Überwachen von AWS Ressourcenänderungen mit Amazon SQS

AWS Config verwendet Amazon Simple Notification Service (SNS), um Ihnen jedes Mal Benachrichtigungen zu senden, wenn eine unterstützte AWS Ressource aufgrund von Benutzer-API-Aktivitäten erstellt, aktualisiert oder anderweitig geändert wird. Allerdings sind möglicherweise nur bestimmte Änderungen der Ressourcenkonfiguration für Sie interessant. Möglicherweise ist es z. B. für Sie wichtig, wenn die Konfiguration einer Sicherheitsgruppe geändert wird. Sie müssen aber nicht über jeder Änderung eines Tags bei Ihren Amazon-EC2-Instances informiert werden. Sie können auch ein Programm schreiben, mit dem bei Aktualisierung bestimmter Ressourcen bestimmte Aktionen ausführt werden. Sie können beispielsweise eine bestimmte Workflow-Konfiguration starten, wenn eine Sicherheitsgruppe geändert wird. Wenn Sie die Daten auf diese oder andere Weise programmgesteuert nutzen möchten, verwenden Sie eine Amazon Simple Queue Service-Warteschlange als Benachrichtigungsendpunkt für Amazon SNS. AWS Config

Anmerkung

Benachrichtigungen können von Amazon SNS auch in Form einer E-Mail, einer SMS an SMS-fähige Mobiltelefone und Smartphones, einer Benachrichtigung an eine Anwendung auf einem mobilen Gerät oder einer Benachrichtigung an ein oder mehrere HTTP- oder HTTPS-Endpunkte gesendet werden.

Sie können eine einzelne SQS-Warteschlange mehrere Themen abonnieren, unabhängig davon, ob Sie ein Thema für jede Region oder ein Thema für jedes Konto für jede Region haben. Sie müssen die Warteschlange vom gewünschten SNS-Thema abonnieren lassen. (Sie können mehrere Warteschlangen in einem SNS-Thema abonnieren.) Weitere Informationen finden Sie unter Senden von Amazon-SNS-Nachrichten an Amazon-SQS-Warteschlangen.

Berechtigungen für Amazon SQS

Um Amazon SQS mit zu verwenden AWS Config, müssen Sie eine Richtlinie konfigurieren, die Ihrem Konto die Erlaubnis erteilt, alle Aktionen auszuführen, die in einer SQS-Warteschlange zulässig sind. Die folgenden Beispielrichtlinie erteilt dem Konto mit der Nummer 111122223333 und dem Konto mit der Nummer 444455556666 die Berechtigung für das Senden von Nachrichten bei jeder Konfigurationsänderung an der Warteschlange mit dem Namen „arn:aws:sqs:us-east-2:444455556666:queue1“.

{
  "Version": "2012-10-17",
  "Id": "Queue1_Policy_UUID",
  "Statement": 
    {
       "Sid":"Queue1_SendMessage",
       "Effect": "Allow",
       "Principal": {
            "AWS": ["111122223333","444455556666"]
         },
        "Action": "sqs:SendMessage",
        "Resource": "arn:aws:sqs:us-east-2:444455556666:queue1"
     }
}
        

Sie müssen auch eine Richtlinie erstellen, die Berechtigungen für Verbindungen zwischen einem SNS-Thema und der SQS-Warteschlange, die das Thema abonniert, erteilt. Die folgende Beispielrichtlinie ermöglicht es dem SNS-Thema mit dem Amazon-Ressourcennamen (ARN) arn:aws:sns:us-east- 2:111122223333:test-topic, beliebige Aktionen in der Warteschlange mit dem Namen arn:aws:sqs:us-east- 2:111122223333 auszuführen:. test-topic-queue

Anmerkung

Die Konten des SNS-Themas und der SQS-Warteschlange müssen sich in derselben Region befinden.

{
  "Version": "2012-10-17",
  "Id": "SNStoSQS",
  "Statement": 
    {
      "Sid":"rule1",
      "Effect": "Allow",
      "Principal": {
        "Service": "sns.amazonaws.com"
      },
      "Action": "SQS:SendMessage",
      "Resource": "arn:aws:sqs:us-east-2:111122223333:test-topic-queue",
      "Condition" : {
        "StringEquals" : {
          "aws:SourceArn":"arn:aws:sns:us-east-2:111122223333:test-topic"
        }
      }
    }
}
        

Jede Richtlinie kann Anweisungen für nur eine einzige Warteschlange und nicht mehrere Warteschlangen enthalten. Informationen zu weiteren Einschränkungen bei Amazon-SQ-Richtlinien finden Sie unter Spezielle Informationen zu Amazon-SQS-Richtlinien.