передаёт данные автоматизированным правилам, обнаруживающим небезопасные настройки, и поддерживает автоматическое устранение нарушений. Это система учёта, отвечающая на вопрос «настроена ли моя среда должным образом», — одна из центральных тем экзамена.

AWS Config записывает состояние ресурсов в виде элементов конфигурации с помощью регионального регистратора конфигурации, доставляя снимки в S3 канал доставки. Он фиксирует связи между ресурсами, дополняет CloudTrail (состояние в сравнении с вызовами API) и объединяет данные разных аккаунтов с помощью агрегатора. Он поддерживает запросы инвентаризации, правила соответствия и устранение нарушений.