Правила AWS Config и устранение нарушений

AWS Config — это сервис непрерывного аудита конфигурации, который с течением времени записывает состояние конфигурации Ваших ресурсов AWS и оценивает эти конфигурации по заданным правилам. В отличие от CloudTrail, который записывает, кто и что сделал, AWS Config отвечает на вопросы: как этот ресурс выглядит сейчас? и как он выглядел в любой момент в прошлом? Он также отвечает на вопрос: соответствует ли эта конфигурация моей политике? — поэтому это основной сервис для управления и обеспечения соответствия требованиям.

Когда AWS Config записывает ресурс, он создает элемент конфигурации (CI) — снимок атрибутов, взаимосвязей и метаданных ресурса на определенный момент времени. При каждом изменении ресурса записывается новый CI. AWS Config хранит полную историю конфигурации каждого ресурса, позволяя увидеть, как группа безопасности менялась на протяжении месяцев и когда именно было добавлено или удалено правило. CI доставляются в корзину S3 и, при необходимости, в CloudWatch Events.

Чтобы начать использовать AWS Config, создайте регистратор конфигурации (указав типы ресурсов для записи) и канал доставки (указав корзину S3 и, при необходимости, тему SNS для уведомлений об изменениях). Можно записывать все поддерживаемые типы ресурсов или определенное подмножество. Агрегатор конфигурации позволяет объединить данные Config из нескольких учетных записей и регионов в одном представлении для подготовки отчетов о соответствии требованиям на уровне организации.

Правила Config определяют требуемое состояние конфигурации Ваших ресурсов. Управляемые правила Config от AWS — это готовые правила, предоставляемые AWS для распространенных проверок соответствия требованиям. Например, s3-bucket-public-read-prohibited проверяет, что корзины S3 недоступны для публичного чтения, ec2-instance-no-public-ip проверяет отсутствие публичных IP-адресов у экземпляров EC2, а iam-password-policy проверяет соответствие политики паролей учетной записи требованиям к сложности. Доступно более 300 управляемых правил.

Если ни одно управляемое правило AWS не охватывает Ваше требование, можно написать пользовательское правило Config с помощью функции AWS Lambda. Lambda получает элементы конфигурации в качестве данных события и должна вернуть вердикт COMPLIANT или NON_COMPLIANT. Пользовательские правила могут обеспечивать соблюдение соглашений об именовании в организации, наличие обязательных тегов, использование одобренных идентификаторов AMI или любой логики, необходимой Вашей команде по обеспечению соответствия требованиям. Правила могут выполняться при изменении (когда ресурс изменяется), периодически (каждые 1, 3, 6, 12 или 24 часа) или в обоих режимах.

Config также поддерживает проактивные правила с использованием AWS CloudFormation Guard — языка политик в виде кода. Проактивные правила оценивают ресурсы до их создания через CloudFormation, AWS CDK или Terraform Cloud, обнаруживая конфигурации, не соответствующие требованиям, во время развертывания, а не после их появления в рабочей среде. Это переносит контроль соответствия требованиям на более ранний этап конвейера инфраструктуры. Проактивная оценка — более новая функция, на которую экзамен SAA-C03 может ссылаться в сценариях управления с подходом «сдвиг влево».

Правила Config можно объединить с действиями автоматического устранения, чтобы исправлять ресурсы, не соответствующие требованиям, без вмешательства человека. Действия по устранению — это документы AWS Systems Manager (SSM) Automation. Например, если корзина S3 перестает соответствовать требованиям из-за включения публичного доступа, Config может автоматически запустить документ SSM AWS-DisableS3BucketPublicReadWrite, чтобы повторно включить блокировку публичного доступа к корзине. Устранение может выполняться автоматически (немедленно) или вручную (по запросу).

Временная шкала ресурсов AWS Config в консоли показывает каждое изменение конфигурации ресурса в виде временной шкалы: Вы можете вернуться к любому моменту и точно увидеть, как выглядел ресурс, включая его связи с другими ресурсами (например, какие группы безопасности были подключены и какая роль IAM была связана с ним). Нажатие на связь открывает временную шкалу соответствующего ресурса. Это делает Config незаменимым инструментом анализа первопричин: Вы можете точно определить, какое изменение нарушило работу Production.

Агрегатор конфигурации собирает данные Config из нескольких аккаунтов и регионов AWS в одном аккаунте для централизованной отчётности о соответствии требованиям. В AWS Organisation Вы можете создать агрегатор в управляющем аккаунте, который автоматически включит все аккаунты участников без необходимости отдельной авторизации. Агрегаторы поддерживают запросы с помощью Advanced Queries — интерфейса, похожего на SQL, который позволяет за считанные секунды найти все ресурсы, не соответствующие требованиям, во всей организации.

Если у Вас тысячи ресурсов, не соответствующих требованиям, исключения для устранения нарушений Config позволяют освободить определённые ресурсы от проверок на заданный период с указанием документированной причины — это помогает избежать ошибочного устранения проблем в обоснованных нестандартных случаях. Для масштабной очистки Вы можете массово запустить устранение вручную из консоли или использовать связи диспетчера состояний Systems Manager, чтобы по расписанию применять требуемые конфигурации к группам экземпляров EC2, объединяя обнаружение Config с принудительным применением настроек SSM.

Один из распространённых вопросов SAA-C03 — различить Config и CloudTrail. CloudTrail отвечает на вопросы: кто, что, когда и откуда сделал (журнал аудита вызовов API). AWS Config отвечает на вопросы: как ресурс выглядит сейчас и как он выглядел раньше (история состояния конфигурации и соответствия требованиям). Эти сервисы дополняют друг друга: CloudTrail показывает, что кто-то вызвал ModifySecurityGroup в 15:00, а Config показывает состояние группы безопасности до и после изменения. Используйте их вместе для полноценного управления безопасностью.

Проверьте своё понимание концепций AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что AWS Config записывает состояние конфигурации во времени и проверяет ресурсы на соответствие правилам, управляемые и пользовательские правила проверяют сотни атрибутов ресурсов автоматически или по запросу, а автоматическое устранение нарушений с помощью SSM может исправлять несоответствия без участия человека. Далее мы рассмотрим Conformance Packs и Organisation Trails для управления инфраструктурой предприятия.