Actualización de AWS Config reglas

Puede utilizar la AWS Config consola o la AWS SDKs para actualizar las reglas.

Actualización de reglas (consola)

La página Reglas muestra las reglas y los resultados de conformidad actuales en una tabla. El resultado de cada regla es Evaluar... hasta que AWS Config termine de evaluar sus recursos con respecto a la regla. Puede actualizar los resultados con el botón de actualizar. Cuando AWS Config finalicen las evaluaciones, podrá ver las reglas y los tipos de recursos que cumplen o no. Para obtener más información, consulte Visualización de la información de cumplimiento y los resultados de la evaluación de sus AWS recursos con AWS Config.

nota

AWS Config evalúa solo los tipos de recursos que está registrando. Por ejemplo, si agregas la regla habilitada para CloudTrail pero no registras el tipo de recurso de la CloudTrail ruta, no AWS Config podrás evaluar si las rutas de tu cuenta cumplen o no lo hacen. Para obtener más información, consulte Grabación de AWS recursos con AWS Config.

Actualización de reglas

Para actualizar una regla

1. Inicia sesión en AWS Management Console y abre la consola en. AWS Config https://console.aws.amazon.com/config/

2. En el AWS Management Console menú, compruebe que el selector de región esté configurado en una región que admita AWS Config reglas. Para ver una lista de las regiones admitidas, consulte Regiones y puntos de enlace de AWS Config en la Referencia general de Amazon Web Services.

3. En el panel de navegación izquierdo, seleccione Rules (Reglas).

4. Elija una regla y Editar la regla para la regla que desee actualizar.

5. Modifique la configuración de la página Editar la regla para cambiar la regla según sea necesario.

6. Seleccione Guardar.

Actualización de reglas

Para actualizar una regla

1. Inicia sesión en AWS Management Console y abre la consola en. AWS Config https://console.aws.amazon.com/config/

2. En el AWS Management Console menú, compruebe que el selector de región esté configurado en una región que admita AWS Config reglas. Para ver una lista de las regiones admitidas, consulte Regiones y puntos de enlace de AWS Config en la Referencia general de Amazon Web Services.

3. En el panel de navegación izquierdo, seleccione Rules (Reglas).

4. Elija una regla y Editar la regla para la regla que desee actualizar.

5. Modifique la configuración de la página Editar la regla para cambiar la regla según sea necesario.

6. Seleccione Guardar.

Actualización de reglas (AWS SDKs)

Actualización de reglas

Si va a actualizar una regla que ha añadido anteriormente, puede especificar la regla por ConfigRuleName, ConfigRuleId o ConfigRuleArn en el tipo de datos ConfigRule que utiliza en esta solicitud. Se utiliza el mismo comando (PutConfigRule) que se utiliza al añadir una regla.

En los siguientes ejemplos de código, se muestra cómo utilizar PutConfigRule.

CLI

AWS CLI

Para añadir una regla de Config AWS gestionada

El siguiente comando proporciona código JSON para añadir una regla de Config AWS gestionada:

aws configservice put-config-rule --config-rule file://RequiredTagsForEC2Instances.json

RequiredTagsForEC2Instances.json es un archivo JSON que contiene la configuración de la regla:

{
  "ConfigRuleName": "RequiredTagsForEC2Instances",
  "Description": "Checks whether the CostCenter and Owner tags are applied to EC2 instances.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "AWS",
    "SourceIdentifier": "REQUIRED_TAGS"
  },
  "InputParameters": "{\"tag1Key\":\"CostCenter\",\"tag2Key\":\"Owner\"}"
}

Para el ComplianceResourceTypes atributo, este código JSON limita el alcance a los recursos de este AWS::EC2::Instance tipo, por lo que AWS Config evaluará solo EC2 las instancias según la regla. Puesto que la regla es una regla administrada, el atributo Owner se establece en AWS y el atributo SourceIdentifier en el identificador de la regla, REQUIRED_TAGS. Para el atributo InputParameters, se especifican las claves de etiqueta que requiere la regla, CostCenter y Owner.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar la configuración de la regla, ejecute el describe-config-rules comando y especifique el nombre de la regla.

Adición de una regla de configuración administrada por el cliente

En el siguiente comando se proporciona un código JSON para añadir una regla de configuración administrada por el cliente:

aws configservice put-config-rule --config-rule file://InstanceTypesAreT2micro.json

InstanceTypesAreT2micro.json es un archivo JSON que contiene la configuración de la regla:

{
  "ConfigRuleName": "InstanceTypesAreT2micro",
  "Description": "Evaluates whether EC2 instances are the t2.micro type.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "CUSTOM_LAMBDA",
    "SourceIdentifier": "arn:aws:lambda:us-east-1:123456789012:function:InstanceTypeCheck",
    "SourceDetails": [
      {
        "EventSource": "aws.config",
        "MessageType": "ConfigurationItemChangeNotification"
      }
    ]
  },
  "InputParameters": "{\"desiredInstanceType\":\"t2.micro\"}"
}

Para el ComplianceResourceTypes atributo, este código JSON limita el alcance a los recursos de este AWS::EC2::Instance tipo, por lo que AWS Config evaluará solo EC2 las instancias según la regla. Como esta regla es una regla administrada por el cliente, el Owner atributo se establece en y el SourceIdentifier atributo se establece en el ARN de la función Lambda AWS . CUSTOM_LAMBDA El objeto SourceDetails es obligatorio. Los parámetros que se especifican para el InputParameters atributo se pasan a la función AWS Lambda cuando AWS Config la invoca para evaluar los recursos en función de la regla.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar la configuración de la regla, ejecute el describe-config-rules comando y especifique el nombre de la regla.

• Para obtener más información sobre la API, consulte PutConfigRulela Referencia de AWS CLI comandos.

Python

SDK para Python (Boto3)

nota

Hay más información al respecto GitHub. Busque el ejemplo completo y aprenda a configurar y ejecutar en el Repositorio de ejemplos de código de AWS.

class ConfigWrapper:
    """
    Encapsulates AWS Config functions.
    """

    def __init__(self, config_client):
        """
        :param config_client: A Boto3 AWS Config client.
        """
        self.config_client = config_client


    def put_config_rule(self, rule_name):
        """
        Sets a configuration rule that prohibits making Amazon S3 buckets publicly
        readable.

        :param rule_name: The name to give the rule.
        """
        try:
            self.config_client.put_config_rule(
                ConfigRule={
                    "ConfigRuleName": rule_name,
                    "Description": "S3 Public Read Prohibited Bucket Rule",
                    "Scope": {
                        "ComplianceResourceTypes": [
                            "AWS::S3::Bucket",
                        ],
                    },
                    "Source": {
                        "Owner": "AWS",
                        "SourceIdentifier": "S3_BUCKET_PUBLIC_READ_PROHIBITED",
                    },
                    "InputParameters": "{}",
                    "ConfigRuleState": "ACTIVE",
                }
            )
            logger.info("Created configuration rule %s.", rule_name)
        except ClientError:
            logger.exception("Couldn't create configuration rule %s.", rule_name)
            raise

• Para obtener más información sobre la API, consulta PutConfigRulela AWS Referencia de API de SDK for Python (Boto3).

Actualización de reglas

Si va a actualizar una regla que ha añadido anteriormente, puede especificar la regla por ConfigRuleName, ConfigRuleId o ConfigRuleArn en el tipo de datos ConfigRule que utiliza en esta solicitud. Se utiliza el mismo comando (PutConfigRule) que se utiliza al añadir una regla.

En los siguientes ejemplos de código, se muestra cómo utilizar PutConfigRule.

CLI

AWS CLI

Para añadir una regla de Config AWS gestionada

El siguiente comando proporciona código JSON para añadir una regla de Config AWS gestionada:

aws configservice put-config-rule --config-rule file://RequiredTagsForEC2Instances.json

RequiredTagsForEC2Instances.json es un archivo JSON que contiene la configuración de la regla:

{
  "ConfigRuleName": "RequiredTagsForEC2Instances",
  "Description": "Checks whether the CostCenter and Owner tags are applied to EC2 instances.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "AWS",
    "SourceIdentifier": "REQUIRED_TAGS"
  },
  "InputParameters": "{\"tag1Key\":\"CostCenter\",\"tag2Key\":\"Owner\"}"
}

Para el ComplianceResourceTypes atributo, este código JSON limita el alcance a los recursos de este AWS::EC2::Instance tipo, por lo que AWS Config evaluará solo EC2 las instancias según la regla. Puesto que la regla es una regla administrada, el atributo Owner se establece en AWS y el atributo SourceIdentifier en el identificador de la regla, REQUIRED_TAGS. Para el atributo InputParameters, se especifican las claves de etiqueta que requiere la regla, CostCenter y Owner.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar la configuración de la regla, ejecute el describe-config-rules comando y especifique el nombre de la regla.

Adición de una regla de configuración administrada por el cliente

En el siguiente comando se proporciona un código JSON para añadir una regla de configuración administrada por el cliente:

aws configservice put-config-rule --config-rule file://InstanceTypesAreT2micro.json

InstanceTypesAreT2micro.json es un archivo JSON que contiene la configuración de la regla:

{
  "ConfigRuleName": "InstanceTypesAreT2micro",
  "Description": "Evaluates whether EC2 instances are the t2.micro type.",
  "Scope": {
    "ComplianceResourceTypes": [
      "AWS::EC2::Instance"
    ]
  },
  "Source": {
    "Owner": "CUSTOM_LAMBDA",
    "SourceIdentifier": "arn:aws:lambda:us-east-1:123456789012:function:InstanceTypeCheck",
    "SourceDetails": [
      {
        "EventSource": "aws.config",
        "MessageType": "ConfigurationItemChangeNotification"
      }
    ]
  },
  "InputParameters": "{\"desiredInstanceType\":\"t2.micro\"}"
}

Para el ComplianceResourceTypes atributo, este código JSON limita el alcance a los recursos de este AWS::EC2::Instance tipo, por lo que AWS Config evaluará solo EC2 las instancias según la regla. Como esta regla es una regla administrada por el cliente, el Owner atributo se establece en y el SourceIdentifier atributo se establece en el ARN de la función Lambda AWS . CUSTOM_LAMBDA El objeto SourceDetails es obligatorio. Los parámetros que se especifican para el InputParameters atributo se pasan a la función AWS Lambda cuando AWS Config la invoca para evaluar los recursos en función de la regla.

Si el comando se ejecuta correctamente, AWS Config no devuelve ningún resultado. Para verificar la configuración de la regla, ejecute el describe-config-rules comando y especifique el nombre de la regla.

• Para obtener más información sobre la API, consulte PutConfigRulela Referencia de AWS CLI comandos.

Python

SDK para Python (Boto3)

nota

Hay más información al respecto GitHub. Busque el ejemplo completo y aprenda a configurar y ejecutar en el Repositorio de ejemplos de código de AWS.

class ConfigWrapper:
    """
    Encapsulates AWS Config functions.
    """

    def __init__(self, config_client):
        """
        :param config_client: A Boto3 AWS Config client.
        """
        self.config_client = config_client


    def put_config_rule(self, rule_name):
        """
        Sets a configuration rule that prohibits making Amazon S3 buckets publicly
        readable.

        :param rule_name: The name to give the rule.
        """
        try:
            self.config_client.put_config_rule(
                ConfigRule={
                    "ConfigRuleName": rule_name,
                    "Description": "S3 Public Read Prohibited Bucket Rule",
                    "Scope": {
                        "ComplianceResourceTypes": [
                            "AWS::S3::Bucket",
                        ],
                    },
                    "Source": {
                        "Owner": "AWS",
                        "SourceIdentifier": "S3_BUCKET_PUBLIC_READ_PROHIBITED",
                    },
                    "InputParameters": "{}",
                    "ConfigRuleState": "ACTIVE",
                }
            )
            logger.info("Created configuration rule %s.", rule_name)
        except ClientError:
            logger.exception("Couldn't create configuration rule %s.", rule_name)
            raise

• Para obtener más información sobre la API, consulta PutConfigRulela AWS Referencia de API de SDK for Python (Boto3).