AWS Config Kaynak Durumunu Nasıl Kaydeder

AWS Config, AWS kaynaklarınızın yapılandırmasını zaman içinde kaydeden ve bunların istenen ayarlara uygun olup olmadığını değerlendirmenizi sağlayan bir hizmettir. CloudTrail, değişiklik yapan API çağrılarını kaydederken Config, kaynakların kendilerinin ortaya çıkan durumunu kaydeder. Bu iki hizmet birbirini tamamlar.

Temel birim yapılandırma öğesidir (CI): bir kaynağın özniteliklerinin, ilişkilerinin ve meta verilerinin belirli bir andaki anlık görüntüsüdür. Bir kaynak her değiştiğinde Config yeni bir CI kaydeder. Bu CI akışı, her kaynağın nasıl göründüğüne ve bunun ne zaman gerçekleştiğine ilişkin eksiksiz bir geçmiş oluşturur.

Kayıt işlemi, her bölgede etkinleştirdiğiniz yapılandırma kaydedicisi tarafından gerçekleştirilir. desteklenen tüm kaynak türlerini mi yoksa seçtiğiniz bir alt kümeyi mi izleyeceğinizi belirlersiniz. Geniş güvenlik ve uyumluluk kapsamı için tüm kaynak türlerini kaydetmek yaygın ve önerilen ayardır.

Config, yapılandırma anlık görüntülerini ve geçmişini, depolama için bir S3 bucket'ını ve isteğe bağlı olarak bildirimler için bir SNS konusunu gösteren teslim kanalına gönderir. S3 bucket'ı daha sonra sorgulayabileceğiniz kalıcı kayıt haline gelir; bu nedenle bucket'ı güvenlik altına almak, denetim izlerinizi korumanın bir parçasıdır.

Config, bir kaynağın yalnızca ayarlarını değil, hangi güvenlik gruplarının bir bulut sunucusuna bağlandığı veya bir ağ arayüzünün hangi alt ağda bulunduğu gibi diğer kaynaklarla olan ilişkilerini de kaydeder. Bu ilişki haritası incelemeler sırasında çok değerlidir; bir kaynaktaki değişikliğin bağlı kaynakları nasıl etkilediğini anlamanızı sağlar.

Sınavlarda sık karşılaşılan bir ayrım vardır: CloudTrail "hangi API çağrısını kim yaptı" sorusunu yanıtlarken Config "bu kaynak nasıl görünüyordu ve nasıl değişti" sorusunu yanıtlar. Bir güvenlik grubunun geçen salı açık SSH erişimine izin verdiğini kanıtlamanız gerekiyorsa bu durumu Config içerir; kuralı kimin yetkilendirdiğini ise CloudTrail gösterir.

Config bölgesel çalışır; bu nedenle kullandığınız her bölgede etkinleştirmeniz gerekir. Bir toplayıcı, birçok hesap ve bölgedeki verileri kuruluş genelindeki uyumluluk raporlaması için gerekli olan tek bir görünümde birleştirebilir. Toplayıcı olmadan her hesabı ve bölgeyi ayrı ayrı kontrol etmeniz gerekir.

Config'in gelişmiş sorgu özelliği, bir toplayıcı genelindeki şifrelenmemiş EBS birimlerini veya herkese açık bucket'ları bulmak gibi, geçerli kaynak yapılandırmaları üzerinde SQL benzeri sorgular çalıştırmanızı sağlar. Böylece Config yalnızca pasif bir kaydedici değil, envanter ve güvenlik duruşu aracı haline gelir.

Config, kaydedilen her yapılandırma öğesi ve her kural değerlendirmesi için ücretlendirir. Sık değişen kaynaklardaki her değişikliği kaydetmek maliyeti artırabilir. Güvenlikle ilgili kaynakları tamamen izlemeyi sürdürürken maliyeti yönetmek için bazı kaynak türlerinde kayıt hariç tutmalarını veya dönemsel kaydı kullanabilirsiniz.

Config, uyumluluk kurallarını bir araya getiren uygunluk paketleriyle ve hesaplar genelindeki sonuçları birleştiren toplayıcılarla tümleşir. Böylece merkezi bir güvenlik ekibi, uyumluluğu değerlendirmek için her hesaba ayrı ayrı giriş yapmak yerine kuruluşun tamamının yapılandırma güvenlik duruşunu tek bir yerde görebilir.

Config, uyumluluk için temel bir hizmettir: denetçilerin talep ettiği kaynak durumunun zaman içindeki kanıtını sağlar, güvenli olmayan ayarları algılayan otomatik kuralları besler ve otomatik düzeltmeyi destekler. "Ortamım olması gerektiği gibi yapılandırılmış mı?" sorusu için kayıt sistemi görevi görür; bu, sınavın temel konularından biridir.

AWS Config anlayışınızı sınayın.

AWS Config, bölgesel bir yapılandırma kaydedicisi aracılığıyla kaynakların durumunu yapılandırma öğeleri olarak kaydeder ve anlık görüntülerini bir S3 teslim kanalına gönderir. Kaynaklar arasındaki ilişkileri yakalar, CloudTrail'i tamamlar (durum ile API çağrıları arasındaki ayrım) ve bir toplayıcı kullanarak hesaplar genelindeki verileri bir araya getirir. Envanter sorgularını, uyumluluk kurallarını ve düzeltme işlemlerini destekler.