托管式和自定义 Config 规则

Config 规则用于评估资源是否符合期望的配置，并将每个资源报告为 COMPLIANT 或“不合规”。记录状态是被动的；规则增加了判断层，可以自动标记不安全的设置，使 Config 成为持续合规引擎。

托管规则由 AWS 针对常见检查预先构建，因此您无需编写代码即可启用。示例包括 s3-bucket-public-read-prohibited、encrypted-volumes、iam-password-policy 和 restricted-ssh。这些规则覆盖数百项最佳实践，是建立合规基线最快的方法。

当没有合适的托管规则时，您可以编写自定义规则。这些规则可以作为接收资源配置并返回合规判定的 Lambda 函数运行，也可以作为使用 AWS 策略即代码语言的 Guard policy 运行。自定义规则可以表达托管规则无法表达的组织特定要求。

规则有两种触发器类型。配置变更触发器会在资源发生变化时进行评估，从而实现近乎实时的合规检查。定期触发器会按照固定计划运行，不论资源是否发生变化；它适用于依赖时间或账户级设置，而不是依赖单个资源事件的检查。

Config 控制面板会显示每条规则的合规状态，并列出不合规的资源。这会生成一份按优先级排列的不安全配置待办清单。从安全角度看，公共 S3 存储桶、未加密卷和开放的安全组等规则，会准确列出需要修复的资源。

许多规则接受参数，以便调整检查方式。例如，iam-password-policy 规则允许您指定最小长度和轮换要求。参数让一条托管规则能够执行您组织的具体标准，而不是通用默认值，并且无需编写自定义代码。

合规包会将许多规则和修复操作打包成一个可部署的软件包，通常会映射到 CIS 或 PCI DSS 等框架。通过聚合器或 Organizations 跨账户部署合规包后，可以一次性应用完整的合规标准，而不必逐条启用规则。

您可以将规则限定到特定资源类型或标签，使其只评估真正重要的对象，从而同时减少干扰和成本。Config 会按规则评估次数收费，因此合理限定范围并选择正确的触发类型，可以让大型规则集保持经济实惠，同时继续覆盖安全关键资源。

Config 规则与 Security Hub 标准存在重叠，而且 Security Hub 的许多检查实际上在后台使用了 Config。Config 规则提供细粒度、可自定义的逐资源合规性检查；Security Hub 则汇总各项服务的发现结果，生成安全状况评分。考试可能会问，针对自定义的资源级检查应使用哪项服务：答案是 Config 规则。

以 restricted-ssh 为例：如果某个安全组允许从 0.0.0.0/0 通过端口 22 不受限制地入站 SSH 流量，该规则就会将其标记为不合规。在所有账户中启用这一条规则后，无需编写任何自定义代码，就能持续发现最常见且最危险的错误配置之一。

先使用托管规则和合规包实现广泛覆盖，再通过自定义规则补充您特有的策略。谨慎限定范围，根据您的标准设置参数，并为高价值规则配备修复操作。这种分层方法可以持续、自动地确保您的环境保持安全配置。

测试您对 Config 规则的了解。

Config 规则会将资源标记为合规或不合规。数百条托管规则覆盖常见检查，并支持可选的参数；而自定义规则（Lambda 或 Guard）则用于编码独特的策略。规则可以在发生更改时或按计划触发，也可以针对框架打包成合规包，并通过提供细粒度的逐资源合规性检查来补充 Security Hub。