本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 监控 AWS 网络安全经理
<a name="monitoring-overview"></a>

监控 AWS 网络安全管理器可帮助您了解您的资源是否按预期受到保护。 AWS 网络安全管理器提供以下监控功能：
+ **同步状态 API**--查询部署中各个资源的保护状态。
+ **AWS CloudTrail**--记录所有 AWS Network Security Manager API 调用以进行审计、合规和操作故障排除。

## 监控同步状态
<a name="monitoring-sync-status"></a>

监控您的资源是否受到保护的主要方法是通过同步状态 API。 AWS Network Security Manager 会评估每个范围内的资源，并记录其实际防火墙配置是否与预期配置相匹配。

### 同步状态操作
<a name="monitoring-sync-operations"></a>

AWS 网络安全管理器提供两个用于查询同步状态的操作：

ListResourceSynchronizationStatuses  
返回特定部署的每个资源的状态。需要 `deploymentIdentifier` 参数。（可选）筛选依据`synchronizationStatus`（IN\_SYNC、OUT\_OF\_SYNC 或 NOT\_APPLIVEL）。

ListAggregateResourceSynchronizationStatuses  
返回所有部署中每种资源的汇总状态。（可选）筛选依据`synchronizationStatus`。此操作显示适用于每种资源的所有策略的组合结果。

这两个操作都支持使用 `maxResults` (1 到 100) 和`nextToken`进行分页。

### 了解同步状态值
<a name="monitoring-sync-values"></a>

IN\_SYNC  
资源的实际防火墙配置与根据所有适用策略计算出的有效配置相匹配。

不同步  
资源的实际配置与有效配置不同。该`outOfSyncReasons`字段提供每个设置的详细信息，显示预期值与实际值。

不适用  
资源的账户和资源类型在范围内，但资源本身与范围过滤器不匹配（例如，标签过滤器将其排除在外）。无需任何操作。

如果某个资源根本没有出现在结果中，则该账户或资源类型不在部署范围内。检查您的范围配置。

### 了解评估时间戳
<a name="monitoring-sync-timestamps"></a>

每个同步状态条目都包含两个时间戳：
+ `evaluatedAt`-- AWS 网络安全管理员上次评估资源配置的时间。过时的`evaluatedAt`值表示尚未对最近的更改进行评估。
+ `updatedAt`--同步状态记录本身上次更改的时间。如果早`updatedAt`于`evaluatedAt`，则状态自上次评估以来一直保持稳定。

### Cross-account 能见度
<a name="monitoring-sync-cross-account"></a>

当多个管理员保护同一个资源时，聚合同步状态的可见性取决于每个部署的`enableCrossAccountVisibility`设置。
+ 如果涵盖某个资源的所有部署都启用了跨账户可见性，则任何管理员都可以看到完整的聚合状态和不同步的原因。
+ 如果任何部署禁用了跨账户可见性，则其他管理员会看到`NOT_VISIBLE`标记而不是详细原因。这表示另一位管理员也在保护资源，但没有共享可见性。

### 诊断不同步的资源
<a name="monitoring-sync-diagnosing"></a>

当资源报告 OUT\_OF\_SYNC 时，该`outOfSyncReasons`字段会标识特定的配置差异。最重要的原因是：
+ `missingFirewall`--资源未关联任何防火墙保护。
+ `invalidFirewall`--存在防火墙，但其配置与预期不符。具体差异列在已分类的存储桶中。

如果已启用修复但无法修复资源，则该`remediationIssues`字段将提供有关如何手动解决问题的指导。`correctiveAction`修正是一种策略级别的设置，默认情况下处于关闭状态。有关更多信息，请参阅 [同步和修复](concepts.md#concepts-synchronization)。

具有不同配置的多个部署可以针对同一个资源。在这种情况下，每个部署的同步状态可以是 OUT\_OF\_SYNC，而聚合同步状态为 IN\_SYNC。这是预期行为，而不是失败。合并过程中，优先级较高的策略的设置优先。因此，该资源与有效配置相匹配，尽管它与优先级较低的部署的配置不匹配。