使用 Troposph AWS CloudFormation ere 生成包含 AWS Config 托管规则的模板 - AWS Prescriptive Guidance

使用 Troposph AWS CloudFormation ere 生成包含 AWS Config 托管规则的模板

由 Lucas Nation (AWS) 和 Freddie Wilson () 创作 AWS

摘要

许多组织使用 AWSConfig 托管规则来评估其 Amazon Web Services (AWS) 资源是否符合常见的最佳实践。但是，维护这些规则可能很耗时，这种模式可以帮助您利用 Python 库 Troposphere 来生成和管理 Confi AWS g 托管规则。

该模式通过使用 Python 脚本将包含托管规则的 Microsoft Excel 电子表格转换为AWS CloudFormation 模板来帮助你AWS管理 Conf AWS ig 托管规则。Troposphere 充当基础设施即代码 (IaC)，这意味着您可以使用托管规则更新 Excel 电子表格，而不必使用JSON或YAML格式的文件。然后，您可以使用该模板启动AWS CloudFormation 堆栈，在您的AWS账户中创建和更新托管规则。

该AWS CloudFormation 模板使用 Excel 电子表格定义每个 C AWS onfig 托管规则，并帮助您避免在AWS管理控制台中手动创建单个规则。该脚本将每个托管规则的参数默认为一个空字典，作用域的ComplianceResourceTypes默认值为THE_RULE_IDENTIFIER.template file。有关规则标识符的更多信息，请参阅 AWSConfig 文档中的使用AWS CloudFormation 模板创建 AWS Config 托管规则。

先决条件和限制

先决条件

一个活动的 AWS 账户。
熟悉使用AWS CloudFormation 模板创建 AWS Config 托管规则。有关这方面的更多信息，请参阅 AWSConfig 文档中的使用AWS CloudFormation 模板创建 AWS Config 托管规则。
Python 3，已安装并配置。有关这方面的更多信息，请参阅 Python 文档。
现有的集成开发环境 (IDE)。
在示例 excel_config_rules.xlsx Excel 电子表格（附后OUs）的列中标识您的组织单位 ()。

操作说明

任务描述所需技能

任务	描述	所需技能
更新 Excel 电子表格示例。	下载示例 `excel_config_rules.xlsx` Excel 电子表格（附后），并将其标记为`Implemented`要使用的 AWS Config 托管规则。标记为的规则`Implemented`将添加到AWS CloudFormation 模板中。	开发人员
（可选）使用配置规则参数更新 config_rules_params.json 文件。AWS	某些 AWS Config 托管规则需要参数，应使用`--param-file`选项将其作为JSON文件传递给 Python 脚本。例如，`access-keys-rotated` 托管规则使用以下 `maxAccessKeyAge` 参数： `{ "access-keys-rotated": { "InputParameters": { "maxAccessKeyAge": 90 } } }` 在此示例参数中，`maxAccessKeyAge` 设置为 90 天。该脚本读取参数文件并添加它找到的任何 `InputParameters`。	开发人员
（可选）使用 Config 更新 config_rules_params.json 文件。AWS ComplianceResourceTypes	默认情况下，Python 脚本会`ComplianceResourceTypes`从AWS已定义的模板中检索。如果要覆盖特定 AWS Config 托管规则的范围，则需要使用`--param-file`选项将其作为JSON文件传递给 Python 脚本。例如，以下示例代码显示了如何将 `ec2-volume-inuse-check` 的 `ComplianceResourceTypes` 设置为 `["AWS::EC2::Volume"]` 列表： `{ "ec2-volume-inuse-check": { "Scope": { "ComplianceResourceTypes": [ "AWS::EC2::Volume" ] } } }`	开发人员

更新 Excel 电子表格示例。

下载示例 excel_config_rules.xlsx Excel 电子表格（附后），并将其标记为Implemented要使用的 AWS Config 托管规则。

标记为的规则Implemented将添加到AWS CloudFormation 模板中。

开发人员

（可选）使用配置规则参数更新 config_rules_params.json 文件。AWS

某些 AWS Config 托管规则需要参数，应使用--param-file选项将其作为JSON文件传递给 Python 脚本。例如，access-keys-rotated 托管规则使用以下 maxAccessKeyAge 参数：


{
         "access-keys-rotated": {
             "InputParameters": {
                 "maxAccessKeyAge": 90
             }
         }
     }

在此示例参数中，maxAccessKeyAge 设置为 90 天。该脚本读取参数文件并添加它找到的任何 InputParameters。

开发人员

（可选）使用 Config 更新 config_rules_params.json 文件。AWS ComplianceResourceTypes

默认情况下，Python 脚本会ComplianceResourceTypes从AWS已定义的模板中检索。如果要覆盖特定 AWS Config 托管规则的范围，则需要使用--param-file选项将其作为JSON文件传递给 Python 脚本。

例如，以下示例代码显示了如何将 ec2-volume-inuse-check 的 ComplianceResourceTypes 设置为 ["AWS::EC2::Volume"] 列表：


{
         "ec2-volume-inuse-check": {
             "Scope": {
                 "ComplianceResourceTypes": [
                     "AWS::EC2::Volume"
                 ]
             }
         }
     }

开发人员

自定义和配置 AWS Config 托管规则

任务描述所需技能

任务	描述	所需技能
更新 Excel 电子表格示例。	下载示例 `excel_config_rules.xlsx` Excel 电子表格（附后），并将其标记为`Implemented`要使用的 AWS Config 托管规则。标记为的规则`Implemented`将添加到AWS CloudFormation 模板中。	开发人员
（可选）使用配置规则参数更新 config_rules_params.json 文件。AWS	某些 AWS Config 托管规则需要参数，应使用`--param-file`选项将其作为JSON文件传递给 Python 脚本。例如，`access-keys-rotated` 托管规则使用以下 `maxAccessKeyAge` 参数： `{ "access-keys-rotated": { "InputParameters": { "maxAccessKeyAge": 90 } } }` 在此示例参数中，`maxAccessKeyAge` 设置为 90 天。该脚本读取参数文件并添加它找到的任何 `InputParameters`。	开发人员
（可选）使用 Config 更新 config_rules_params.json 文件。AWS ComplianceResourceTypes	默认情况下，Python 脚本会`ComplianceResourceTypes`从AWS已定义的模板中检索。如果要覆盖特定 AWS Config 托管规则的范围，则需要使用`--param-file`选项将其作为JSON文件传递给 Python 脚本。例如，以下示例代码显示了如何将 `ec2-volume-inuse-check` 的 `ComplianceResourceTypes` 设置为 `["AWS::EC2::Volume"]` 列表： `{ "ec2-volume-inuse-check": { "Scope": { "ComplianceResourceTypes": [ "AWS::EC2::Volume" ] } } }`	开发人员

更新 Excel 电子表格示例。

下载示例 excel_config_rules.xlsx Excel 电子表格（附后），并将其标记为Implemented要使用的 AWS Config 托管规则。

标记为的规则Implemented将添加到AWS CloudFormation 模板中。

开发人员

（可选）使用配置规则参数更新 config_rules_params.json 文件。AWS


{
         "access-keys-rotated": {
             "InputParameters": {
                 "maxAccessKeyAge": 90
             }
         }
     }

在此示例参数中，maxAccessKeyAge 设置为 90 天。该脚本读取参数文件并添加它找到的任何 InputParameters。

开发人员

（可选）使用 Config 更新 config_rules_params.json 文件。AWS ComplianceResourceTypes

例如，以下示例代码显示了如何将 ec2-volume-inuse-check 的 ComplianceResourceTypes 设置为 ["AWS::EC2::Volume"] 列表：


{
         "ec2-volume-inuse-check": {
             "Scope": {
                 "ComplianceResourceTypes": [
                     "AWS::EC2::Volume"
                 ]
             }
         }
     }

开发人员

任务描述所需技能

任务	描述	所需技能
从 requirements.txt 文件处安装 pip 程序包。	下载该`requirements.txt`文件（附后），然后在中运行以下命令IDE来安装 Python 软件包： `pip3 install -r requirements.txt`	开发人员
运行 Python 脚本。	将 `aws_config_rules.py` 文件（附件）下载到本地计算机上。注意运行`- python3 aws_config_rules.py --ou <OU_NAME>`命令。:`--ou`定义要在 Excel 电子表格中选择哪个 OU 列。您还可以添加以下可选参数： `--config-rule-option` – 定义要从 Excel 电子表格中选择的规则。默认值为 `Implemented` 参数。 `--excel-file` – Excel 电子表格的路径。默认为 `aws_config_rules.xlsx`。 `--param-file`— 参数JSON文件的路径。默认为 `config_rules_params.json`。 `--max-execution-frequency`— 定义评估 AWS Config 托管规则的频率。选项是 `One_Hour`、`Three_Hours`、`Six_Hours`、`Twelve_Hours` 或 `TwentyFour_Hours`。默认为 `TwentyFour_Hours`。	开发人员

从 requirements.txt 文件处安装 pip 程序包。

下载该requirements.txt文件（附后），然后在中运行以下命令IDE来安装 Python 软件包：

pip3 install -r requirements.txt

开发人员

运行 Python 脚本。

将 aws_config_rules.py 文件（附件）下载到本地计算机上。
注意
运行- python3 aws_config_rules.py --ou <OU_NAME>命令。:--ou定义要在 Excel 电子表格中选择哪个 OU 列。

您还可以添加以下可选参数：

--config-rule-option – 定义要从 Excel 电子表格中选择的规则。默认值为 Implemented 参数。
--excel-file – Excel 电子表格的路径。默认为 aws_config_rules.xlsx。
--param-file— 参数JSON文件的路径。默认为 config_rules_params.json。
--max-execution-frequency— 定义评估 AWS Config 托管规则的频率。选项是 One_Hour、Three_Hours、Six_Hours、Twelve_Hours 或 TwentyFour_Hours。默认为 TwentyFour_Hours。

开发人员

运行 Python 脚本

任务描述所需技能

任务	描述	所需技能
从 requirements.txt 文件处安装 pip 程序包。	下载该`requirements.txt`文件（附后），然后在中运行以下命令IDE来安装 Python 软件包： `pip3 install -r requirements.txt`	开发人员
运行 Python 脚本。	将 `aws_config_rules.py` 文件（附件）下载到本地计算机上。注意运行`- python3 aws_config_rules.py --ou <OU_NAME>`命令。:`--ou`定义要在 Excel 电子表格中选择哪个 OU 列。您还可以添加以下可选参数： `--config-rule-option` – 定义要从 Excel 电子表格中选择的规则。默认值为 `Implemented` 参数。 `--excel-file` – Excel 电子表格的路径。默认为 `aws_config_rules.xlsx`。 `--param-file`— 参数JSON文件的路径。默认为 `config_rules_params.json`。 `--max-execution-frequency`— 定义评估 AWS Config 托管规则的频率。选项是 `One_Hour`、`Three_Hours`、`Six_Hours`、`Twelve_Hours` 或 `TwentyFour_Hours`。默认为 `TwentyFour_Hours`。	开发人员

从 requirements.txt 文件处安装 pip 程序包。

下载该requirements.txt文件（附后），然后在中运行以下命令IDE来安装 Python 软件包：

pip3 install -r requirements.txt

开发人员

运行 Python 脚本。

将 aws_config_rules.py 文件（附件）下载到本地计算机上。
注意
运行- python3 aws_config_rules.py --ou <OU_NAME>命令。:--ou定义要在 Excel 电子表格中选择哪个 OU 列。

您还可以添加以下可选参数：

--config-rule-option – 定义要从 Excel 电子表格中选择的规则。默认值为 Implemented 参数。
--excel-file – Excel 电子表格的路径。默认为 aws_config_rules.xlsx。
--param-file— 参数JSON文件的路径。默认为 config_rules_params.json。
--max-execution-frequency— 定义评估 AWS Config 托管规则的频率。选项是 One_Hour、Three_Hours、Six_Hours、Twelve_Hours 或 TwentyFour_Hours。默认为 TwentyFour_Hours。

开发人员

任务	描述	所需技能
启动AWS CloudFormation 堆栈。	登录AWS管理控制台，打开控制AWS CloudFormation 台，然后选择创建堆栈。在 “指定模板” 页面上，选择 “上传模板文件”，然后上传您的AWS CloudFormation 模板。指定堆栈名称，然后选择下一步。指定标签，然后选择下一步。选择创建堆栈。	开发人员

部署 AWS Config 托管规则

任务	描述	所需技能
启动AWS CloudFormation 堆栈。	登录AWS管理控制台，打开控制AWS CloudFormation 台，然后选择创建堆栈。在 “指定模板” 页面上，选择 “上传模板文件”，然后上传您的AWS CloudFormation 模板。指定堆栈名称，然后选择下一步。指定标签，然后选择下一步。选择创建堆栈。	开发人员

附件

要访问与此文档相关联的其他内容，请解压以下文件：attachment.zip

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

将 Amazon EC2 实例标签导出到CSV文件中

为 SageMaker 笔记本实例提供跨账户访问存储库的 CodeCommit 权限

选择您的 Cookie 首选项

自定义 Cookie 首选项

关键

性能

功能

广告

无法保存 Cookie 首选项

使用 Troposph AWS CloudFormation ere 生成包含 AWS Config 托管规则的模板

摘要

先决条件和限制

操作说明

自定义和配置 AWS Config 托管规则

注意

运行 Python 脚本

注意

部署 AWS Config 托管规则

附件

此页内容对您是否有帮助？

下一主题：

上一主题：

需要帮助吗？