通过 Config 规则自动修复

发现不合规资源只是工作的一半；自动修复可以自动解决问题。AWS Config 可以为规则附加修复操作，这样当资源变为不合规时，修复操作就会运行，而无需等待人工处理。这样可以缩短不安全配置暴露的时间。

Config 修复由 AWS Systems Manager (SSM) 自动化文档提供支持，这些文档也称为运行手册。AWS 提供了许多预定义文档，例如用于关闭 S3 存储桶公开访问或加密卷的文档。文档会定义将资源恢复为合规状态所需执行的确切步骤。

您可以将修复操作与 Config 规则关联，并将规则的输出（例如资源 ID）映射到运行手册的输入参数。当规则报告不合规时，Config 会针对该特定资源调用 SSM 文档，从而完成从检测到纠正的闭环。

修复可以是自动的，在检测到不合规后立即执行；也可以是手动的，由操作员审核后触发修复。自动修复适合明确且安全的纠正操作；手动修复适合可能干扰工作负载、需要人工判断后才能执行的更改。

SSM 文档会在您指定的 IAM 角色下运行，而该角色需要拥有执行修复操作的权限，例如修改安全组或启用加密。遵循最小权限原则时，该角色应仅授予运行手册所需的操作权限，因为它实际上拥有更改您资源的能力。

您可以配置修复操作的重试次数及重试时间窗口。如果修复反复失败，资源会继续处于不合规状态，并提示人工处理。了解这一行为可以避免意外：修复属于尽力而为的自动化，并非保证成功，因此仍然需要监控结果。

一种经典模式是将 s3-bucket-public-read-prohibited 规则与修复运行手册结合起来，由运行手册为任何被标记为公开的存储桶应用阻止公开访问设置。一旦有人公开了存储桶，Config 就会检测到，运行手册通常会在几分钟内重新保护该存储桶，全程无需操作员介入。

修复是在错误状态出现后做出响应。SCP 或权限边界等预防性防护机制则会阻止错误状态发生。最强大的设计会将两者结合起来：能预防的问题就提前预防，剩余缺口则自动修复。考试经常会对比预防性控制与检测加纠正型控制。

自动修复可能产生副作用。重新加密或重新保护资源可能会短暂干扰服务，或与合法的更改发生冲突。请先在非生产环境中测试运行手册，仔细限定规则范围，并考虑对敏感资源使用手动修复，确保自动化造成的损害不会超过其要修复的错误配置。

通过合规包，您可以一次性将规则及其修复操作部署到组织中的每个账户。这会在所有位置强制实施一致的自我修复安全状况，使任何账户中的错误配置都能由同一自动化标准发现并纠正。

自动修复完善了 Config 的整体流程：记录状态，使用规则进行评估，再通过最小权限角色下运行的 SSM 运行手册自动修复。谨慎地将它与预防性防护机制结合使用，可以让您的环境持续保持合规，并大幅缩短任何不安全设置的持续时间。

测试您对自动修复的了解。

自动修复会将 SSM 自动化文档附加到 Config 规则，使不合规资源能够自动修复，或在人工审核后修复。运行手册会在最小权限的 IAM 角色下运行，并支持配置重试。请将其与预防性防护机制结合，先测试运行手册，再通过合规包在组织范围内部署，从而构建自我修复、持续合规的环境。