Agregação de dados de várias regiões e várias contas

Um agregador é um tipo de AWS Config recurso que coleta dados AWS Config de configuração e conformidade do seguinte:

• Várias contas e várias AWS regiões.

• Conta única e várias AWS regiões.

• Uma organização AWS Organizations e todas as contas dessa organização que foram AWS Config ativadas.

Use um agregador para visualizar a configuração de recursos e os dados de conformidade registrados no AWS Config. Um agregador usa um bucket do Amazon S3 para armazenar dados agregados. Ele recupera periodicamente os instantâneos de configuração das contas de origem e os armazena no bucket S3 designado. A imagem a seguir mostra como um agregador coleta AWS Config dados de várias contas e regiões.

Casos de uso

• Monitoramento de conformidade: você pode agregar dados de conformidade para avaliar as posturas gerais de conformidade da sua organização ou de todas as contas e regiões.

• Rastreamento de alterações: você pode acompanhar as alterações nos recursos ao longo do tempo em toda a sua organização ou em todas as contas e regiões.

• Relacionamentos de recursos: você pode analisar dependências e relacionamentos de recursos em toda a sua organização ou entre contas e regiões.

nota

Os agregadores fornecem uma visão somente para leitura das contas e regiões de origem que o agregador está autorizado a visualizar, replicando dados das contas de origem na conta do agregador. Os agregadores não fornecem acesso mutável a uma conta ou região de origem. Por exemplo, isso significa que você não pode implantar regras por meio de um agregador ou enviar arquivos de instantâneos para uma conta ou região de origem por meio de um agregador.

O uso de agregadores não incorre em custos adicionais.

Terminologia

Uma conta de origem é a Conta da AWS partir da qual você deseja agregar dados de configuração e conformidade de AWS Config recursos. Uma conta de origem pode ser uma conta individual ou uma organização no AWS Organizations. Você pode fornecer contas de origem individualmente ou recuperá-las por meio AWS Organizations de.

Uma região de origem é a AWS região da qual você deseja agregar dados de AWS Config configuração e conformidade.

Uma conta agregadora é uma conta na qual você cria um agregador.

A autorização se refere às permissões que você concede a uma conta agregadora e a uma região para coletar seus dados AWS Config de configuração e conformidade. A autorização não é necessária se você estiver agregando contas de origem que fazem parte do AWS Organizations.

Como agregar dados

Para agregar seus AWS Config dados das contas e regiões de origem, comece com:

1. Adicionar um agregador para agregar dados AWS Config de configuração e conformidade de várias contas e regiões. Para obter mais informações, consulte Configurar um agregador usando o console e Configurando um agregador usando o AWS Command Line Interface.

2. Autorizar contas agregadoras a coletar dados de AWS Config configuração e conformidade. Para obter mais informações, consulte Autorizando contas agregadoras a coletar dados AWS Config de configuração e conformidade usando o console e Autorizando contas agregadoras a coletar dados AWS Config de configuração e conformidade usando o AWS Command Line Interface.

   nota

   Há dois tipos de agregadores: agregador de contas individuais e agregador da organização

   Para o agregador de contas individuais, a autorização é necessária para todas as regiões incluídas da conta de origem, incluindo regiões externas da conta ou regiões da conta membro da organização.

   Para o agregador da organização, a autorização não é necessária para as regiões da conta dos membros da organização, pois a autorização é integrada ao serviço Organizations.

3. Monitorar dados de conformidade para regras e contas na visualização agregada. Para ter mais informações, consulte Como visualizar dados de conformidade e inventário no painel do agregador.

Suporte regional

Atualmente, a agregação de dados multirregional de várias contas é suportada nas seguintes regiões:

Nome da região	Região	Endpoint	Protocolo
Leste dos EUA (Ohio)	us-east-2	config.us-east-2.amazonaws.com	HTTPS
Leste dos EUA (Norte da Virgínia)	us-east-1	config.us-east-1.amazonaws.com	HTTPS
Oeste dos EUA (Norte da Califórnia)	us-west-1	config.us-west-1.amazonaws.com	HTTPS
Oeste dos EUA (Oregon)	us-west-2	config.us-west-2.amazonaws.com	HTTPS
África (Cidade do Cabo)	af-south-1	config.af-south-1.amazonaws.com	HTTPS
Ásia-Pacífico (Hong Kong)	ap-east-1	config.ap-east-1.amazonaws.com	HTTPS
Ásia-Pacífico (Hyderabad)	ap-south-2	config.ap-south-2.amazonaws.com	HTTPS
Ásia-Pacífico (Jacarta)	ap-southeast-3	config.ap-southeast-3.amazonaws.com	HTTPS
Ásia-Pacífico (Melbourne)	ap-southeast-4	config.ap-southeast-4.amazonaws.com	HTTPS
Ásia-Pacífico (Mumbai)	ap-south-1	config.ap-south-1.amazonaws.com	HTTPS
Ásia-Pacífico (Osaka)	ap-northeast-3	config.ap-northeast-3.amazonaws.com	HTTPS
Ásia-Pacífico (Seul)	ap-northeast-2	config.ap-northeast-2.amazonaws.com	HTTPS
Ásia-Pacífico (Singapura)	ap-southeast-1	config.ap-southeast-1.amazonaws.com	HTTPS
Ásia-Pacífico (Sydney)	ap-southeast-2	config.ap-southeast-2.amazonaws.com	HTTPS
Ásia-Pacífico (Tóquio)	ap-northeast-1	config.ap-northeast-1.amazonaws.com	HTTPS
Canadá (Central)	ca-central-1	config.ca-central-1.amazonaws.com	HTTPS
Oeste do Canadá (Calgary)	ca-west-1	config.ca-west-1.amazonaws.com	HTTPS
Europa (Frankfurt)	eu-central-1	config.eu-central-1.amazonaws.com	HTTPS
Europa (Irlanda)	eu-west-1	config.eu-west-1.amazonaws.com	HTTPS
Europa (Londres)	eu-west-2	config.eu-west-2.amazonaws.com	HTTPS
Europa (Milão)	eu-south-1	config.eu-south-1.amazonaws.com	HTTPS
Europa (Paris)	eu-west-3	config.eu-west-3.amazonaws.com	HTTPS
Europa (Espanha)	eu-south-2	config.eu-south-2.amazonaws.com	HTTPS
Europa (Estocolmo)	eu-north-1	config.eu-north-1.amazonaws.com	HTTPS
Europa (Zurique)	eu-central-2	config.eu-central-2.amazonaws.com	HTTPS
Israel (Tel Aviv)	il-central-1	config.il-central-1.amazonaws.com	HTTPS
Oriente Médio (Barém)	me-south-1	config.me-south-1.amazonaws.com	HTTPS
Oriente Médio (Emirados Árabes Unidos)	me-central-1	config.me-central-1.amazonaws.com	HTTPS
América do Sul (São Paulo)	sa-east-1	config.sa-east-1.amazonaws.com	HTTPS
AWS GovCloud (Leste dos EUA)	us-gov-east-1	config.us-gov-east-1.amazonaws.com	HTTPS
AWS GovCloud (Oeste dos EUA)	us-gov-west-1	config.us-gov-west-1.amazonaws.com	HTTPS

Solução de problemas para agregação de dados multirregionais de várias contas

AWS Config pode não agregar dados das contas de origem por um dos seguintes motivos:

Se isso acontecer	Faça o seguinte
AWS Config não está habilitado na conta de origem para contas dentro de uma organização.	Ative AWS Config a conta de origem e autorize a conta agregadora a coletar dados.
A autorização não é concedida a uma conta de agregador.	Faça login na conta de origem e conceda autorização à conta agregadora para coletar AWS Config dados.
Pode haver um problema temporário que impede a agregação de dados.	A agregação de dados está sujeita a atrasos. Aguarde alguns minutos.

AWS Config pode não agregar dados de uma organização por um dos seguintes motivos:

Se isso acontecer	Faça o seguinte
AWS Config não consegue acessar os detalhes da sua organização devido à função inválida do IAM.	Crie um perfil do IAM ou selecione um válido na lista de perfis do IAM. nota Se a função do IAM for inválida por mais de 24 horas, AWS Config excluirá os dados de toda a organização.
AWS Config o acesso ao serviço está desativado em sua organização.	Você pode ativar a integração entre AWS Config e AWS Organizations por meio da EnableAWSServiceAccess API. Se você escolher Adicionar minha organização no console, AWS Config habilitará automaticamente a integração entre AWS Config AWS Organizations e.
AWS Config não consegue acessar os detalhes da sua organização porque todos os recursos não estão habilitados na sua organização.	Ative todos os recursos no AWS Organizations console.
As alterações organizacionais, como: adicionar uma conta, remover uma conta, habilitar o acesso ao serviço e desabilitar o acesso ao serviço, não são atualizadas imediatamente nas regiões do Oriente Médio (Bahrein) e Ásia-Pacífico (Hong Kong).	As alterações organizacionais estão sujeitas a um atraso de duas horas. Aguarde duas horas para ver todas as alterações na organização.