AWSSupport-SetupConfig

Beschreibung

Das AWSSupport-SetupConfig Runbook erstellt eine dienstverknüpfte AWS Identity and Access Management (IAM) -Rolle, einen Konfigurationsrekorder, der von unterstützt wirdAWS Config, und einen Bereitstellungskanal mit einem Amazon Simple Storage Service (Amazon S3) -Bucket, über den Konfigurationssnapshots und Konfigurationsverlaufsdateien AWS Config gesendet werden. Wenn Sie Werte für die AggregatorAccountRegion Parameter AggregatorAccountId und angeben, erstellt das Runbook auch Autorisierungen für die Datenaggregation, um AWS Config Konfigurations- und Compliance-Daten von mehreren zu sammeln. AWS-Konten AWS-Regionen Weitere Informationen zum Aggregieren von Daten aus mehreren Konten und Regionen finden Sie unter Datenaggregation für mehrere Konten und Regionen im Entwicklerhandbuch. AWS Config

Diese Automatisierung ausführen (Konsole)

Art des Dokuments

-Automatisierung

Eigentümer

Amazon

Plattformen

LinuxmacOS, Windows

Parameter

• AutomationAssumeRole

  Typ: Zeichenfolge

  Beschreibung: (Optional) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen auszuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.

• AggregatorAccountId

  Typ: Zeichenfolge

  Beschreibung: (Optional) Die ID des, AWS-Konto wo ein Aggregator hinzugefügt wird, um AWS Config Konfigurations- und Compliance-Daten aus mehreren Konten zu aggregieren und. AWS-Regionen Dieses Konto wird auch vom Aggregator verwendet, um die Quellkonten zu autorisieren.

• AggregatorAccountRegion

  Typ: Zeichenfolge

  Beschreibung: (Optional) Die Region, in der ein Aggregator hinzugefügt wird, um AWS Config Konfigurations- und Compliance-Daten aus mehreren Konten und Regionen zu aggregieren.

• IncludeGlobalResourcesRegion

  Typ: Zeichenfolge

  Standard: us-east-1

  Beschreibung: (Erforderlich) Um zu vermeiden, dass globale Ressourcendaten in jeder Region aufgezeichnet werden, geben Sie eine Region an, aus der globale Ressourcendaten aufgezeichnet werden sollen.

• Partition

  Typ: Zeichenfolge

  Standard: aws

  Beschreibung: (Erforderlich) Die Partition, von der Sie AWS Config Konfigurations- und Konformitätsdaten sammeln möchten.

• S3 BucketName

  Typ: Zeichenfolge

  Standard: aws-config-delivery-channel

  Beschreibung: (Optional) Der Name, den Sie auf den Amazon S3-Bucket anwenden möchten, der für den Lieferkanal erstellt wurde. Die Konto-ID wird an das Ende des Namens angehängt.

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

• ssm:StartAutomationExecution

• ssm:GetAutomationExecution

• config:DescribeConfigurationRecorders

• config:DescribeDeliveryChannels

• config:PutAggregationAuthorization

• config:PutConfigurationRecorder

• config:PutDeliveryChannel

• config:StartConfigurationRecorder

• iam:CreateServiceLinkedRole

• iam:PassRole

• s3:CreateBucket

• s3:ListAllMyBuckets

• s3:PutBucketPolicy

Dokumentschritte

• aws:executeScript- Erzeugt eine dienstverknüpfte IAM-Rolle, AWS Config falls noch keine vorhanden ist.

• aws:executeScript- Erzeugt einen Konfigurationsrekorder, falls noch keiner existiert.

• aws:executeScript- Erstellt einen Amazon S3-Bucket, der vom Lieferkanal verwendet werden kann, falls noch keiner vorhanden ist.

• aws:executeScript- Erzeugt einen Bereitstellungskanal unter Verwendung der vom Runbook erstellten Ressourcen.

• aws:executeAwsApi- Startet den Konfigurationsrekorder.

• aws:executeScript- Wenn Sie Werte für die AggregatorAccountRegion Parameter AggregatorAccountId und angegeben haben, werden die Autorisierungen für die Datenaggregation mehrerer Konten und Regionen konfiguriert.