本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 監控 AWS Network Security Manager
<a name="monitoring-overview"></a>

監控 AWS Network Security Manager 可協助您了解資源是否如預期般受到保護。 AWS Network Security Manager 提供下列監控功能：
+ **同步狀態 APIs** -- 查詢部署中個別資源的保護狀態。
+ **AWS CloudTrail** -- 記錄所有 AWS Network Security Manager API 呼叫以進行稽核、合規和操作故障診斷。

## 監控同步狀態
<a name="monitoring-sync-status"></a>

監控資源是否受到保護的主要方式是透過同步狀態 APIs。 AWS Network Security Manager 會評估每個範圍內的資源，並記錄其實際防火牆組態是否符合預期的組態。

### 同步狀態操作
<a name="monitoring-sync-operations"></a>

AWS Network Security Manager 提供兩種查詢同步狀態的操作：

ListResourceSynchronizationStatuses  
傳回特定部署的每個資源狀態。需要 `deploymentIdentifier` 參數。選擇性地依 `synchronizationStatus`(IN\_SYNC、OUT\_OF\_SYNC 或 NOT\_APPLICABLE) 篩選。

ListAggregateResourceSynchronizationStatuses  
傳回所有部署的每個資源彙總狀態。選擇性地依 篩選`synchronizationStatus`。此操作會顯示套用至每個資源之所有政策的合併結果。

這兩個操作都支援使用 `maxResults`(1 到 100) 和 進行分頁`nextToken`。

### 了解同步狀態值
<a name="monitoring-sync-values"></a>

IN\_SYNC  
資源的實際防火牆組態符合從所有適用政策計算的有效組態。

OUT\_OF\_SYNC  
資源的實際組態與有效組態不同。`outOfSyncReasons` 欄位提供每個設定的詳細資訊，顯示預期值與實際值。

NOT\_APPLICABLE  
資源的帳戶和資源類型在範圍內，但資源本身不符合範圍篩選條件 （例如，標籤篩選條件排除它）。不需採取任何動作。

如果資源完全沒有出現在結果中，則帳戶或資源類型不在部署範圍內。檢查您的範圍組態。

### 了解評估時間戳記
<a name="monitoring-sync-timestamps"></a>

每個同步狀態項目包含兩個時間戳記：
+ `evaluatedAt` -- 當 AWS Network Security Manager 上次評估資源的組態時。過時`evaluatedAt`值表示評估尚未針對最近的變更執行。
+ `updatedAt` -- 同步狀態記錄本身上次變更時。如果 `updatedAt` 早於 `evaluatedAt`，則狀態自上次評估以來已穩定。

### 跨帳戶可見性
<a name="monitoring-sync-cross-account"></a>

當多個管理員保護相同的資源時，彙總同步狀態的可見性取決於每個部署上的 `enableCrossAccountVisibility` 設定。
+ 如果涵蓋資源的所有部署都已啟用跨帳戶可見性，則任何管理員都可以查看完整的彙總狀態和out-of-sync的原因。
+ 如果任何部署已停用跨帳戶可見性，其他管理員會看到`NOT_VISIBLE`標記，而不是詳細的原因。這表示另一個管理員也會保護資源，但尚未共用可見性。

### 診斷out-of-sync的資源
<a name="monitoring-sync-diagnosing"></a>

當資源報告 OUT\_OF\_SYNC 時， `outOfSyncReasons` 欄位會識別特定的組態差異。最上層的原因如下：
+ `missingFirewall` -- 沒有與資源相關聯的防火牆保護。
+ `invalidFirewall` -- 防火牆存在，但其組態不符合預期。特定差異會列在分類的儲存貯體中。

如果啟用修復但無法修正資源， `remediationIssues` 欄位會提供如何手動解決問題`correctiveAction`的指引。修補是預設為關閉的政策層級設定。如需詳細資訊，請參閱[同步和修復](concepts.md#concepts-synchronization)。

具有不同組態的多個部署可以鎖定相同的資源。在此情況下，每次部署同步狀態可以是 OUT\_OF\_SYNC，而彙總同步狀態則是 IN\_SYNC。這是預期的行為，而不是失敗。較高優先順序政策的設定在合併期間優先。因此，即使資源不符合低優先順序部署的組態，資源仍會符合有效的組態。