雲端組態漂移不再是惡夢！深入掌握 AWS Config 的變更追蹤與自動修復

在現今複雜的雲端環境中，維持對aws資源組態的可見性、確保遵循企業規範與安全最佳實踐，是所有組織面臨的重大挑戰。任何微小的組態變更都可能引發服務中斷、安全漏洞或合規問題。

Amazon Web Services (AWS) 提供的 AWS Config 是一項全受管的aws服務，這就是aws config，旨在應對這些挑戰。它如同您 AWS 環境的「組態監理員」，能讓您評估aws資源、稽覈並詳盡地審視所有 AWS 資源的配置與其變動歷史，從而實現深度的雲端治理、簡化營運疑難排解並強化整體安全態勢。

AWS Config 的核心運作原理

要充分利用 AWS Config，首先必須理解其基礎的運作流程。當您在 AWS 帳戶中啟用 AWS Config 後，它會遵循一個清晰的生命週期來探索、記錄和交付您環境的組態資訊。

1. 資源探索與初始記錄
   啟用服務後，AWS Config 會立即對您的帳戶進行掃描，自動探索所有支援的 AWS 資源並記錄資源，例如 EC2 執行個體、S3 儲存貯體、IAM 角色或 VPC 安全羣組。接著，它會為每一個被發現的資源建立一個「組態項目 (Configuration Item, CI)」。這個 CI 是一個 JSON 格式的檔案，詳細記錄了該資源在特定時間點 (point in time) 的所有組態細節的詳細資訊、與其他資源的關聯、相關的 AWS CloudTrail 事件 ID 以及其他後設資料。
2. 持續追蹤與變更記錄
   初始探索完成後，AWS Config 會進入持續監控模式。無論是透過 API 呼叫、AWS Management Console操作，甚至是某些非 API 觸發的變更，只要資源的配置發生變化，AWS Config 就會記錄一個新的 CI，並將其存入組態歷史記錄中。這條完整的時間軸讓您能輕易地回溯任何資源在過去任何時間點的確切狀態。
3. 組態資訊的交付
   AWS Config 透過兩個主要的交付通道，將蒐集到的組態資訊提供給您：
4. Amazon S3 儲存貯體：這是儲存組態歷史記錄和快照的主要地點，這些資料也可供第三方工具進行分析。
   • 組態歷史記錄 (Configuration History)：每隔約六個小時，AWS Config 會將這段時間內發生變更的資源 CI 彙整成一個歷史記錄檔，並交付到您指定的 S3 儲存貯體。如果沒有任何變更，則不會傳送檔案。
   • 組態快照 (Configuration Snapshot)：您可以隨時手動觸發，或透過 API 請求，來獲取當下帳戶中所有受監控資源的完整組態快照。這對於特定時間點的全面稽覈非常有用。
5. Amazon SNS 主題：用於即時的事件通知，讓您能迅速對環境變化做出反應。當組態變更、合規狀態轉變或快照交付完成時，AWS Config 會發送通知到您指定的 SNS 主題。

下表詳細說明瞭 AWS Config 透過 Amazon SNS 發送的主要通知類型：

關鍵功能深度解析

AWS Config 不僅僅是記錄工具，它提供了一系列強大的功能來主動管理和評估您的雲端環境。

• AWS Config 規則 (AWS Config Rules)：這是實現「合規即程式碼 (Compliance as Code)」的核心。您可以定義期望的資源配置狀態，並讓 Config 持續評估。
  • 受管規則 (Managed Rules)：由 AWS 預先建立和維護的規則集，涵蓋了大量常見的安全最佳實踐和合規性要求，例如檢查 S3 儲存貯體是否公開存取、或針對 AWS Identity and Access Management 的MFA 是否為根帳戶啟用等。
  • 自訂規則 (Custom Rules)：若受管規則無法滿足您獨特的內部政策，您可以使用 AWS Lambda 函數來編寫自訂的評估邏輯，實現更複雜的合規性檢查。
• 一致性套件 (Conformance Packs)：為了簡化對特定合規框架（如 PCI DSS、HIPAA 或 CIS Foundations Benchmark）的管理資源組態，一致性套件允許您將一組 AWS Config 規則和自動修補動作打包成一個單一實體。您可以輕鬆地在整個組織中部署和監控這些套件，快速評估合規狀態。
• 自動化修補 (Automated Remediation)：當 AWS Config 規則偵測到不合規的資源時，您可以設定自動觸發修補動作。此功能通常與 AWS Systems Manager (SSM) Automation 文件結合使用，例如，當偵測到一個開放了危險連接埠的安全羣組時，可以自動執行 SSM 文件來移除該規則，實現閉環的自動化治理。
• 資料彙總器 (Aggregators)：對於擁有多個 AWS 帳戶和跨多個區域部署的大型企業，管理分散的組態資料是一大痛點。資料彙總器功能允許您將來自不同帳戶和區域的 AWS Config 組態資料與合規性狀態，集中到一個指定的帳戶和區域中，提供一個統一的儀錶板來進行檢視和管理。
• 進階查詢 (Advanced Query)：此功能提供一個類似 SQL 的查詢介面，讓您可以針對所有資源目前的組態狀態執行精確的查詢，獲取其的詳細資訊。例如，您可以快速找出所有「t2.micro」類型且沒有特定標籤的 EC2 執行個體，這對於資源盤點和成本優化極為有用。

主要應用場景與效益

• 安全分析與持續監控：稽覈 AWS Identity and Access Management (IAM) 權限的歷史變更、檢查安全羣組規則的開放情況，或確保加密設定始終符合要求，從而持續評估並強化安全態勢。
• 稽覈與合規性：為稽覈人員提供不可變的資源組態歷史記錄，以證明在特定時間點符合內部政策或外部法規（如 GDPR、SOX）。
• 變更管理與營運疑難排解：當應用程式出現故障時，可快速比對故障前後的組態變更歷史，精準定位問題根源。在變更部署前，也能透過檢視資源關係來評估潛在影響。
• 資源庫存與資產管理：自動探索並提供一份詳盡的 AWS 資源清單，包含其詳細配置與相互關聯的詳細資訊，解決資產盤點不清的問題。

常見問題 (FAQ)

Q1: AWS Config 和 AWS CloudTrail 有什麼不同？

A: 這是最常見的問題。簡單來說，CloudTrail 記錄的是「誰在何時、從何處、執行了什麼 API 操作」，它回答的是「誰做了什麼」的問題。而 AWS Config 記錄的是這些操作執行後，資源的「狀態」是什麼，以及這個狀態如何隨時間變化。它回答的是「資源長什麼樣子」的問題。兩者相輔相成，提供了完整的操作與狀態記錄。

Q2: 我可以只監控特定的資源類型嗎？

A: 可以。在設定 AWS Config 時，您可以選擇記錄所有支援的資源類型，也可以透過AWS Management Console手動指定僅記錄您感興趣的特定資源類型（例如，只記錄 IAM Roles 和 Security Groups），以更精準地控制監控範圍和成本。

Q3: 啟用 AWS Config 會產生哪些費用？

A: AWS Config 的費用主要基於三個方面：(1) 記錄的組態項目 (CI) 數量；(2) 執行的 AWS Config 規則評估次數；(3) 執行的一致性套件評估次數。此外，還需考慮其衍生成本，包括用於儲存歷史記錄的 Amazon S3 儲存費用、Amazon SNS 的通知費用，以及執行自訂規則或修補動作的 AWS Lambda 費用。

Q4: 如果資源不符合規則，會發生什麼事？

A: 當資源被評估為不符合某個規則時，該資源和規則會被標記為「不合規 (Noncompliant)」。同時，AWS Config 可以透過 Amazon SNS 發送通知給相關人員。如果您設定了自動化修補，系統會自動觸發預設的修補動作來嘗試修正該不合規的組態。

Q5: 如何管理多個 AWS 帳戶的組態與合規性？

A: 應使用 AWS Config 的「資料彙總器 (Aggregator)」功能。您可以指定一個主帳戶，並設定彙總器來收集來自組織內其他成員帳戶和不同 AWS 區域的組態與合規資料，從而實現對多帳戶的aws資源組態進行集中式的監控和報告。

總結

AWS Config 遠不止是一個被動的記錄工具，它是一個主動的、全方位的雲端治理aws服務。透過提供詳盡的資源組態可視性、強大的合規性評估引擎以及自動化修補能力，它賦予企業在動態的雲端環境中建立和維護安全、高效且合規基礎設施的信心。對於任何希望將雲端治理提升到新層次、並有效管理資源組態的組織而言，深入理解並有效利用 AWS Config 無疑是實現該目標的關鍵一步。

資料來源

• AWS Config – Amazon Web Services
• 什麼是AWS Config？
• Day 16: AWS Config簡介 – iT 邦幫忙