AWS Config 如何记录资源状态
了解 Config 为您保留的配置快照。
AWS Config 如何记录资源状态 是 CoddyKit 上的免费 Cloud & IT Cert Prep 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cloud & IT Cert Prep 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cloud & IT Cert Prep 课程共包含 4 节课。
什么是 AWS Config
AWS Config 是一项服务，可记录 AWS 资源随时间变化的配置，并让您评估这些资源是否符合期望的设置。CloudTrail 记录改变资源的 API 调用，而 Config 记录资源本身最终形成的 状态。二者相辅相成。
配置项
核心单位是配置项（CI）：它是资源属性、关系和元数据在某个时间点的快照。每当资源发生变化时，Config 都会记录一个新的 CI。这些 CI 组成的流完整记录了每个资源在何时呈现出的状态。
配置记录器
记录工作由配置记录器完成，您需要按区域启用它。您可以选择跟踪所有受支持的资源类型，也可以选择其中一部分。为了实现广泛的安全和合规覆盖，通常建议记录所有资源类型。
传送通道
Config 会将配置快照和历史记录发送到传送通道。该通道指向用于存储的 S3 存储桶，还可以选择性地指向用于通知的 SNS 主题。S3 存储桶会成为您日后可以查询的持久记录，因此锁定其访问权限是保护审计轨迹的一部分。
资源关系
Config 不仅会捕获资源的设置，还会捕获它与其他资源之间的关系，例如哪些安全组附加到某个实例，或某个网络接口位于哪个子网中。这张关系图在调查期间非常有用，可以帮助您了解对一个资源的更改会如何影响与其连接的资源。
Config 与 CloudTrail 的区别
考试中经常考查的一项区别是：CloudTrail 回答“谁进行了哪个 API 调用”，而 Config 回答“这个资源当时是什么状态，以及它如何发生变化”。如果您需要证明某个安全组上周二允许开放 SSH，Config 保存了该状态；CloudTrail 则显示是谁授权了这条规则。
多账户、多区域
Config 是区域级服务，因此您需要在使用的每个区域中启用它。聚合器可以将多个账户和区域的数据汇总到一个视图中，这对于整个组织范围的合规报告至关重要。没有聚合器时，您必须分别检查每个账户和区域。
查询当前状态
Config 的高级查询功能允许您对当前资源配置运行类似 SQL 的查询，例如通过聚合器查找所有未加密的 EBS 卷或可公开访问的存储桶。这样一来，Config 不再只是被动的记录器，还能成为资产清单和安全态势工具。
SELECT resourceId, configuration.encrypted
WHERE resourceType = 'AWS::EC2::Volume'
AND configuration.encrypted = false关注成本
Config 按记录的配置项数量以及规则评估次数计费。对高度动态的资源记录每次变更，成本可能会逐渐增加。您可以对某些资源类型使用记录排除项或定期记录，在控制成本的同时完整跟踪与安全相关的资源。
合规与聚合
Config 可以与用于打包合规规则的合规包以及用于跨账户合并结果的聚合器集成。这样，中央安全团队就能在一个位置查看整个组织的配置态势，而不必登录每个账户分别评估合规性。
为什么它对安全很重要
Config 是合规性的基础：它提供审计人员要求的资源状态历史证据，支持用于检测不安全设置的自动化规则，并支持自动修复。它是回答“我的环境是否按应有方式配置”的记录系统，这是考试中的核心主题。
快速检查
测试您对 AWS Config 的理解。
回顾
AWS Config 通过区域级配置记录器将资源状态记录为配置项，并通过 S3 传送通道传送快照。它会捕获资源之间的关系，补充 CloudTrail（状态与 API 调用），并通过聚合器跨账户汇总数据。它支持资产清单查询、合规规则和修复。
常见问题解答
「AWS Config 如何记录资源状态」课时是免费的吗？
是的 — 「AWS Config 如何记录资源状态」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cloud & IT Cert Prep 课程的其余内容，请升级到 CoddyKit PRO。 Cloud & IT Cert Prep 课程共包含 4 节课。
「AWS Config 如何记录资源状态」这节课中我会学到什么？
了解 Config 为您保留的配置快照。 你通过在浏览器中直接运行的动手代码来练习 Cloud & IT Cert Prep，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cloud & IT Cert Prep 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cloud & IT Cert Prep 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。
「AWS Config 如何记录资源状态」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cloud & IT Cert Prep 课中编写并运行代码吗？
能。每节 Cloud & IT Cert Prep 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- AWS Config 如何记录资源状态
- 查看配置时间线历史记录
- 托管式和自定义 Config 规则
- 通过 Config 规则自动修复