Häufig gestellte Fragen

Meine letzten Konfigurationsänderungen können nicht angezeigt werden

Kann ich damit rechnen, dass ich meine Konfigurationsänderungen sofort sehe?

AWS Config zeichnet in der Regel Konfigurationsänderungen an Ihren Ressourcen auf, unmittelbar nachdem eine Änderung erkannt wurde, oder in der von Ihnen angegebenen Häufigkeit. Dies erfolgt jedoch nach bestem Wissen und kann manchmal länger dauern. Wenn die Probleme nach einiger Zeit weiterhin bestehen, wenden Sie sich an uns AWS Supportund geben Sie Ihre von Amazon unterstützten AWS Config Messwerte an. CloudWatch Informationen zu diesen Kennzahlen finden Sie unter AWS Config Nutzungs- und Erfolgsmetriken.

Indirekte Beziehungen in AWS Config

Was ist eine Ressourcenbeziehung?

In beziehen sich Ressourcen auf Entitäten AWS, die verwaltbar sind, z. B. eine Amazon Elastic Compute Cloud (Amazon EC2) -Instance, einen AWS CloudFormation Stack oder einen Amazon S3 S3-Bucket. AWS Config ist ein Service, der Ressourcen verfolgt und überwacht, indem er Konfigurationselemente (CIs) erstellt, wann immer eine Änderung an einem aufgezeichneten Ressourcentyp festgestellt wird, oder bei der von Ihnen festgelegten Aufzeichnungshäufigkeit. Wenn es beispielsweise für die Nachverfolgung von Amazon EC2 EC2-Instances eingerichtet AWS Config ist, erstellt es jedes Mal, wenn eine Instance erstellt, aktualisiert oder gelöscht wird, ein Konfigurationselement. Jedes von erstellte Konfigurationselement AWS Config hat mehrere FelderaccountId, darunter arn (Amazon-Ressourcenname)awsRegion,configuration,tags, undrelationships. Das Beziehungsfeld eines CI AWS Config ermöglicht es, anzuzeigen, wie Ressourcen miteinander verknüpft sind. Eine Beziehung kann beispielsweise aufzeigen, dass ein Amazon-EBS-Volume mit der ID vol-123ab45d an eine Amazon-EC2-Instance mit der ID i-a1b2c3d4 angehängt ist, die der Sicherheitsgruppe sg-ef678hk zugeordnet ist.

Was ist eine direkte und eine indirekte Beziehung in Bezug auf eine Ressource?

AWS Config leitet die Beziehungen für die meisten Ressourcentypen aus dem Konfigurationsfeld ab, die als „direkte“ Beziehungen bezeichnet werden. Eine direkte Beziehung ist eine unidirektionale Verbindung (A→B) zwischen einer Ressource (A) und einer anderen Ressource (B), die typischerweise aus der Describe-API-Antwort der Ressource (A) abgerufen wird. In der Vergangenheit wurden für einige Ressourcentypen, die AWS Config ursprünglich unterstützt wurden, auch Beziehungen aus den Konfigurationen anderer Ressourcen erfasst, wodurch „indirekte“ Beziehungen geschaffen wurden, die bidirektional sind (B→A). Beispielsweise ist die Beziehung zwischen einer Amazon-EC2-Instance und ihrer Sicherheitsgruppe direkt, da die Sicherheitsgruppen in der Describe-API-Antwort für die Amazon-EC2-Instance enthalten sind. Andererseits ist die Beziehung zwischen einer Sicherheitsgruppe und einer Amazon-EC2-Instance indirekt, da die Beschreibung einer Sicherheitsgruppe keine Informationen über die Instances zurückgibt, mit denen sie verknüpft ist. Wenn also eine Änderung der Ressourcenkonfiguration erkannt wird, erstellt AWS Config nicht nur ein CI für diese Ressource, sondern generiert auch CIs für alle verwandten Ressourcen, einschließlich solcher mit indirekten Beziehungen. Wenn beispielsweise Änderungen an einer Amazon EC2 EC2-Instance AWS Config erkannt werden, erstellt es ein CI für die Instance und ein CI für die Sicherheitsgruppe, die der Instance zugeordnet ist.

Welche indirekten Beziehungen werden AWS Config unterstützt?

Die folgenden indirekten Ressourcenbeziehungen werden in unterstützt AWS Config.

Ressourcentyp	steht in indirektem Zusammenhang mit dem Ressourcentyp
AWS::EC2::RouteTable	AWS::EC2::Instance, AWS::EC2::NetworkInterface, AWS::EC2::Subnet, AWS::EC2::VPNGateway, AWS::EC2::VPC
AWS::EC2::EIP	AWS::EC2::Instance, AWS::EC2::NetworkInterface
AWS::EC2::Instance	AWS::EC2::SecurityGroup, AWS::EC2::Subnet, AWS::EC2::VPC
AWS::EC2::NetworkInterface	AWS::EC2::SecurityGroup, AWS::EC2::Subnet, AWS::EC2::VPC
AWS::EC2::NetworkACL	AWS::EC2::Subnet, AWS::EC2::VPC
AWS::EC2::VPNConnection	AWS::EC2::VPNGateway, AWS::EC2::CustomerGateway
AWS::EC2::InternetGateway	AWS::EC2::VPC
AWS::EC2::SecurityGroup	AWS::EC2::VPC
AWS::EC2::Subnet	AWS::EC2::VPC
AWS::EC2::VPNGateway	AWS::EC2::VPC

Wie werden die Konfigurationselemente aufgrund der direkten und indirekten Beziehung erstellt?

Bei einer direkten Beziehung zwischen Ressourcen (A→B) wird bei jeder Konfigurationsänderung an der Ressource B auch ein Konfigurationselement (CI) für die Ressource A initiiert. Ähnlich wird für eine indirekte Beziehung (B→A) ein neues CI für Ressource B generiert, wenn eine Konfigurationsänderung an Ressource A vorgenommen wird. Beispielsweise ist die Beziehung einer Amazon-EC2-Instance zu einer Sicherheitsgruppe direkt, sodass bei jeder Konfigurationsänderung an einer Sicherheitsgruppe sowohl ein CI für die Sicherheitsgruppe als auch eines für die EC2-Instance generiert werden würde. In ähnlicher Weise ist die Beziehung einer Sicherheitsgruppe zu einer Amazon-EC2-Instance indirekt, sodass jede Konfigurationsänderung an einer EC2-Instance sowohl ein CI für die Amazon-EC2-Instance als auch eines für die Sicherheitsgruppe generieren würde.

Welche Konfigurationselemente werden aufgrund indirekter Beziehungen generiert?

Im Folgenden sind die zusätzlichen Konfigurationselemente (CIs) aufgeführt, die aufgrund indirekter Ressourcenbeziehungen generiert werden.

Konfigurationsänderungen an folgenden Ressourcentypen	generieren Konfigurationselemente für folgende Ressourcentypen
AWS::EC2::RouteTable	AWS::EC2::Instance, AWS::EC2::NetworkInterface, AWS::EC2::Subnet, AWS::EC2::VPNGateway, und AWS::EC2::VPC
AWS::EC2::EIP	AWS::EC2::Instance, AWS::EC2::NetworkInterface
AWS::EC2::Instance	AWS::EC2::SecurityGroup, AWS::EC2::Subnet, AWS::EC2::VPC
AWS::EC2::NetworkInterface	AWS::EC2::SecurityGroup, AWS::EC2::Subnet, AWS::EC2::VPC
AWS::EC2::NetworkACL	AWS::EC2::Subnet, AWS::EC2::VPC
AWS::EC2::VPNConnection	AWS::EC2::VPNGateway, AWS::EC2::CustomerGateway
AWS::EC2::InternetGateway	AWS::EC2::VPC
AWS::EC2::SecurityGroup	AWS::EC2::VPC
AWS::EC2::Subnet	AWS::EC2::VPC
AWS::EC2::VPNGateway	AWS::EC2::VPC

Wie rufe ich Konfigurationsdaten ab, die sich auf indirekte Beziehungen beziehen?

Sie können SQL-Abfragen (Structured Query Language) in AWS Config Advanced Queries ausführen, um Konfigurationsdaten abzurufen, die sich auf indirekte Ressourcenbeziehungen beziehen. Wenn Sie beispielsweise die Liste der Amazon-EC2-Instances abrufen möchten, die sich auf eine Sicherheitsgruppe beziehen, verwenden Sie die folgende Abfrage:

SELECT
    resourceId,
    resourceType
    WHERE
    resourceType ='AWS::EC2::Instance' 
    AND
    relationships.resourceId = 'sg-234213'